TL;DR
- 01何が起きたか
米オレゴン州のポートランド市は 2025 年 3 月、浄水場の建設を請け負う共同企業体に払うはずの 670 万ドル（約 10 億円）を、その社員を装う相手が指定した口座へ送った。相手は、取引先の登録を管理する SAP Ariba で、取引先の振込先を書き換えていた（米司法省、市の宣誓供述を引いた報道）。
- 02なぜ通ったか
最初にメールで振込先の変更を頼まれたとき、市は登録済みの連絡先に確認を送り、返事が無かったので変えなかった。ところが相手は次に、取引先登録のパスワード再設定のリンクを送り直すよう頼み、そのリンクは本人ではなく相手に届いた。そこからの書き換えは、取引先自身の正規の操作として見える。
- 03欠けていた層
3 月 25 日、受け手の銀行が不正の疑いを知らせ、市は支払いの停止を求めた。資金は受け手の口座に残っていて 4 月に差し押さえられ、のちに全額が市に返った。それでも 3 月 21 日の送金は通った。効かなかったのは、新しい振込先を、取引先の登録済みの連絡先で照合してから払う層である。
何が起きたか
- 当事者
- 米オレゴン州ポートランド市。水道局が進める浄水場（Bull Run Filtration Project・総額約 21 億ドル）の建設を、MWH Constructors と Kiewit の共同企業体（MWH-Kiewit）が請け負っている。
- 装われた人
- MWH の提案担当の社員。市の取引先の台帳に、この社員が契約の窓口として載っていた（市の訴状を引いた報道）。市は、この社員が盗んだとは考えておらず、名前を使われたとみている。
- 被害
- 670 万ドルの工事代金が、相手が指定した口座へ送られた。2025 年 4 月 16 日、FBI がその口座に残っていた 674 万 8,680 ドルを差し押さえた（米司法省）。8 月、資金は連邦保安官局から市に返された（報道）。
- 受け手の口座
- ニューヨークの法律事務所の名義の、預り金の口座だった。市は一時この事務所を訴えたが、事務所も被害者だったとして取り下げた（報道）。
- 侵入の経路
- 相手が取引先のメールに入り込んでいたかは公表されていない。ENR は、フィッシングでメールが破られたことから始まった可能性が高いとみている（推測）。逮捕者は出ていない（2025 年 9 月時点）。
用語メモ
SAP Ariba — 取引先の登録情報や請求・支払いを管理するクラウドのサービス。ポートランド市は 2025 年 2 月に入れ、取引先に使うよう求めた。
パスワード再設定のリンク — ログインできなくなったときに送られる、パスワードを決め直すためのリンク。受け取った人が、そのアカウントに入れるようになる。
民事没収 — 犯罪で得た資金を、刑事の有罪を待たずに国が差し押さえ、被害者に返すための民事の手続き。
攻撃は次の連鎖で成立した（市の弁護士の宣誓供述を引いた ENR の報道に拠る）。
止めどころは ③。リンクを送る先、または書き換えられた振込先を、取引先の登録済みの連絡先で照合していれば、④ の送金は起きない。① の確認は効いていた。
2025 年 2 月。銀行の口座確認書が添えられていた。確認に返事が無く、市は変えなかった。
同じ宛先に見えるメールアドレスへ送るよう求めた。
リンクは本人ではなく相手に届いた。
3 月 21 日。決済日は 3 月 25 日。
3 月 25 日。資金は受け手の口座に残っていた。
時系列 — 公表と対応
- 市が SAP Ariba を入れ、取引先に使うよう求める。同じ月、MWH の社員を名乗るメールが、振込先の変更を頼む。市は登録済みの連絡先に確認を送り、返事が無いため変えない。続いて相手が再設定のリンクの送り直しを頼み、市が送る。
- 市が 670 万ドルを送る。決済日は 3 月 25 日。
- 相手が、振込先が誤っていたとして、別の口座への変更をメールで求める。ENR は、この差し替えが不正の警告のきっかけになったらしいとしている。
- 受け手の銀行 Chase が、市の銀行 Wells Fargo に不正の疑いを知らせる。市の副コントローラーが、支払いの拒否・停止を指示する。
- 相手が、支払いの状況を聞く電話を市にかけ始める（計 10 回）。
- 水道局が、MWH の社員が装われていたことを確認する。
- FBI が令状を得て、674 万 8,680 ドルを差し押さえる。
- 米司法省（オレゴン地区連邦検事局）が、民事没収の訴えを起こしたと発表する。
- 連邦保安官局が資金を市に返す。
2 月の依頼の経緯と 3 月 21 日〜25 日の動きは、市の弁護士の宣誓供述を引いた ENR の報道に拠る。宣誓供述そのものは確認できていない。2 月の書き換え（取引先を装う相手が支払いのシステムに入り、振込先を変えた）と差し押さえの金額・日付は、米司法省の発表（一次）に拠る。リンクが届いた宛先が、取引先に似せたアドレスだったかは公表されていない。米司法省は書き換えを 2 月とするが、ENR の経過では、リンクの送付と書き換えは 3 月 21 日の約 2 週間前で、3 月上旬だった可能性がある。
公表後の対応
- ポートランド市: 受け手の口座を持つ法律事務所をニューヨーク州の裁判所に訴え、資金が動かされないようにした。事務所が FBI の捜査に協力し、自らも被害者だったと示したため、訴えを取り下げた（報道）。市長は、地元と連邦の捜査機関の速い動きで、資金が「悪い手に渡る前に」止まったとする声明を出した（報道）。
- 米司法省: 同様の被害に遭ったら、ためらわず捜査機関に知らせるよう呼びかけた。今回の回収は、市が知らせたから可能だったとした。
なぜ止まらなかったか
この事案の失敗は、メールの見分けでも、銀行の検知でもない。取引先の振込先を書き換える操作が、取引先の登録済みの連絡先と照合されないまま有効になり、そのまま支払いに使われたことにある。
メールでの振込先の変更は、登録済みの連絡先への確認で止まった。次に送られた取引先登録のパスワード再設定のリンクは、依頼者の手に渡り、振込先はそこで書き換えられた。
ここでいう証明は、新しい振込先が本当にその取引先のものかを、払う前に取引先の登録済みの連絡先で照合し、記録に残すこと。検出は、送金のあとに不正の疑いに気づくこと。
別の口座へ
メールでの最初の依頼は登録済みの連絡先への確認で止まったが、再設定のリンクの送り先を照合したという記述は無く、そこを通った書き換えは取引先自身の操作と区別がつかない。資金が戻ったのは受け手の銀行の通報と差し押さえによるもので、送金そのものは通った。この隔たりが検出と証明の落差であり、構造的な欠落である。
同じ構造は、ポラリス HD・Booking.com（正規の管理画面で、ホテルの受取口座が書き換えられた）にも現れている。
対策するには
取引先の振込先の変更は、どの道から入っても、取引先の登録済みの連絡先で照合できたものだけを有効にする。メールの依頼でも、取引先が自分でポータルから変えた場合でも、パスワードの再設定を経た場合でも同じにする。そうすれば、取引先を装う相手がログインまで手に入れても、それだけでは支払いの行き先は変わらない。検出の代わりではなく、検出の手前に置く層である。
注意したい業界・業務
- 業界行政・公共
- 工事や委託の取引先が多く、支払いの額も大きい自治体・公共の事業者。取引先と窓口の名前は、入札や契約の公開情報から分かる。
- 業界建設
- 大きな工事では、発注者や元請けから下請けへの支払いが続く。工事の中断や再開の時期も公になりやすい。
- 業務振込先・口座の変更
- 取引先の振込先の変更と、取引先の登録へのログインの再設定。
いまの対策で防げるか
| 対策 | 今回 | 理由 |
|---|---|---|
| 登録済みの連絡先への確認 | 一部 | 効いた：メールでの振込先の変更の依頼は、確認に返事が無く変えなかった。効かなかった：再設定のリンクの送り先を照合したという記述は無く、リンクは相手に届いた。 |
| 取引先ポータルでの自己登録 | 効かない | 効かなかった：ログインを手に入れた相手の入力も取引先自身の操作に見え、振込先の書き換えが通った。 |
| 銀行の不正の検知 | 一部 | 効いた：送金の 4 日後に受け手の銀行が不正の疑いを知らせ、差し押さえを経て資金は戻った。効かなかった：送金そのものは止めていない。 |
| 職員の教育 | 一部 | 効いた：最初のメールの依頼は見抜いた。効かなかった：再設定のリンクという別の道は防げなかった。 |
- 振込先の変更とログインの再設定を、同じ照合にかける。どちらも、取引先の登録済みの連絡先で照合できたときだけ有効にする。依頼者が示した宛先には送らない。
- 新しい振込先が取引先のものかを、払う前に照合する。口座の名義と取引先が合うかを、支払いの前に見る。
- 誰が、何で照合して変更を通したかを残す。支払いの前にその記録を見て、記録の伴う振込先にだけ払う。記録は後から第三者に示せる形、つまり証明として残す。
取引先の振込先について、組織で確認する 3 項目
- 取引先の登録へのログインの再設定を、登録済みの連絡先以外へ送れる手順になっていないか。
- 振込先が変わった直後の支払いを、照合が済むまで保留にしているか。
- 振込先の変更を、取引先の名前で届いたメールの中にある連絡先ではなく、登録済みの連絡先で確認しているか。
注：取引先の登録済みの連絡先そのものが乗っ取られている場合は、この照合を通りうる。また、照合は振込先の行き先を守るもので、取引先を装う相手が請求の中身を偽ることは別に防ぐ必要がある。
Sources
- 一次米司法省 オレゴン地区連邦検事局 “United States Files Forfeiture Action to Recover $6.7 Million in Stolen Funds”
報道・解析 3 件
- 報道・市の弁護士の宣誓供述を引用ENR “How Portland, Ore., Recovered a Stolen $6.7M Payment Meant for MWH-Kiewit”
- 報道・市の訴状を引用Willamette Week “Feds Investigate $6.7 Million in Stolen Vendor Payments From Bull Run Filtration Project”
- 報道Willamette Week “City Recovers $6.7 Million From Scam That Targeted the Water Bureau”