標的型攻撃メール・フィッシングへの備えと訓練

標的型攻撃メールやフィッシングへの備えは、見分け方を知る、迷ったらすぐ報告する、訓練で慣れておく、の3つです。どれほど気をつけていても、よくできた偽のメールを見抜けないことはあります。そのため、「一人ひとりが見抜く」ことだけに頼らず、「開いてしまっても、すぐ報告して被害を小さくする」仕組みをあわせてつくることが大切です。

標的型攻撃メール・フィッシングとは

標的型攻撃メールとは、特定の会社や人を狙って、業務の連絡や実在の組織を装って送られるメールです。添付ファイルを開かせたり、リンクを押させたりして、パソコンをウイルスに感染させ、社内の情報を盗もうとします。

フィッシングとは、実在の会社やサービスを装ったメールやメッセージで偽のWebサイトに誘い、IDとパスワード、クレジットカードの番号などを入力させて盗む手口です。メールだけでなく、スマートフォンのショートメッセージ（SMS）やチャットで届くこともあります。

IPAの「情報セキュリティ10大脅威 2026」の組織編では、「機密情報を狙った標的型攻撃」が5位に挙げられています。

出典：情報セキュリティ10大脅威 2026（IPA、2026年1月29日）

怪しいメールは、どこで見分けますか

怪しいメールは、差出人、件名と本文、添付ファイル、リンクの4つの観点で確かめます。1つでも気になる点があれば、開く前に立ち止まります。

標的型攻撃メールは、実在の取引先や官公庁を名乗り、業務に関係のありそうな件名で届くことがあります。過去のやり取りの文面をそのまま使って返信を装う例もあり、見た目だけで見抜くのは難しくなっています。迷ったときは、メールに書かれた連絡先ではなく、名刺や社内の名簿の電話番号で、相手に送ったかどうかを確かめます。

開いてしまったら、どうすればよいですか

開いてしまったら、最初にすることは、担当者への報告と、必要に応じたネットワークからの切り離しです。報告が早いほど、ほかの社員への注意の呼びかけや、パスワードの変更が間に合いやすくなります。

• 添付ファイルを開いた・リンクを押した：パソコンを社内の手順に沿ってネットワークから外し、担当者に報告します
• 偽の画面にパスワードを入れてしまった：そのパスワードをすぐに変え、同じパスワードを使っているほかのサービスも変えます。担当者にも報告します
• 怪しいメールが届いただけ：開かずに担当者へ報告します。同じメールがほかの社員にも届いている可能性があるためです

報告を受けた後の会社としての動き方は、セキュリティ事故に備える、初動の手順書のつくり方で説明しています。

報告しやすい仕組みをつくる

報告が遅れる理由の多くは、「こんなことで報告してよいのか」「叱られるのではないか」というためらいと考えられます。報告の窓口を一つに決め、「迷ったら報告してよい」「報告した人を責めない」と、経営者から伝えておくことが大切です。

報告のしかたは、できるだけ簡単にします。

1. 報告の先を一つに決める（担当者のメールアドレスやチャットのチャンネルなど）
2. 怪しいメールは、転送か、画面の写真で送ってもらう
3. 報告を受けたら、お礼と、安全かどうかの結果を返す

報告した人に結果が返ってくると、次も報告しようと思いやすくなります。

訓練は、どう考えればよいですか

訓練は、引っかかった人を見つけるためではなく、怪しいメールに気づき、早く報告する習慣をつくるために行います。訓練の結果は、教材と手順を見直すために使います。

訓練の種類

• メールの訓練：訓練用の偽のメールを社員に送り、開いた人の割合と、報告した人の割合を見ます
• 机の上の訓練：「偽のメールを開いてしまった」場面を読み上げ、誰が何をするかを話し合います
• 短い学習：実際に届いた怪しいメールを題材に、見分けるところを数分で説明します

訓練で見る数字

訓練では、開いた人の割合だけでなく、報告した人の割合と、報告までにかかった時間を見ます。開いた人をゼロにするのは難しくても、報告が早く集まれば、会社として被害を小さくできるためです。

訓練の後にすること

訓練の後は、どんなメールに引っかかりやすかったかを社員に伝え、見分けるところを具体的に示します。開いてしまった人を名指しで責めることは避けます。社員の教育を年間でどう続けるかは、社員のセキュリティ教育を続けるにはで説明しています。

メール以外で届くものにも気をつける

偽のメッセージは、メールだけでなく、スマートフォンのショートメッセージ（SMS）やチャット、SNSのメッセージでも届きます。宅配便の不在の連絡や、使っているサービスの支払いの確認を装って、偽のWebサイトに誘う形があります。

メッセージのリンクからログインの画面を開くのではなく、ふだん使っているアプリや、ブラウザに保存した正しいページから確かめる習慣をつけると、偽のサイトに入力してしまう危険を減らせます。会社の業務で使うスマートフォンについても、同じ考え方を社員に伝えておきます。

メール以外の手立ても組み合わせる

一人ひとりの注意に加えて、仕組みでも守ります。偽のメールを届きにくくする設定、パスワードが盗まれてもログインされにくくする多要素認証、パソコンの更新とウイルス対策を組み合わせます。

自社のドメインを名乗るなりすましのメールを減らす設定は、SPF・DKIM・DMARCとは。なりすましメールへの対策で説明しています。取引先を装って振込先の変更を求める手口への備えは、ビジネスメール詐欺（BEC）を防ぐ社内の手順にまとめています。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、社員向けの訓練と教育、報告の窓口と手順づくりをご支援しています。AIを使ったなりすましのメールや偽の音声に備えた社内のルールづくりもお手伝いしています。まずは無料のセキュリティの自己診断で、自社の備えを確かめることもできます。