楽天銀行 法人口座を狙ったボイスフィッシングへの注意喚起（被害件数は非公表）
公表日
楽天銀行は2025年12月4日、法人口座を狙った「ボイスフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。」への注意喚起を出した。被害件数や被害額は、まだ発表されていない。
対象者は？
楽天銀行の法人口座とインターネットバンキングを使う企業・事業者が、注意喚起の主な対象。同行は別の告知で、SNSや電話を悪用した詐欺により、同行の顧客にも被害が確認されていると述べている。被害を受けた人の範囲や人数、今回の手口による被害かどうかは発表されていない。
届いたメールの送信元が、楽天銀行が示す6種類のドメイン（@mail.rakuten-bank.co.jp、@rakuten-bank.co.jp、@fr.rakuten-bank.co.jp、@cc.rakuten-bank.co.jp、@ac.rakuten-bank.co.jp、@paysec.cacs.jp）のどれかを確認する。パスワードや認証番号を入力・回答してしまった場合は、同行の営業企画管理部へ至急連絡するよう案内されている。
いますぐできること
- 銀行員を名乗る電話で、電子証明書の期限切れなどを理由にメールアドレスを聞かれても答えず、電話を切る。
- メールのURLは安易にクリックせず、送信元のドメインを確認する。同行は電話でパスワードや認証番号を聞くことはないとしている。
- パスワードや認証番号を入力・回答してしまったら、至急、営業企画管理部へ連絡し、ログイン後の画面でパスワードと暗証番号を変更する。
何が起きたのか
楽天銀行は2025年12月4日、法人口座を狙った詐欺への注意喚起を出した。警視庁から、法人口座のお金を狙ったボイスフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。による不正送金の被害が増えているとの注意喚起があったという。手口は次のとおり。まず銀行員を名乗る人物が「電子証明書の期限が切れている」などと電話をかけ、メールアドレスを聞き出そうとする。自動音声の電話の場合もある。聞き出されるとすぐ偽のURL入りメールが届く。さらに電話で指示を受けながら偽のサイトへ誘導され、ID、パスワード、ワンタイムパスワードなどを入力させられる。入力された情報が悪用され、気づかないうちに会社の口座から送金されてしまう。
なぜ起きたのか・なぜ広がったのか
この事案が起きた原因や、被害が広がった理由は、まだ発表されていません。公表されているのは手口の説明です。電話で相手の指示を受けながら操作させる点が特徴として示されています。
いまの状況2025-12-17 時点続報待ち
2025年12月17日時点で、被害件数、被害額、被害の詳しい状況はまだ発表されていません。楽天銀行は、電話で認証情報を聞くことはないと利用者に伝え、メールのドメイン確認と、入力してしまった場合の連絡・パスワード変更を案内しています。
企業として考えたいこと
もし自社の経理担当者のところに「銀行員」を名乗る電話がかかってきたら、誰に報告し、どの手順で本物かどうかを確かめるか、全員が答えられるでしょうか。
技術的な要約
楽天銀行は2025年12月4日、法人口座を狙ったボイスフィッシングについて注意喚起を公表した。警視庁から、法人口座資金を狙ったボイスフィッシングによるインターネットバンキング不正送金事犯の被害が増えているとの注意喚起があったとしている。手口は、銀行員を名乗り「電子証明書の期限が切れている」などと偽ってメールアドレスを聞き出し、偽URL入りのフィッシングメールを送って、ID・パスワード・ワンタイムパスワードなどを入力させるものである。入力された情報が悪用され、気づかないうちに会社の口座から不正送金が行われるとされる。同行は同日、SNSや電話を悪用した詐欺についても注意喚起し、同行の顧客にも被害が確認されていると公表した。被害件数・被害額は、提供された出典には記載がない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング公表で確認銀行員を名乗り「インターネットバンキングの電子証明書の期限が切れている」などと偽ってメールアドレスを聞き出し、すぐに偽のURLが記載されたフィッシングメールを送り、電話で指示しながらフィッシングサイトに誘導してID、パスワード、ワンタイムパスワードなどを入力させようとする（ボイスフィッシング）。自動音声の電話がかかってくるケースもある。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 中核業務の停止は公表されていない。入力された情報が悪用され、気づかないうちに会社の口座から不正な送金が行われると説明されている。
- データ
- 調査中上限 —確定 —口座ID、パスワード、ワンタイムパスワードなどを入力させようとする手口の説明であり、被害件数・被害額は出典に記載がない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された手口の流れ 事実
楽天銀行の注意喚起によると、手口は段階的に進む。第1段階では、銀行員を名乗る者が「インターネットバンキングの電子証明書の期限が切れている」などと偽って電話をかけ、メールアドレスを聞き出そうとする。自動音声の電話がかかってくるケースもある。アドレスを聞き出すと、すぐに偽のURLが記載されたフィッシングメールが送られる。続いて電話で指示しながらフィッシングサイトへ誘導し、インターネットバンキングのID、パスワード、ワンタイムパスワードなどを入力させようとする。入力された情報が悪用され、気づかないうちに会社の口座から不正な送金が行われると説明されている。
楽天銀行の公表内容と利用者への案内 事実
楽天銀行は2025年12月4日、法人向け・小規模事業者向けなどのページで注意喚起を公表した。警視庁から、法人口座資金を狙ったボイスフィッシングによるインターネットバンキング不正送金事犯の被害が増えているとの注意喚起があったとしている。同行は、メールのドメインを確認するよう呼びかけ、同行が配信するメールのドメインは6種類だと示した。また、電話で認証情報を聞くことはないとしている。入力や回答をしてしまった場合は、営業企画管理部へ至急連絡し、ログイン後の画面でパスワードと暗証番号を変更するよう案内している。同日の別告知では、SNSや電話を悪用した詐欺で同行の顧客にも被害が確認されていると述べている。被害件数と被害額は、今回の出典には記載がない。
電話とメールを組み合わせる構造の読み取り（解釈） 解釈
公表された手口は、電話での指示とフィッシングメールを同時に使う点に特徴があると読める。以下は解釈であり、公表された事実ではない。通話中に相手が操作を案内するなら、受け手は考える時間を取りにくいだろう。ワンタイムパスワードまで入力させようとする点からは、固定のパスワードだけでなく、その場で有効な認証情報も狙われていると考えられる。この場合、メールの文面だけを見て見分ける対策では足りない可能性がある。通話の相手が誰であっても、電話で案内された手順で操作しない、という運用ルールが有効に働くかもしれない。
公表内容の評価と限界（解釈） 解釈
今回の公表は、被害の報告というより、手口と対処法を周知する注意喚起として読める。以下は解釈である。利用者が今すぐ動けるよう、ドメイン一覧、連絡先、パスワード変更の手順が具体的に示されている点は有用だろう。一方、提供された出典には被害件数、被害額、侵入や検知の日付の記載がない。そのため、被害の規模や広がりを今回の資料だけで判断することはできない。同行の顧客にも被害が確認されているとの記載はあるが、それが今回の手口によるものかどうかは、出典から読み取れない。
対応
- 封じ込め
- 同行システムの遮断等の対応は出典に記載がない。利用者向けに、電話で認証情報を聞かないことの周知、メールドメインの確認、入力・回答してしまった場合の営業企画管理部への連絡とパスワード・暗証番号の変更を案内している。
- 公表の仕方
- 2025-12-04に法人向け・小規模事業者向け・個人向けの各ページで注意喚起を公表した。2025-12-17にScanNetSecurityが報じた。
- 当局対応
- 警視庁（楽天銀行の公表によれば、同庁から注意喚起があった）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 電話で案内された手順に従って認証情報を入力させる手口がある。 | 社内規程に「電話の指示でネットバンキングにログインしない」「着信後は公式サイトのブックマークから自分でアクセスする」を明記する。経理担当者向けの周知と、年1回以上の疑似訓練も実施する。 |
| ワンタイムパスワードも入力させられる可能性がある。 | ワンタイムパスワードや認証番号は、通話中の第三者に伝えず、案内されたサイトにも入力しない運用にする。送金の承認を、ログイン用の端末や担当者とは別の承認者・別経路で行う設定を銀行と協議して検討する。 |
| 正規のメールか偽メールかは、ドメインで確認できる。 | 銀行が公表する配信ドメイン6種類を社内ナレッジに登録する。メールゲートウェイで、類似ドメインや外部からの銀行名を装うメールに警告を付ける。URLは直接開かず、公式サイトから入り直す手順を標準にする。 |
| 入力してしまった場合の初動を決めておく必要がある。 | 入力・回答に気づいた担当者が、まず銀行の連絡窓口へ連絡し、続けてパスワードと暗証番号を変更する手順書を作る。連絡先を目に付く場所に掲示し、夜間・休日の連絡経路も定める。 |
| 口座の異常を早く見つける仕組みが必要になる。 | ネットバンキングの取引通知メールを複数の担当者に届くよう設定する。送金限度額を業務の実態に合わせて絞り、日次で残高と取引履歴を照合する運用にする。 |
自組織などでの確認項目
- 自社の経理担当者が、銀行員を名乗る不審な電話を受けた場合、どの時点で誰に報告するか決まっているか。連絡先は全員がすぐ見つけられるか。
- 自社で利用している銀行が配信するメールのドメインを、担当者が確認できる一覧として共有しているか。
- ネットバンキングの送金限度額、承認の人数、取引通知メールの宛先は、現在の業務に合っているか。最後に見直したのはいつか。
- ID、パスワード、ワンタイムパスワードを誤って入力した人が出た場合に、休日や夜間でも連絡して初動対応できる体制があるか。
未解明点
- 楽天銀行の法人口座で、今回の手口による被害件数と被害額はどれほどか。出典には記載がない。
- 別告知にある「同行のお客さまにも被害が確認されている」という被害は、今回のボイスフィッシングによるものか、別の詐欺によるものか。
- 不正送金を防ぐために、銀行側でどのような検知や取引制限の強化が行われたのか。出典には記載がない。
出典
- 1ScanNetSecurity2025-12-17報道本文確認済
- 2楽天銀行2025-12-04公式本文確認済
- 3楽天銀行2025-12-04公式本文確認済
- 4楽天銀行2025-12-04公式本文確認済