フィッシングメールとは？見た目では見抜けない「急かすメール」への対策
フィッシングメールは、取引先、社内の上司、クラウドサービスなどを装い、パスワードや認証情報を盗んだり、不正な操作をさせたりする攻撃です。
典型的な目的は、偽サイトへ誘導してアカウント情報を入力させることです。しかし近年は、支払先口座の変更、見積書の差し替え、ファイル共有通知、クラウドサービスの再ログイン要求など、日常業務に紛れ込む形も増えています。
見た目だけで判断するのは難しい
「知らない差出人なら開かない」は重要ですが、それだけでは十分ではありません。
攻撃者は、実在する取引先に似たドメインを使ったり、過去のメールの話題に合わせた内容を送ったりします。正規のアカウントが乗っ取られた場合には、本物のメールアドレスから不審なメールが届くこともあります。
そのため、受信者個人の注意だけに頼らず、メール基盤の防御、確認手順、通報経路を組み合わせる必要があります。Microsoftは、標的に合わせて内容を作り込むスピアフィッシングや、経営層・高権限者を狙う攻撃、送金や情報開示を誘導するビジネスメール詐欺を、フィッシングの代表例として整理しています。
医療機器メーカーで起こりやすい場面
医療機器メーカーや開発企業では、開発・品質保証・薬事・購買・営業など、外部とのメール連絡が多くなります。次のような内容は、特に慎重な確認が必要です。
- 請求書の振込先や支払口座の変更
- 取引先・委託先からのファイル共有リンク
- クラウドサービスや電子契約サービスへの再ログイン要求
- 設計資料、試験記録、品質文書の差し替え依頼
- 経営層や担当役員を装った至急の依頼
- 展示会、セミナー、採用応募に見せかけた添付ファイル
「急ぎ」「今日中」「他の人には相談しないで」といった言葉は、確認を省かせるための典型的な圧力です。
受信者が取るべき5つの行動
- メール内のリンクから、すぐにログインしない
普段使うブックマークや公式サイトから開き、通知内容を確認します。 - 支払先や重要な依頼は、別経路で確認する
取引先の登録済み電話番号、既存の連絡先、別の担当者などを使います。メール返信だけで確認を完結させません。 - 送信元表示だけで信用しない
氏名や会社名ではなく、メールアドレスのドメイン、依頼内容、リンク先を合わせて確認します。 - 迷ったメールを一人で抱え込まない
情報システム担当者や、あらかじめ決めた通報先へ転送・報告します。誤って開いた場合も、早く共有する方が被害を小さくできます。 - 認証情報を入力してしまったら、直ちに報告する
パスワード変更だけで済ませず、ログイン履歴、メール転送設定、外部アプリ連携なども確認します。
組織として整えるべきこと
フィッシング対策は、研修だけでは完結しません。
- SPF・DKIM・DMARCによる送信元ドメイン保護
- なりすましメールの検知・隔離
- 経営層、経理、購買、システム管理者などの保護対象設定
- URL・添付ファイルの検査
- 多要素認証の必須化
- 不審メールを簡単に報告できる通報ボタン・窓口
- 通報後に、同じメールを他の利用者にも届かないよう確認する手順
- メール転送ルールや外部アプリ連携の監視
Microsoft 365では、なりすまし保護の対象として、社内外の特定メールアドレスやドメインを設定できます。ただし、標準設定だけでは、保護する人物・ドメインが登録されていない場合があります。利用中のライセンスと設定を確認することが必要です。
5分セルフチェック
- 不審メールをどこへ報告すればよいか、全員が知っている
- 請求先口座の変更には、メール以外で確認するルールがある
- 経営層・経理・購買などを装うメールへの対策を設定している
- 多要素認証を全利用者に適用している
- 不審なリンクや添付ファイルを検査できる
- 通報されたメールを、管理者が調査・隔離できる
- 誤って認証情報を入力した場合の連絡先と初動手順が決まっている
AIGISのメールセキュリティ診断では
AIGISでは、単に「迷惑メール対策があるか」ではなく、次の観点を確認します。
メール基盤の設定
- なりすまし・役員・取引先を装うメールへの検知
- SPF・DKIM・DMARC失敗メールの扱い
- URL・添付ファイルの検査
- 隔離メールの確認・解除権限
- 不審メールの検索、追跡、削除の可否
運用の準備
- 支払先変更などの重要依頼を別経路で確認する手順
- 不審メールの通報先と対応責任者
- アカウント侵害時のセッション失効、転送設定確認、外部連携解除
- フィッシング訓練や注意喚起の継続
フィッシングメールへの対策は、「見抜ける人を増やす」ことだけではありません。
見抜けなくても、大きな被害へ進ませない仕組みを作ることが重要です。