--- title: "標的型攻撃メール・フィッシングへの備えと訓練｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/phishing-drill/ description: "標的型攻撃メールやフィッシングへの備えは、怪しいメールの見分け方を知ること、迷ったらすぐ報告できる仕組みをつくること、訓練で慣れておくことの3つです。はじめての方向けに、見分けるときの観点、報告のしかた、訓練の考え方を説明します。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # 標的型攻撃メール・フィッシングへの備えと訓練 標的型攻撃メールやフィッシングへの備えは、怪しいメールの見分け方を知ること、迷ったらすぐ報告できる仕組みをつくること、訓練で慣れておくことの3つです。はじめての方向けに、見分けるときの観点、報告のしかた、訓練の考え方を説明します。 2026.11.12 [Webとシステム開発](https://www.ameliatechnology.co.jp/blog/category/web/) 執筆 [桐谷彰人](https://www.ameliatechnology.co.jp/blog/author/kiritani/)（取締役COO） Webとシステム開発（WEB & SYSTEMS）のコラム ## この記事の要点 - 標的型攻撃メールは、業務の連絡や実在の組織を装って特定の会社や人に送られ、添付ファイルやリンクからウイルスに感染させたり、情報を盗んだりします。 - 見分けるときは、差出人、件名と本文、添付ファイル、リンクの行き先を確かめ、迷ったら開かずに担当者へ報告します。 - 訓練は、引っかかった人を責めるためではなく、早く報告する習慣をつくるために行い、結果を教材と手順の見直しに使います。 標的型攻撃メールやフィッシングへの備えは、見分け方を知る、迷ったらすぐ報告する、訓練で慣れておく、の3つです。どれほど気をつけていても、よくできた偽のメールを見抜けないことはあります。そのため、「一人ひとりが見抜く」ことだけに頼らず、「開いてしまっても、すぐ報告して被害を小さくする」仕組みをあわせてつくることが大切です。 ## 標的型攻撃メール・フィッシングとは [標的型攻撃メール](https://www.ameliatechnology.co.jp/glossary/targeted-attack-email/)とは、特定の会社や人を狙って、業務の連絡や実在の組織を装って送られるメールです。添付ファイルを開かせたり、リンクを押させたりして、パソコンをウイルスに感染させ、社内の情報を盗もうとします。 [フィッシング](https://www.ameliatechnology.co.jp/glossary/phishing/)とは、実在の会社やサービスを装ったメールやメッセージで偽のWebサイトに誘い、IDとパスワード、クレジットカードの番号などを入力させて盗む手口です。メールだけでなく、スマートフォンのショートメッセージ（SMS）やチャットで届くこともあります。 IPAの「情報セキュリティ10大脅威 2026」の組織編では、「機密情報を狙った標的型攻撃」が5位に挙げられています。 出典：[情報セキュリティ10大脅威 2026（IPA、2026年1月29日）](https://www.ipa.go.jp/security/10threats/10threats2026.html) ## 怪しいメールは、どこで見分けますか 怪しいメールは、差出人、件名と本文、添付ファイル、リンクの4つの観点で確かめます。1つでも気になる点があれば、開く前に立ち止まります。 | 観点 | 気をつけたい点の例 | |---|---| | 差出人 | ふだんやり取りのない相手、表示の名前とメールアドレスが合わない、よく知る会社に似ているが少し違うドメイン | | 件名と本文 | 急がせる（「本日中に」「至急」）、不安にさせる（「アカウントが停止されます」）、自分に届く心当たりのない内容 | | 添付ファイル | 実行する形式のファイル、パスワード付きの圧縮ファイル、請求書や履歴書を装ったファイル | | リンク | 表示の文字と実際の行き先が違う、ログインの画面に誘う、短縮されたURL | 標的型攻撃メールは、実在の取引先や官公庁を名乗り、業務に関係のありそうな件名で届くことがあります。過去のやり取りの文面をそのまま使って返信を装う例もあり、見た目だけで見抜くのは難しくなっています。迷ったときは、メールに書かれた連絡先ではなく、名刺や社内の名簿の電話番号で、相手に送ったかどうかを確かめます。 ## 開いてしまったら、どうすればよいですか 開いてしまったら、最初にすることは、担当者への報告と、必要に応じたネットワークからの切り離しです。報告が早いほど、ほかの社員への注意の呼びかけや、パスワードの変更が間に合いやすくなります。 - **添付ファイルを開いた・リンクを押した**：パソコンを社内の手順に沿ってネットワークから外し、担当者に報告します - **偽の画面にパスワードを入れてしまった**：そのパスワードをすぐに変え、同じパスワードを使っているほかのサービスも変えます。担当者にも報告します - **怪しいメールが届いただけ**：開かずに担当者へ報告します。同じメールがほかの社員にも届いている可能性があるためです 報告を受けた後の会社としての動き方は、[セキュリティ事故に備える、初動の手順書のつくり方](https://www.ameliatechnology.co.jp/blog/incident-response-plan/)で説明しています。 ## 報告しやすい仕組みをつくる 報告が遅れる理由の多くは、「こんなことで報告してよいのか」「叱られるのではないか」というためらいと考えられます。報告の窓口を一つに決め、「迷ったら報告してよい」「報告した人を責めない」と、経営者から伝えておくことが大切です。 報告のしかたは、できるだけ簡単にします。 1. 報告の先を一つに決める（担当者のメールアドレスやチャットのチャンネルなど） 2. 怪しいメールは、転送か、画面の写真で送ってもらう 3. 報告を受けたら、お礼と、安全かどうかの結果を返す 報告した人に結果が返ってくると、次も報告しようと思いやすくなります。 ## 訓練は、どう考えればよいですか 訓練は、引っかかった人を見つけるためではなく、怪しいメールに気づき、早く報告する習慣をつくるために行います。訓練の結果は、教材と手順を見直すために使います。 ### 訓練の種類 - **メールの訓練**：訓練用の偽のメールを社員に送り、開いた人の割合と、報告した人の割合を見ます - **机の上の訓練**：「偽のメールを開いてしまった」場面を読み上げ、誰が何をするかを話し合います - **短い学習**：実際に届いた怪しいメールを題材に、見分けるところを数分で説明します ### 訓練で見る数字 訓練では、開いた人の割合だけでなく、報告した人の割合と、報告までにかかった時間を見ます。開いた人をゼロにするのは難しくても、報告が早く集まれば、会社として被害を小さくできるためです。 ### 訓練の後にすること 訓練の後は、どんなメールに引っかかりやすかったかを社員に伝え、見分けるところを具体的に示します。開いてしまった人を名指しで責めることは避けます。社員の教育を年間でどう続けるかは、[社員のセキュリティ教育を続けるには](https://www.ameliatechnology.co.jp/blog/security-education-continuous/)で説明しています。 ## メール以外で届くものにも気をつける 偽のメッセージは、メールだけでなく、スマートフォンのショートメッセージ（SMS）やチャット、SNSのメッセージでも届きます。宅配便の不在の連絡や、使っているサービスの支払いの確認を装って、偽のWebサイトに誘う形があります。 メッセージのリンクからログインの画面を開くのではなく、ふだん使っているアプリや、ブラウザに保存した正しいページから確かめる習慣をつけると、偽のサイトに入力してしまう危険を減らせます。会社の業務で使うスマートフォンについても、同じ考え方を社員に伝えておきます。 ## メール以外の手立ても組み合わせる 一人ひとりの注意に加えて、仕組みでも守ります。偽のメールを届きにくくする設定、パスワードが盗まれてもログインされにくくする[多要素認証](https://www.ameliatechnology.co.jp/glossary/mfa/)、パソコンの更新とウイルス対策を組み合わせます。 自社のドメインを名乗るなりすましのメールを減らす設定は、[SPF・DKIM・DMARCとは。なりすましメールへの対策](https://www.ameliatechnology.co.jp/blog/email-authentication-spf-dkim-dmarc/)で説明しています。取引先を装って振込先の変更を求める手口への備えは、[ビジネスメール詐欺（BEC）を防ぐ社内の手順](https://www.ameliatechnology.co.jp/blog/bec-prevention-steps/)にまとめています。 ## 当社のご支援 アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、社員向けの訓練と教育、報告の窓口と手順づくりをご支援しています。AIを使ったなりすましのメールや偽の音声に備えた社内のルールづくりもお手伝いしています。まずは無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)で、自社の備えを確かめることもできます。 - 標的型攻撃 - フィッシング - 訓練 - 情報セキュリティ ## この記事に出てくる用語 - [標的型攻撃メール](https://www.ameliatechnology.co.jp/glossary/targeted-attack-email/) - [フィッシング](https://www.ameliatechnology.co.jp/glossary/phishing/) - [Webサイト](https://www.ameliatechnology.co.jp/glossary/website/) - [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/) - [ドメイン](https://www.ameliatechnology.co.jp/glossary/domain/) - [URL](https://www.ameliatechnology.co.jp/glossary/url/) - [ブラウザ](https://www.ameliatechnology.co.jp/glossary/browser/) - [多要素認証（MFA）](https://www.ameliatechnology.co.jp/glossary/mfa/) この記事を書いた人 [桐谷彰人](https://www.ameliatechnology.co.jp/blog/author/kiritani/) 取締役COO システムエンジニアとして、ビジネスモデルの策定から要件定義、開発、コードレビューまでを担当してきました。運送管理、飲食業向けのDX、ECサイトなど、さまざまな業界のシステム開発に携わっています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [ゼロトラストの考え方と、中小企業の始め方](https://www.ameliatechnology.co.jp/blog/zero-trust-for-smb/) - [Webアクセシビリティの対応。合理的配慮の義務化と進め方](https://www.ameliatechnology.co.jp/blog/web-accessibility-obligation/) - [発注者が知っておきたいテストの種類と確かめ方](https://www.ameliatechnology.co.jp/blog/testing-for-buyers/) [Webとシステム開発のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/web/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 業務で使うWebシステムをつくる 社内で使う業務システムやWebサービスを、要件定義から設計・開発・テスト、公開した後の運用まで受け持ちます。 [Webシステム開発を見る](https://www.ameliatechnology.co.jp/service/web-system/) ### まずは30分、オンラインで話してみる 何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。 [無料で相談する](https://www.ameliatechnology.co.jp/contact/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「標的型攻撃メール・フィッシングへの備えと訓練｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/phishing-drill/