【実録】社長本人からの「まさか」のメール——LINEグループ乗っ取りを狙う経営者なりすまし詐欺の手口を公開

■ メールヘッダー解析（送信者情報）

件名：自社名を含む件名（社名部分は伏字）

差出人表示名：実在する当方代表者の氏名を使用（本記事では「送信者A」と表記）

送信元アドレス：hoan7187484hennffof@gmail.com（Gmailの無料アカウント）

宛先：担当者個人ではなく、自社の代表窓口（info@自社ドメイン）宛

受信日時：2026年7月7日 5:39ごろ（同一文面のメールを数日前にも複数回受信済み）

※メールヘッダー詳細（Receivedチェーン全体）は個人情報保護のため非掲載

ご覧の通り、社長本人からのメールを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を社内や家族のLINEグループに転送して注意喚起してください。

※以下は届いた詐欺メールを技術検証のために忠実に再現したものです（個人情報にあたる差出人名・宛先ドメイン・件名はマスク済み）。

---

お疲れ様です。

業務連絡用のLINEグループを新しく作成してください。
作成後は、まずご自身のみが入っている状態でお願いします。

完了しましたら、QRコードまたは招待リンクをこのメールに返信してください。

（送信者A）

■ 送信ルート及び偽装判定

Received-SPF解析：
Received-SPF: Pass (sender SPF authorized) identity=mailfrom; client-ip=209.85.161.46; helo=mail-oo1-f46.google.com

【偽装判定】：
今回のケースは、いつもの「ドメインを詐称した偽装メール」とは性質が異なります。SPF認証が正規に通過しているのは、攻撃者が本物のGmailアカウントを取得し、そこから直接送信しているためです。つまりメール自体は「本物のGmailサーバー」から送られており、なりすましは差出人表示名（実在の代表者名）と本文の内容だけで成立させています。このため、送信元IPをジオロケーションしても出てくるのはGoogleの送信サーバーの所在地であり、攻撃者自身の物理的な所在地を特定することはできません。

発信元ロケーション解析：
[攻撃者の物理的所在地を示すIPアドレス情報は今回のケースでは取得できません（Google送信サーバーのIPのみ判明）]

■ 「その先」の罠の仕組み

今回のメールにはフィッシングサイトへの誘導リンクはありません。その代わり、メールの返信そのものを使って「次の罠」への足がかりを作ろうとします。警察庁が公表している「ニセ社長詐欺」の手口と同じ構造です。

1. 実在する代表者名を騙り、代表窓口（info@等）に「LINEグループを新規作成し、まず自分だけを入れておくように」と指示
2. 作成できたら、そのグループの招待用QRコードまたは招待リンクをメールで返信するよう要求
3. 攻撃者が招待リンクからそのLINEグループに参加し、以後は「社長本人」としてグループ内でやり取りを継続
4. グループに経理担当者など振込権限を持つ人物を追加させ、業務を装って送金や口座情報の確認を指示

※この段階ではまだ金銭被害は発生していませんが、招待リンクを返信した時点で攻撃者に「社内グループへの入り口」を与えてしまうことになります。

■ 注意点と対処法

1. LINEグループの招待QRコード・リンクを絶対に送らない：一度送ってしまうと、社外の第三者がグループに入り放題になります。
2. 担当者ではなく代表窓口宛という不自然さに気づく：実際の代表者が社内連絡を代表アドレス経由で行うことは通常ありません。日頃のやり取りのルートと違う場合は要注意です。
3. メール以外の方法で本人に確認：電話や対面など、メール以外の手段で「本当に指示を出したか」を必ず確認してください。メールに書かれた連絡先は信用せず、名刺など既知の連絡先を使いましょう。
4. 公的機関の注意喚起を参照：警察庁「法人を対象とした詐欺（ニセ社長詐欺）に注意！」、警察庁「ビジネスメール詐欺に注意！」

本レポートの結論

実在の代表者名を騙り、フリーメールから代表窓口宛に届く「ニセ社長詐欺」の予備工作メールでした。同様のメールは複数回届いており、繰り返し送りつけてくる手口であることが確認されています。フィッシングサイトへの誘導ではなく、LINEグループの乗っ取りを起点に社内へ侵入しようとする手口のため、担当部署だけでなく組織全体での周知が重要です。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、社内や家族のLINEグループで「これ気をつけて！」と共有してあげてください。