社長が二人いる
「至急、指定の口座へ送金をお願いします。社長より」
経理担当から相談を受けたビルは、メールを一目見て笑顔になった。
ビル「威厳のある文章だ。間違いなく僕だな」
ボブ「君、送った覚えがあるのか？」
ビル「ない。でも文面が実に社長らしい」
エビー「自分の名前で来たメールだから、本物ってこと？」
ビル「そうだよ。しかも緊急だと書いてある。社長の命令は絶対だ」
ボブ「自分で覚えていない振込指示に従うな！」
覚えのない指示には従わない
三人は経理の席に集まった。差出人の表示名はビルだが、普段のやり取りと違う方法で連絡が来ている。金額より先に振込先の変更を求める文面が目立った。
エビー「担当者が確認してくれてよかったわね」
ビル「本人に失礼だと思わないか」
ボブ「その本人が送っていないんだろ」
ビル「僕への敬意はどこへ」
エビー「敬意があるからこそ、会社のお金を守ろうとしているのよ」
経理担当の小さな違和感
ボブは医者として、突然届いた指示を症状と見立てて慎重に事情を聞いた。
ボブ「何が普段と違う？」
エビー「振込先が新しい、文章が急いでいる、普段の承認手順を飛ばそうとしている」
ビル「でも、僕も急ぐ時は急ぐよ」
ボブ「だからメールだけで本人と判断してはいけない」
エビー「別の確認方法が使えるかしら」
ビル「メールに返信して『本人ですか』と聞こう」
ボブ「もしそのメール自体が偽物なら、同じ相手へ聞くだけじゃ足りない」
エビー「登録済みの連絡先など、別の経路で確認するのね」
ビルはスマートフォンを持ち出し、自分の番号へ電話をかけようとした。ボブは呆れて止めた。
ボブ「自分が送ってないと知ってるなら、まず経理へその事実を伝えよう」
ビル「確認が厳しい会社は、社長でも大変だな」
エビー「それが会社を守るルールになるのよ」
正規の連絡と紛らわしい連絡
IPAは2026年10月9日、不正アクセスなどの事案を踏まえた対策情報を公表している。企業は自分たちが利用するシステムと情報資産を把握し、実際のリスクに応じた確認や対策を考える必要がある。ここで描くメールは創作例であり、ビルの会社に実際の侵害が起きたという事実はない。
ビル「ニュースでは不正アクセスも問題になっている。それならうちも乗っ取られたのか？」
ボブ「可能性は調べる必要がある。でも、怪しいメールを見ただけで侵入が確定したとは言えない」
エビー「振込を止める判断と、システムを調べる判断は分けた方がよさそう」
ビル「また僕の決断が二つに分かれた」
ボブ「危険も対策も一種類じゃないからね」
シルクワーク博士と承認印
博士は経理担当が用意した確認手順のメモを読み、ビルに尋ねた。
博士「『社長の指示』という文字があれば、誰でも資金を移せてよいのかな」
ビル「それは困ります」
博士「ならば肩書きだけでは足りないね。振込先の変更や通常と異なる依頼には、既知の連絡先への確認、適切な承認、記録など、業務に合った仕組みが必要になる」
ボブ「経理担当が疑問を持った時、決裁者に質問できることも重要です」
博士「そう。疑って確かめた人が叱られる会社では、次に不審な連絡が来たとき、誰も止めなくなるかもしれない。社長本人の指示であっても確認する文化は大切だよ」
疑った人が、叱られない会社に
エビー「『僕の命令に逆らうな』より『変な命令なら止めて』の方が、社員は仕事をしやすいわね」
ビル「偽物に勝つには、僕の権威を少し疑う必要があるのか」
博士「権威を壊すのではない。確認可能な手順に置き換えるのだ」
博士はさらに、情報システム担当と連携してメールの扱いを確認することも勧めた。経理が振込を判断することと、システム管理者が不正な利用の疑いを調べることは同じ作業ではない。
博士「もし実際に不正な操作が疑われるなら、状況を記録し、必要に応じて専門家に相談する。確認の前に証拠になりそうなものを消さないことも考えよう」
ビル「怖くてメールを削除するところだった」
ボブ「怖い時こそ、担当者に相談して扱いを決めよう」
なぜ少し嬉しかったのか
帰り際、エビーがビルに聞いた。
エビー「さっき偽の指示を『威厳がある』って褒めていたでしょう。本当は少し嬉しかった？」
ビル「……僕の名前だけで人が動くなら、立派な社長になれた証拠だと思った。最近、頼りないと思われたくなくて」
エビー「経営者として認められたい気持ちと、確認を省くことが混ざっていたのね」
ボブ「社長だからこそ、手順を守った方がいい」
博士「誰の指示でも、正確に実行できることが大事だよ。本人の威厳を示すための例外を作らないこと。それが信頼になる」
社長本人への確認
翌朝、ビルは経理担当へ「変だと思った指示は止めてよい」と伝えた。担当者が「社長ご本人でも？」と聞く。
ビル「もちろんだ。僕でも止めてくれ」
ボブ「よく言えた」
エビー「これなら安心ね」
ところがビルは自分の名前を使った確認用パスワードを提案した。
ビル「合言葉は『世界一の社長は誰？』。返事は『ビル様』だ」
ボブ「それ、なりすましにも簡単に真似されるだろ」
博士「本人確認は秘密性や運用も含めて設計しよう」
エビー「褒め言葉を認証にしないで！」
褒め言葉を認証にしないで
社長名義の指示が来たときに重要なのは、社長を疑う勇気より、誰の指示でも確かめられる仕組みだ。自分の権威を守ろうとすると、かえって会社の資金を危険にさらす。確認した社員に感謝できる経営者が必要だ。
IPAは、中小企業の情報セキュリティ対策の情報を公開しています。IPAは、脆弱性などの重要なセキュリティ情報を随時公開しています。
出典
IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）
合わせて読みたい
読んで終わりじゃ、もったいない。この記事のテーマを、あなたの次の一歩へ
- このテーマを仕事の現場で活かすなら、コミッターズ（COMITTERS）へ。集客・営業の実務コラムと、無料相談の入口があります
- 心の整え方を、本でもっと深く。楽天ブックス
で、このテーマの関連書籍が探せます
- 一人で抱え込まず専門家に相談したいときは、お問い合わせからご連絡ください。次の一歩を、一緒に整理できます
PRがあります
コメントを残す