WhatsAppのアカウントが乗っ取られたら、すぐに大量の詐欺メッセージが送られたり、本人がログインできなくなったりする。そんな被害を想像する方は多いと思います。
ただ、企業にとって本当に厄介なのは、乗っ取られた後も見た目には何も起きないケースです。
攻撃者が欲しいのは、そのWhatsAppアカウントそのものとは限りません。
海外営業や輸出入、商社業務などで日常的にWhatsAppを使っている企業では、チャットの中に顧客名、商品、見積金額、請求書、配送先、送金予定日まで残っていることがあります。
さらに重要なのが、
「誰が、誰を信頼しているのか」
という情報です。
攻撃者がこの関係性を理解すると、単なるアカウント乗っ取りが、取引先を狙ったなりすまし・送金詐欺へ変わる可能性があります。
日本でも「信頼された人物になりすます詐欺」が増えている
この脅威は、WhatsAppだけの問題ではありません。
警察庁は2026年2月、実在する会社の経営者などになりすまし、従業員をSNSのグループトークへ誘導したうえで送金を指示する「ニセ社長詐欺」について注意喚起しています。
2026年上半期の暫定値では、次の被害が確認されています。
| 項目 | 2026年上半期 |
|---|---|
| 認知件数 | 127件 |
| 被害額 | 38.8億円 |
| 認知地域 | 28都道府県 |
| 既遂1件当たりの被害額 | 約3,130万円 |
この数字はWhatsAppだけを対象にした統計ではありません。
ただ、攻撃者の考え方を見るうえでは非常に参考になります。
以前のように、
「誰のパスワードを盗めるか」
だけを考えるのではなく、
「誰になりすませば、別の人にお金を動かしてもらえるか」
という発想で企業を狙う攻撃が現実に発生しています。
WhatsAppも、こうした「信頼された人物へのなりすまし」に利用され得る通信手段の一つです。
狙う必要があるのは500人ではなく、支払い直前の1人
たとえば、日本の中古車販売会社を考えてみます。
営業担当者が海外顧客との連絡にWhatsAppを使っていて、数十件の商談を抱えているとします。
その多くは攻撃者にとって価値がありません。
「資料を送ってください」
「明日確認します」
「ありがとうございます」
という会話だけでは、直接お金にはつながらないからです。
ところが、その中に次のような会話があったら話は変わります。
- 車両はすでに決まっている
- 金額も合意済み
- 請求書を発行している
- 海外送金を予定している
- 支払日は来週
- 金額は600万円
攻撃者からすれば、全顧客へ詐欺メッセージを送る必要はありません。
この1件を見つければ十分です。
無差別なスパムは「数」を狙います。
こうしたアカウント侵害では、攻撃者は「価値の高い取引」を選べます。
一番危険なのは、正規の取引に途中参加されること
突然知らない相手から、
「600万円を送金してください」
と言われれば、多くの人は怪しいと感じます。
しかし、もともと600万円を支払う予定だった相手から言われたらどうでしょうか。
正規の会話の中ですでに、
「金曜日に請求書を送ります」
「来週入金します」
と話していた場合、攻撃者は新しくストーリーを作る必要がありません。
本当に存在する商取引に入り込めばよいからです。
さらに、
- 購入した商品
- 合意した金額
- 配送先
- 担当者名
- 支払予定日
- 過去のやり取り
まで知っていれば、なりすましはかなり自然になります。
怖いのは、架空の話にだまされることではありません。
本物の商取引の途中に、偽物が混ざることです。
「昨日の会話を知っている」は、もう本人確認にならない
WhatsAppの会話履歴から分かるのは取引内容だけではありません。
長期間のチャットを閲覧できれば、
- 普段どのような言葉遣いをするか
- 顧客をどう呼ぶか
- 英語と日本語のどちらを使うか
- メッセージが長いか短いか
- 請求書をどう送っているか
- 入金確認をどう伝えるか
といった、その人らしいコミュニケーションまで分かる可能性があります。
秘密の情報を知っていることは、本人確認にはなりません。
請求書番号を知っている。
注文した商品を知っている。
昨日の会話を知っている。
正確な金額を知っている。
通信環境そのものが侵害されていれば、攻撃者も同じ情報を持っている可能性があります。
「新しい番号に変わりました」が入口になる
取引内容を十分に把握した後、攻撃者が正規担当者とは別のWhatsAppアカウントを用意することも考えられます。
名前やプロフィール画像をコピーし、
「以前の番号が使えなくなったので、今後はこちらへお願いします」
と案内するような形です。
番号変更そのものは、珍しい出来事ではありません。
スマートフォンの故障、紛失、会社端末の変更など、もっともらしく聞こえる理由はいくつもあります。
そこで新しいアカウントが、
「先日のランドクルーザーの件です」
「金額は600万円で合っています」
「配送先はモンバサ港ですよね」
と話してきたら、相手はどう感じるでしょうか。
プロフィール画像しか合っていない単純ななりすましとは違います。
取引の中身まで知っていることが、信用材料になってしまいます。
「乗っ取られたのに何も起きない」が一番怖い
アカウント侵害というと、侵入直後に何かが起きるイメージがあります。
ところが、攻撃者がすぐ動けば本人に気づかれる可能性も高くなります。
そのため、最初は何もせずに状況を把握する方が合理的な場合があります。
| 段階 | 想定される動き |
|---|---|
| 1. 不正アクセス | 通信環境へのアクセスを得る |
| 2. 潜伏 | 目立つ操作を避ける |
| 3. 情報収集 | 顧客、取引、金額、支払予定を確認する |
| 4. 選別 | 金銭的価値の高い取引を選ぶ |
| 5. なりすまし | 正規担当者を装う連絡経路を作る |
| 6. 分断 | 本人同士が直接確認する機会を減らす |
| 7. 待機 | 正規の支払時期まで待つ |
| 8. 送金誘導 | 支払先の変更を試みる |
セキュリティ診断をする側から見ても、この「潜伏」の考え方は厄介です。
不正アクセスを排除できても、一度見られた取引情報までは回収できません。
「不審なメッセージは送られていないから大丈夫」
とは言い切れない理由がここにあります。
中古車輸出で考えると、被害の構造が分かりやすい
もう少し具体的に考えてみます。
日本の中古車販売会社と海外顧客が、2週間ほどWhatsAppで商談していたとします。
車両価格は600万円。
車両状態、輸送方法、輸出書類、到着港、支払時期まで話が進んでいます。
ここで営業担当者のWhatsApp環境が侵害されたとします。
しかし、月曜日も火曜日も水曜日も、表面上は何も起こりません。
その裏で攻撃者が600万円の取引を把握していたとしても、営業担当者からは分かりません。
その後、顧客のもとへ「同じ担当者」に見える別のアカウントから連絡が届きます。
車両情報も合っています。
金額も合っています。
配送先も合っています。
過去の話も知っています。
最後に伝えられるのが、
「今回はこちらの銀行口座へ送金してください」
という変更です。
数日後、日本側が顧客へ、
「まだ入金を確認できていません」
と連絡します。
顧客は、
「もう支払いました」
と答える。
この時点で、初めて双方が異変に気づく可能性があります。
この場合、「誰が被害者」なのか
こうした事案は、単純に「WhatsAppアカウントが乗っ取られた」で片付けにくい問題です。
技術的には、日本企業側の通信環境が侵害されています。
金銭的には、誤った口座へ送金した顧客が直接的な損失を負うかもしれません。
一方で、日本企業側も取引先からの信用を失う可能性があります。
つまり、会社と顧客の両方が被害者になり得ます。
企業側では、アカウント復旧と並行して、
- どの情報が閲覧された可能性があるか
- どの顧客との会話が対象になり得るか
- いつから不正アクセスが存在した可能性があるか
- 進行中の取引は何件あるか
- 顧客へ不審な連絡が行われていないか
- 支払先変更が伝えられていないか
- 今後予定されている高額送金はないか
まで確認する必要があります。
これは、もう「アカウントのトラブル」というより企業のインシデントです。
なぜ日本の輸出企業は狙われやすいのか
特に輸出業や海外取引の多い企業では、攻撃者に利用されやすい条件がそろっています。
海外送金そのものが珍しくない
国内取引で突然海外口座への振込を求められれば、かなり目立ちます。
一方、もともと国際取引を行っている企業では、海外送金や外国通貨での決済そのものは不自然ではありません。
顧客と一度も直接会っていないことがある
オンラインだけで商談から契約まで進む取引もあります。
相手の本人確認を、メールやWhatsAppなどの通信手段に大きく依存しているケースも少なくありません。
WhatsAppが主要な連絡手段になっている
国や地域によっては、メール以上にWhatsAppを日常的なビジネス連絡へ使うケースがあります。
その場合、番号変更やアカウント変更の連絡も、メールほど違和感を持たれないことがあります。
英語が双方にとって第二言語の場合がある
多少不自然な文章が届いても、
「英語表現の違いだろう」
「今日は少し文章が変だな」
程度で流されてしまう可能性があります。
時差があるため電話確認しづらい
日本側が営業時間でも、相手国では深夜ということがあります。
「電話確認は明日にしよう」
という判断が、そのまま攻撃者に時間を与えてしまうことがあります。
こうした事情が重なると、
「新しい番号になった」
「振込先が海外の別口座に変わった」
「いつもと少し文章が違う」
といった変化が、国内取引より目立ちにくくなります。
だからこそ、通信内容を信用するのではなく、変更そのものを別経路で確認する仕組みが重要になります。
WhatsAppでは端末リンクを悪用した詐欺にも注意
WhatsAppへの不正アクセスというと、特殊な脆弱性を悪用する高度な攻撃を想像するかもしれません。
実際には、すべての乗っ取りが高度なエクスプロイトによって起きるわけではありません。
Metaは2026年3月、利用者をだまして攻撃者側の端末をWhatsAppアカウントへリンクさせる詐欺について注意を呼びかけています。
たとえば、
- 端末リンク用のコードを入力させる
- 別の目的を装ってQRコードを読み取らせる
- 正規の設定操作に見せかけて端末を追加させる
といった手口です。
こうした攻撃は、一般的にいう「ゼロクリック攻撃」とは区別した方が正確です。
ゼロクリック攻撃は通常、利用者がリンクをクリックしたり、コードを入力したり、明示的な操作をしなくても成立する脆弱性悪用を指します。
QRコードや端末リンクを悪用する手口は、ソーシャルエンジニアリングの要素を含みます。
「WhatsAppを乗っ取られた＝ゼロクリック攻撃」ではありません。
原因を切り分けるうえでも、この違いは重要です。
ゼロクリック、端末リンク、スパイウェアは分けて考える
WhatsAppを狙う攻撃は一種類ではありません。
フィッシングやQRコードを使った端末リンク詐欺もあれば、端末そのものがマルウェアなどに侵害されるケースもあります。
さらに、高度な標的型攻撃ではスパイウェアが利用されることもあります。
原文でも触れられている通り、WhatsAppは2026年、高度な標的型スパイウェアに関連する攻撃への対応についても公表しています。
こうした高度な攻撃と、利用者をだまして端末をリンクさせる詐欺は、同じ「WhatsAppへの不正アクセス」でも仕組みが異なります。
インシデント対応では、
「ゼロクリックだったのではないか」
と最初から決めつけるのではなく、
- 端末リンクが追加されていないか
- 認証情報を入力していないか
- QRコードを読み取っていないか
- 端末自体に不審な挙動がないか
- OSやアプリに既知の問題がなかったか
といった形で原因を切り分ける方が現実的です。
Linked Devicesは定期的に確認する
WhatsAppを業務で使うなら、Linked Devicesの確認は習慣化した方がよいでしょう。
特に、
- 経営者
- 役員
- 経理・財務担当者
- 海外営業担当者
- 輸出入担当者
- 高額商材を扱う営業担当者
は優先度が高いです。
見覚えのない端末が表示されていた場合は、単にログアウトさせるだけではなく、
「いつ追加されたのか」
「誰が利用していたのか」
「その間にどのような会話が存在していたのか」
まで確認します。
企業が見逃したくない5つの警告サイン
一つだけでアカウント侵害と断定することはできません。
ただし、次のような兆候が重なった場合は、早めに確認した方がよいでしょう。
1. Linked Devicesに見覚えのない端末がある
本人も社内担当者も接続した覚えがない端末がある場合は、不正なリンクを疑います。
2. 顧客から「新しい番号から連絡が来た」と言われる
自社では番号を変更していないのに、顧客側だけが「担当者の新番号」を知っている場合は要注意です。
3. 顧客から「銀行口座が変わったのですか」と聞かれる
社内で口座情報を変更していないにもかかわらず、この確認が来た場合は優先して調査すべきです。
4. 重要顧客との会話が突然不自然になる
いつも連絡がある顧客から急に返信がなくなったり、会話の内容が噛み合わなくなったりした場合、別経路で連絡を取っている可能性も確認します。
5. 顧客から「もう支払った」と言われるのに入金がない
これは、かなり遅い段階で攻撃が発覚したケースかもしれません。
請求金額、送金先、送金日時などを確認し、なりすましによる支払先変更がなかったかを調べます。
WhatsAppのなりすまし・送金詐欺を防ぐ最重要ルール
技術的な対策と同じくらい重要なのが、送金手続きのルールです。
企業で一つだけ決めるなら、
銀行口座の変更をWhatsAppだけで承認しない
というルールを強くおすすめします。
プロフィール画像がいつもと同じでも、
請求書番号を知っていても、
商品名や金額が合っていても、
それだけでは本人確認にはなりません。
口座情報が変更された場合は、必ず別経路で確認します。
- 以前から登録している電話番号へ連絡する
- 従来から利用している企業メールで確認する
- 別の既知担当者にも確認する
- 高額な送金先変更は複数人で承認する
- 支払直前の口座変更は特に厳しく確認する
なお、
「番号が変わりました。この番号に電話してください」
と言われ、その新しい番号に電話するだけでは独立した本人確認になりません。
攻撃者から教えられた連絡先で、攻撃者本人を確認しているだけだからです。
確認には、変更が発生する前から保有している連絡先を使います。
WhatsAppが乗っ取られた場合に企業が確認すべきこと
アカウントを取り戻せたとしても、そこで対応を終えない方が安全です。
確認したいのは、
「攻撃者が何を知った可能性があるか」
です。
- どの顧客との会話が存在していたか
- 高額取引が進行していなかったか
- 請求書を共有していなかったか
- 支払予定日が分かる会話はなかったか
- 銀行情報が記載されていなかったか
- 顧客や社内担当者の連絡先が見えていなかったか
- 不正アクセスはいつから存在していた可能性があるか
たとえば、今日アカウントを復旧できても、昨日の時点で、
「顧客Aが金曜日に1,000万円を送金する」
という情報を把握されていたら、そのリスクは残っています。
アカウントから追い出したからといって、攻撃者が把握した取引情報まで消えるわけではありません。
支払いを控えた顧客には早めの注意喚起も検討する
被害が疑われる場合、重要顧客への連絡も検討します。
特に送金を控えている顧客には、
- 当社担当者を名乗る別番号からの連絡
- WhatsApp番号変更の案内
- 銀行口座変更
- 支払方法変更
- 緊急の送金依頼
があった場合、従来の連絡手段を使って確認するよう伝えます。
攻撃者がすでに顧客情報を把握していたとしても、その後の送金被害まで防げる可能性があります。
二段階認証などのアカウント保護も有効
WhatsAppでは二段階認証を利用できます。
業務利用するアカウントでは、有効化しておいた方がよいでしょう。
また、2026年にはMetaが「Strict Account Settings」を発表しています。
これは、高度なサイバー攻撃の標的になる可能性がある利用者向けに、未知の送信者や通話などに対する制限を強化するセキュリティ設定です。
すべての社員に必要とは限りませんが、
- 経営者
- 役員
- 財務責任者
- 高額取引を担当する社員
などでは検討する価値があります。
企業で決めておきたいWhatsAppのセキュリティルール
WhatsAppを業務で利用しているなら、個人任せではなく社内ルールとして整理しておくと対応しやすくなります。
- Linked Devicesを定期的に確認する
- 不明な端末があれば削除だけで終わらせず調査する
- 二段階認証を有効にする
- 認証コードや端末リンク用コードを第三者へ渡さない
- 身に覚えのないQRコードを読み取らない
- 突然の電話番号変更をそのまま信用しない
- 銀行口座変更をWhatsAppだけで承認しない
- 支払先変更は既知の連絡経路で確認する
- 高額送金は複数人で承認する
- 海外営業・経理担当者へなりすまし詐欺を教育する
- 不正アクセスが疑われた場合は証拠を保存する
- 進行中の高額取引を優先して確認する
- 必要に応じて関係顧客へ早めに注意喚起する
技術対策だけでも、業務ルールだけでも十分ではありません。
両方を組み合わせることが重要です。
WhatsAppは「ただのチャット」ではない
企業は会計システムやCRM、メールについては、比較的きちんとセキュリティ対策を考えます。
一方、WhatsAppは「チャットアプリだから」と軽く扱われることがあります。
海外との取引が多い企業では、実態はかなり違います。
WhatsAppの中に、
- 顧客情報
- 商談履歴
- 見積金額
- 商品情報
- 請求情報
- 取引先担当者
- 今後の入金予定
が集まっていれば、それはすでに重要な業務情報です。
攻撃者が見ているのはメッセージそのものではありません。
その会話から読み取れる、次にお金が動く場所です。
「何もされていない」を安全の根拠にしない
ランサムウェアなら、異変は比較的分かりやすいです。
ファイルが暗号化され、システムが止まり、脅迫文が表示されます。
SNSアカウントが露骨に乗っ取られれば、勝手な投稿やメッセージで気づけるでしょう。
では、攻撃者が何も変更しなかったらどうでしょうか。
最大の顧客は誰か。
いつ支払いがあるのか。
何を購入したのか。
いくら支払うのか。
担当者は普段どんな話し方をするのか。
それだけを静かに確認し、後日、顧客側へなりすます。
こうした攻撃では、「異変がないこと」自体が安心材料になりません。
最後に守るべきものは、取引先との信頼
サイバーセキュリティでは、端末やサーバー、アカウントを守ることが基本です。
ただ、なりすまし・送金詐欺まで考えると、もう一つ守るべきものがあります。
取引先との信頼です。
攻撃者が銀行をハッキングできなくても、顧客の銀行口座に侵入できなくても、
「いつもの担当者だ」
と短時間でも信じてもらえれば、送金が成立してしまう可能性があります。
WhatsAppアカウントは入口にすぎません。
会話が情報源になり、
本人らしさが武器になり、
最後に狙われるのが支払いです。
業務でWhatsAppを利用している企業は、
「もしこの会話を第三者に見られたら、その次に何を狙われるか」
まで一度確認してみてください。
投稿者プロフィール
-
Offensive Security Engineer
15年以上の実績を持つ国際的なホワイトハッカーで、日本を拠点に活動しています。「レッドチーム」分野に精通し、脆弱性診断や模擬攻撃の設計を多数手がけてきました。現在はCyberCrewの主要メンバーとして、サイバー攻撃の対応やセキュリティ教育を通じ、企業の安全なIT環境構築を支援しています。
主な保有資格：
● Certified Red Team Specialist（CyberWarFare Labs / EC-Council）
● CEH Master（EC-Council）
● OffSec Penetration Tester（Offensive Security）
