ML/TFリスク
2024年以降におけるEUマネロン対策動向
EUでは2024年に入り、AML規制の大改革となる「AMLパッケージ」が正式合意されました。各国でばらばらだったルールをEU全域で統一・強化することが目的です。今回はそのAML規制のポイント、テクノロジー活用による変化、金融機関の取り組みと今後の示唆について具体例を交えて解説します。
2025年、警察庁を騙る詐欺メールがSNSで多数報告され、社会的関心を集めています。今回は、実際に確認されたフィッシング詐欺メールの具体的な事例をもとに、古典的ながらも悪質な手口の実態と、その背後にある構造的問題を解説します。
近年フィッシングにより個人情報、クレジットカード情報を抜き取るなどの詐欺被害が急増しており、各行政機関は警戒を強めています。本記事では実際の詐欺メールを取り上げて、その手口や問題点について解説します。
目次
古典的で新しい（？）詐欺メール
2025年6月、X上で「警察庁を騙る詐欺メールを受信した」と投稿する方が複数名確認されました。詐欺メールの内容や連絡手段（メールもしくはSMS）は投稿者によって多少の違いはあるものの、いずれも「あなたはマネーロンダリングの疑いがあるため、期日までに指定の口座に保釈金を振り込むこと。振り込まない場合は逮捕される。」という主旨である点で共通しています。
まず前提として、次の2点から本メールは間違いなく詐欺であると断定できます。- 警察庁が個人のメールアドレス宛に連絡することはない
- 保釈金は逮捕・起訴された後、被告人が逃亡しないことを条件に裁判所に支払う金銭的担保であり、逮捕・起訴されていない一般人に「保釈金を払え」と命じることは法律上ありえない
【SNS上の投稿より。CDLにて匿名化。】
近年のフィッシング詐欺は、メールのリンクから公式サイトを装った偽サイトに誘導します。そこで証券口座のID・PWやクレジットカードの番号を入力させる手法が主流です。
一方、今回取り上げた詐欺メールは、口座に直接入金するよう命令する点で非常に古典的であるといえます。本メールは一般的に詐欺が成立する3つの要素から構成されており、犯罪者は数万人に1人でも詐欺にかかってくれることを期待していると思われます。
- 警察庁など権威ある名称を名乗り、信用させる
- 「保釈金」の仕組みに詳しくない一般人の無知を逆手に取る
- 「逮捕」という言葉で不安感を煽る
本日は、詐欺メール送信に至るまでの①名簿入手、②振込先口座の入手、③メールアドレスのドメイン偽装について手口と対策を解説します。
闇名簿業者の存在
闇名簿の情報源は、大企業や行政機関からの大規模漏洩だけでなく、病院カルテや自治体名簿など身近な場所からの漏洩も含まれます。
過去の度重なる情報流出を受けて、日本政府は名簿業者への規制を段階的に強化してきました。現行の個人情報保護法では、本人の同意なく第三者に個人データを提供する「名簿屋」も所定の届出を行えば営業自体は合法とされていましたが、不正取得と転売を繰り返す悪質業者が後を絶ちません。2025年4月には犯罪対策閣僚会議で「国民を詐欺から守るための総合対策2.0」を決定し、その中で闇名簿業者の摘発強化が明確に打ち出されました。
このような状況下で2025年5月、個人情報保護委員会は、特殊詐欺グループに個人情報リストを販売していた名簿業者「ビジネスプランニング社」に対し、個人情報保護法第19条（不適正な利用の禁止）違反として立入検査および緊急命令を実施しました。同社が違法行為に及ぶと認識しながら名簿提供を続け、提供先で実際に詐欺被害が発生していたことが判明したための措置です。
（参考：有限会社ビジネスプランニングに対する個人情報の保護に関する法律に基づく行政上の対応について）
これら闇名簿業者の存在が詐欺被害の増加を支える土壌となっており、国民の誰もが詐欺のターゲットとなりうる状況は今後も続くと考えられます。
振込先口座の入手
本メールで紹介した詐欺メールの画像に記載された口座は、大手メガバンクの実在する個人/法人口座でした。これらの口座を入口として、犯罪者が支配下に置く複数の口座を還流させる計画だったと考えられます。
振込先口座を入手する手段は個人/法人で異なります。
- 個人口座：SNS上で口座買取を呼びかける。
- 法人口座：SNS等で募った若者を代表者に据えたペーパーカンパニーを設立し、口座開設する。もしくは経営状況の悪い企業を買収し、その法人口座を利用する。
それぞれの手段に対して既に対策が取られている最中ではありますが、手口は常に巧妙化しているため、詐欺の撲滅に向けてはまだ道半ばであるといえます。
- 個人口座：詐欺被害予防に向けて、総務省がSNS事業者の対応に関する法整備を協議しています。また、Xでは警察庁公式アカウントが口座買取を謳う投稿に直接注意を呼び掛けており、地道な対応が行われています。
- 法人口座：2024年に発生したリバトン事案を受けて、金融庁・警察庁が共同で金融機関に対策強化を求めています。
メールアドレスのドメイン偽造
詐欺メールの送信者は、メールアドレスやドメイン名、ヘッダー情報を改ざんすることで公式機関を装います。
主な手口としては類似ドメインを利用するケースの他、Fromヘッダーの偽造などが挙げられます。
■類似ドメイン
公式ドメイン：「npa.go.jp」 ⇒ 類似ドメイン例：「npa.go.info」「npa.go.jp.net」
■Fromヘッダーの改ざん
電子メールのSMTPプロトコルの設定を操作することで送信元/アドレスを「警察庁/npa.go.jp」と表示させる
Fromヘッダーを改ざんされた場合、メールの真偽の判別が非常に困難です。警察庁はフィッシング対策の一つとして不審なメールのリンクはクリックしないこと、通報・相談することを呼びかけています。
（参考：警察庁「フィッシング対策」）
本日は最近の詐欺メールの手口について解説しました。筆者自身、銀行・クレジットカード会社・証券会社・運送会社などを装った不審なメールを受信した経験があり、その巧妙さ（ときには稚拙さ）には目を見張るものがあります。行政や事業者がすでに対策を進めている部分もありますが、最後は自身が騙されないように日々リテラシーを高めていくことが重要です。