電子契約のなりすましと詐欺リスク｜確認すべきポイントと社内対策
電子契約は、郵送や押印の手間を減らせる一方で、「メールのリンクをクリックして署名する」という仕組みそのものが狙われやすい面もあります。取引先を装った署名依頼メール、担当者になりすました契約、退職者のアカウントが残ったままの署名——どれも、仕組みを知らないまま運用していると気づきにくいものです。この記事では、署名する前に確認するポイント、ログで後から確かめられること、そして小さな会社でも回る社内ルールの作り方を、順番に整理します。
この記事の結論
- 電子契約の署名依頼メールは、差出人アドレス・宛先が自分個人宛か・契約相手と事前に話が進んでいるか、の3点をこの順で確認すると、偽メールの多くはふるい分けられます。
- 電子契約サービスには署名者のメールアドレス、日時、IPアドレスなどの操作履歴（ログ）が残るのが一般的で、後から「誰がいつ署名したか」を確認する手がかりになります。
- なりすまし対策は個人の注意力ではなく社内ルールで担保するもので、署名できる人を限定する・メール転送を禁止する・金額や条件の変更は別経路で確認する、の3つが基本になります。
電子契約の「なりすまし」はどこで起きるのか
電子契約でのなりすましは、大きく分けて3つの場面で起きます。1つ目は、取引先を装った第三者が偽の署名依頼メールを送り、リンク先で情報を入力させたり、実在しない契約に署名させたりするケース。2つ目は、社内の権限のない人が、本来署名すべき人の代わりに署名してしまうケースです。
3つ目は見落とされがちですが、アカウント管理の甘さから起きるものです。退職した担当者のメールアドレスが生きたままだったり、部署共有のアドレスで署名依頼を受け取っていたりすると、「誰が署名したのか」が後から特定しにくくなります。電子署名の技術そのものよりも、その手前のメールとアカウントの運用が弱点になりやすい、と考えておくと対策の方向が見えてきます。
つまり、電子署名のセキュリティを考えるときは、暗号や技術仕様の話よりも先に、「署名依頼がどの経路で誰に届き、誰が開けるか」を点検するほうが実務的です。まずは自社の受信経路を紙に書き出してみてください。
署名する前に確認する5つのポイント
署名依頼メールが届いたら、次の順番で確認します。①差出人のメールアドレスのドメインが、取引先の正式なものと一致しているか。表示名は自由に変えられるため、表示名ではなくアドレスそのものを見ます。②自分（または自社の担当者）宛に、直接届いているか。心当たりのない第三者から転送されてきたものは、いったん止めます。
③その契約について、メール以外の経路で事前にやり取りがあるか。打ち合わせや見積のやり取りがないのに、いきなり署名依頼だけが来るのは不自然です。④リンク先のURLが、利用しているサービスの正規ドメインか。短縮URLや見慣れないドメインは、クリックする前に送信元へ電話などで確認します。⑤契約書の中身——特に契約金額、振込先口座、契約期間——が、事前に合意した内容と一致しているか。
5つのうち1つでも引っかかったら、署名せずに送信元へ別経路で連絡します。ここで重要なのは、確認の連絡先をメール本文に書かれた番号ではなく、以前から使っている連絡先や公式サイトの番号にすることです。メール本文の連絡先は、偽メールなら当然偽の番号が書かれています。
偽の署名依頼メールを見分けるコツと、メール転送のリスク
偽メールは年々見分けにくくなっていますが、共通して「急がせる」傾向があります。「本日中に」「期限切れになります」といった文言で、確認の時間を奪おうとする作りです。急かされていると感じたら、それ自体を警戒のサインとして扱ってください。急ぎの契約であれば、相手は電話でもフォローしてくるのが通常です。
もう1つ注意したいのが、署名依頼メールの転送です。「担当者が不在なので他の人に転送して署名してもらう」という運用は、誰が実際に署名したかを不明確にします。電子契約サービスの多くは、受任者の変更や代理署名の依頼を正規の機能として用意しているので、転送ではなく、サービス側の機能で署名者を切り替えるのが安全です。転送で署名した契約は、後から有効性を争われたときに説明が難しくなることがあります。
社内ルールとしては、「署名依頼メールの転送を原則禁止」「署名者を変えるときは、送信元に依頼し直してもらう」と決めておくと運用がぶれません。ひとり社長の会社でも、将来人が増えたときのために今から決めておくと楽です。
ログで何が確認できるのか
電子契約サービスには、一般的に操作履歴（監査ログ、証跡）が残ります。署名者のメールアドレス、署名や閲覧の日時、アクセス元のIPアドレス、送信者が誰に依頼したか、といった情報です。これらは契約書と一緒に保存されることが多く、後から「本当にこの人が署名したのか」を検証する材料になります。
トラブルを疑ったときは、まず該当契約のログを開き、①署名者のメールアドレスが想定した相手か、②署名日時が営業時間や相手の所在地として不自然でないか、③同じ契約に見覚えのないアクセスがないか、を順に見ます。不審な点があれば、その画面やPDFを保存しておきます。後から開示を求めるより、気づいた時点で手元に残すほうが確実です。
なお、ログに何が記録され、どのくらいの期間保存されるかはサービスごとに異なります。導入時や更新時に、利用中のサービスの公式サイトやヘルプで、ログの項目と保存期間、ダウンロード方法を確認しておいてください。契約書の保存方法については電子帳簿保存法との関係も出てくるため、要件の詳細は国税庁の資料や税理士に確認することをおすすめします。
小さな会社でも回る社内ルールの作り方
対策を個人の注意力に頼ると、忙しい日に必ず抜けます。ルール化するときは、欲張らず次の4点から始めてください。①署名できる人を限定する（代表と経理責任者のみ、など）。②署名依頼メールの転送を禁止し、署名者変更は送信元に依頼し直す。③契約金額・振込先・契約期間の変更は、メールだけで完結させず、必ず電話など別経路で確認する。④退職・異動が発生したら、その日のうちに電子契約サービスのアカウントを停止する。
次に、これを1枚の紙かドキュメントにして、契約に関わる全員が見られる場所に置きます。長い規程は読まれないので、A4で1枚に収める意識でまとめると運用に乗ります。新しく人が入ったときは、この1枚を渡して口頭で補足するだけで十分な出発点になります。
加えて、契約データのバックアップと、担当者以外もログインできる管理者アカウントの整備をしておくと安心です。ひとり社長の会社では、代表だけがアクセスできる状態になりがちですが、万一のときに誰も契約書を取り出せない、という事態は避けたいところです。
被害を疑ったときに、どの順で動くか
「署名してしまったかもしれない」「偽のリンクに情報を入力した」と気づいたときは、次の順で動きます。まず、使ったアカウントのパスワードを変更し、可能なら多要素認証を有効にします。次に、該当契約のログと画面を保存し、契約が進行中であればサービスの管理画面から取り消しや相手方への連絡ができないかを確認します。
並行して、本物の取引先に別経路で連絡し、その署名依頼が実在するものかを確認します。金銭の振込がすでに行われている場合は、取引先金融機関に速やかに連絡するとともに、警察（サイバー犯罪相談窓口など）への相談も検討してください。時間が経つほど選択肢が狭まるため、確認が取れる前でも「疑わしい段階」で動いて構いません。
その契約が有効と扱われるのか、損害をどう扱うのかといった判断は、事実関係によって大きく変わります。なりすましによる契約の効力や取引先との責任分担については、弁護士にご相談ください。あわせて、支払いや帳簿の処理については税理士に、社内の権限規程や就業規則の整備については社会保険労務士に相談すると、再発防止まで含めて整理しやすくなります。
よくある質問
電子署名は、紙の押印よりもなりすまされやすいのでしょうか。
一概にどちらが安全とは言えません。電子契約には署名日時やアクセス元などのログが残るため、後から検証しやすいという利点がある一方、メールを入口にする分、偽の署名依頼という手口が使われやすい面があります。仕組みの違いを理解したうえで、メールとアカウントの運用を固めることが実務的な対策になります。
署名依頼メールを社内の別の人に転送してもよいですか。
転送は避けるのが無難です。誰が実際に署名したのかが不明確になり、後から契約の有効性を説明しにくくなることがあります。署名者を変えたい場合は、送信元に依頼し直してもらうか、利用中のサービスの署名者変更機能を使ってください。
偽の署名依頼かどうか、どこで判断すればいいですか。
差出人アドレスのドメイン、自分宛に直接届いているか、事前のやり取りがあるか、の3点をこの順に確認してください。1つでも不自然な点があれば、メール本文の連絡先ではなく、以前から使っている電話番号など別経路で相手に確認します。
ログはどのくらいの期間、残るのでしょうか。
記録される項目や保存期間はサービスによって異なります。導入時や更新時に、利用中のサービスの公式サイトやヘルプで、ログの内容・保存期間・ダウンロード方法を確認しておくとよいでしょう。契約書の保存方法については電子帳簿保存法との関係も出てくるため、詳細は所管官庁の資料や税理士にご確認ください。