不審なメールの見分け方と、開いてしまったときに社内で決めておきたい動き方

01見た目だけでは見分けにくくなっている

フィッシング（本物そっくりの偽のメールやサイトでIDやパスワードを盗む手口）の報告は増え続けています。報道によると、フィッシング対策協議会の「フィッシングレポート2026」では、2025年1年間の報告件数が245万件あまりで、過去最多でした。

同じレポートでは、攻撃する側が自分で取ったドメイン（メールアドレスの@より後ろの部分）を使い、迷惑メールの仕分けをすり抜ける手口が増えていると伝えられています。警察庁も、メールやSMSのリンクは見た目で本物かどうかを判断しにくいとしています。ですから、「怪しいものを見抜く」ことだけに頼らず、「見抜けなかったときにどう動くか」まで決めておくことが大切です。

02届いたときに確かめたい手がかり

IPAが2026年8月に公開した企業向けの資料「企業組織を狙うメールを悪用した攻撃の手口とその対策」は、いくつかの手がかりを挙げています。1つ目は、急ぎを強調して、リンクを押させようとしていないか。2つ目は、取引先からの請求書で、振込先の口座の変更を頼んでいないか。3つ目は、社長や役員を名乗り、急ぎの振り込みを求めていないか。4つ目は、差出人の名前は社長なのに、実際のアドレスが無料のメールサービスになっていないか、です。

同じ資料は、本物の取引先のアドレスから届いたメールでも、やりとりの途中に不自然な割り込みがないかに気をつけるよう書いています。取引先のメールが乗っ取られていることもあるためです。また、知らない相手からでも、仕事に関係がありそうで開かざるを得ない内容に作られているメールがあるとしています。

03お金とパスワードは、メール以外の道で確かめる

警察庁は、送金に関するメールは、電話などで送り主の担当者に内容を確かめるよう呼びかけています。そのときの連絡先は、メールに書かれたものではなく、名刺や自社の住所録にあるものを使います。振込先の変更や急ぎの送金の依頼には、この確認を社内のきまりにしておくと、担当者が一人で判断せずに済みます。IPAの資料も、送金するときの承認のきまりを整えることを対策に挙げています。

ログインを求めるメールについては、警察庁は、リンクを押さずに、ブックマークに登録した公式サイトや公式アプリから開くことを勧めています。金融機関がメールやSMSでIDやパスワードを問い合わせることはない、とも書いています。

04開いてしまったときの動き方

IPAの資料は、利用する人がすることを次のように示しています。添付ファイルを開いてしまったら、そのパソコンをネットワークから切り離す。パスワードを入力してしまったら、すぐに変える。同じパスワードをほかのサービスでも使っていれば、そちらも変える。そして、社内の担当者や責任者に連絡し、指示を受ける、という流れです。報告するときは、受け取った日時、送り主、リンクや添付ファイルがあったか、押したり開いたりしたかを伝えると、担当者が状況をつかみやすくなります。

ビジネスメール詐欺（取引先や経営者になりすましてお金を振り込ませる詐欺）で振り込んでしまった場合について、警察庁は、すぐに送金元の銀行に取り消しや組戻し（振り込んだお金を戻してもらう手続き）を頼むこと、メールを保存して警察に相談することを挙げています。海外の口座に送られると取り戻すのはとても難しいとされているため、早く動くことが何より大切です。

05言い出しやすい会社にしておく

開いてしまった人が黙っていると、被害は広がりやすくなります。IPAの資料は、うっかりしかけた例も含めて、情報を担当者に集めることを勧めています。報告先と連絡の方法を一つに決めて全員に伝えておくこと、報告した人を責めないこと。この2つは費用をかけずに始められます。社内に専任の担当者がいない場合は、IPAの「企業組織向けサイバーセキュリティ相談窓口」や、警察の相談窓口も使えます。法律や契約に関わる判断が必要になったときは、専門家にご相談ください。