手口の一覧が手に入ったところで、それだけでは何も変わらない。変わるのは、そのうちどれが自社の業務手順で止められるかを切り分けたときである。
情報処理推進機構（IPA）は2026年8月3日、「企業組織を狙うメールを悪用した攻撃の手口とその対策」を公開した。資料は「はじめに」「攻撃の手口と発生する被害」「メール悪用攻撃への対策」「おわりに」の4部構成で、PDF形式で提供されている。
資料が挙げるメール悪用攻撃の手口は6つである。フィッシング、ビジネスメール詐欺（BEC）、標的型攻撃メール、組織になりすまし型メール、マルウェア感染狙いメール、偽セクストーションメール。対策は「事前の対策」「攻撃の検知」「事後の対応」の3段階で整理され、組織全体へ対策を浸透させる必要性が強調されている。
**この種の公的資料は、公開された時点では読まれ、そのまま棚に入る。**理由は明快で、資料が扱っているのは「一般的な組織」であり、読んだ側は自社の何をどう変えればよいかを自分で決めなければならないからである。本稿の目的は、その決め方を示すことにある。
この記事を読むべき人
- 情報システムの専任がおらず、セキュリティ対策の優先順位を決めかねている中堅企業
- 迷惑メール対策の製品は入れているが、それで何が防げているか分からない会社
- 経理や総務が、取引先からのメールで振込先変更の連絡を受け取ることがある会社
- 従業員へのセキュリティ教育を、年1回の座学で済ませている会社
- 「うちの規模なら狙われない」と考えている経営者
FREE DOWNLOAD
中小企業のDX推進「失敗を防ぐ5ステップ」ガイドを無料でお送りします
多くの企業がつまずくポイントを着手順に整理した無料ガイド。相談する前に、自社の現在地と進め方を掴めます。
6つの手口を、被害の性質で3つに束ねる
IPAが挙げた6分類は、攻撃の手口による分け方である。対策を考えるうえでは、**被害の性質による分け方に組み替えたほうが判断しやすい。**手口が違っても、防ぐ場所が同じなら対策はまとめられるからだ。
**束1：お金が直接出ていくもの。**ビジネスメール詐欺がここに入る。取引先や自社の役員を装って、振込先の変更や緊急の送金を指示する類型である。**被害額が最も大きくなりやすく、かつ技術的な侵害を伴わないことがある。**マルウェアも不正アクセスもなく、正規の手続きで送金が実行される。
**束2：認証情報が奪われるもの。**フィッシングと、組織になりすまし型メールの多くがここに入る。偽のログイン画面に誘導し、IDとパスワードを入力させる。**奪われた認証情報は、その後の侵入の起点になる。**メールアカウントが乗っ取られれば、そこから取引先へ攻撃が広がることもある。
**束3：機器が侵害されるもの。**マルウェア感染狙いメールと、標的型攻撃メールの多くがここに入る。添付ファイルやリンクを経由して、端末に不正なプログラムを送り込む。ここから内部への侵入、情報の窃取、ランサムウェアの展開へと進む。
**残る偽セクストーションメールは、性質が異なる。**これは実際には何も侵害していないのに、侵害したと偽って金銭を要求する類型である。技術的な被害はないが、従業員が個人的に動揺して独断で支払ってしまうことが実害になる。対策も他とは異なり、「そういうメールが来る」と事前に周知しておくことが最も効く。
**この束ね方が有用なのは、防ぐ場所が束ごとに違うからである。**束1は業務プロセスで防ぐ。束2は認証の仕組みで防ぐ。束3はメールと端末の対策で防ぐ。そして、多くの会社が予算を投じているのは束3だけである。
メールで止めるか、業務で止めるか
セキュリティ対策の議論は「どの製品を入れるか」に向かいやすい。だが、6分類のうち製品では止まりにくいものがある。
止まりにくい代表がビジネスメール詐欺である。理由は、このメールに技術的な異常がないことがある点にある。マルウェアも添付されず、リンクも踏ませない。**書かれているのは、日本語の文章だけである。**取引先の担当者名を使い、実際の取引の文脈に沿った内容で、振込先の変更を伝えてくる。
こうしたメールを、受信の段階で機械的に判別するのは難しい。したがって、止める場所は受信箱ではなく、送金の手続きになる。
送金プロセスで止めるための設計を示す。
**設計1：振込先の変更は、メール以外の経路で必ず確認する。電話でもよい。ただしメールに書かれている電話番号にかけてはいけない。**自社が以前から持っている連絡先にかける。この一点だけで、束1の大半は防げる。
**設計2：変更確認の担当を、送金実行者とは別にする。**急いでいる本人が確認すると、確認が形式化する。
**設計3：金額の閾値で手続きを変える。**すべての送金に厚い確認を課すと業務が回らない。一定額以上、または新規の振込先、または変更のあった振込先に限定する。
設計4：役員からの緊急指示という形式そのものを、社内で無効にする。「社長から直接メールで送金指示が来ることはない」と決め、周知する。指示が来ないと決めておけば、来た時点で偽物と分かる。
**この4つは、いずれも費用がかからない。必要なのは、決めて周知することだけである。そして費用がかからない対策ほど、実施されないまま放置されやすい。**予算が要らないので、稟議も企画も発生せず、誰の仕事にもならないからである。
認証情報を奪われても被害が広がらない形にする
束2への対策は、「奪われないようにする」だけでは不十分である。人は騙される。教育で発生率を下げることはできても、ゼロにはできない。
したがって、奪われた後に被害が広がらない形を並行して用意する。
手当て1：多要素認証を、外部から接続できる仕組みすべてに入れる。メール、業務システム、リモートアクセス。パスワードだけで入れる状態が残っていると、そこが穴になる。「主要なものには入れている」ではなく、「入っていないものはどれか」を列挙する。
**手当て2：同じパスワードを複数の場所で使わない状態を作る。**個人の努力に委ねると必ず破綻するので、仕組みで支える。
**手当て3：不審なログインを検知したときの経路を決めておく。**普段と違う場所からのログイン、深夜のアクセス。検知しても、誰が見て誰が判断するかが決まっていなければ、記録が残るだけになる。
**手当て4：メールアカウントの転送設定を定期的に確認する。**アカウントを乗っ取った側が最初に行うことのひとつが、メールの自動転送設定である。乗っ取られた事実が分からなくても、転送設定が増えていれば異常が分かる。
**手当て4は特に見落とされやすい。**多くの会社で、誰も転送設定を見ていない。管理画面から一覧できるので、月に一度確認するだけでよい。
「事前・検知・事後」の3段階をどう埋めるか
IPAの資料は、対策を事前の対策・攻撃の検知・事後の対応の3段階で整理している。この枠組みは実務的だが、中堅企業の現実では、3つの段階の埋まり方が極端に偏る。
典型的なのは次の状態である。
**事前の対策：ある程度埋まっている。**迷惑メール対策、ウイルス対策ソフト、年1回の教育。何かしら実施されている。
**攻撃の検知：ほぼ空白。**何かが起きたときに気づく仕組みがない。気づくのは、業務が止まったときか、外部から連絡が来たときである。
**事後の対応：完全に空白。**誰に連絡し、何を止め、どこに報告するかが決まっていない。
**そして予算は、ほぼすべて「事前の対策」に投じられている。**この偏りには理由がある。事前の対策は製品を買えば形になり、稟議が通しやすい。検知と事後は、手順を決める作業であり、成果が目に見えない。
**費用対効果で見ると、この偏りは合理的ではない。**事前の対策をどれだけ厚くしても、通り抜けるものはある。通り抜けたときに気づけず、気づいても動けない状態では、被害は最大化する。
**したがって、次に投じるべきは検知と事後である。**しかも、この2つは製品を買う話ではないため、費用がかからない部分が多い。事後の対応で決めるべきことを挙げる。
横にスクロールして確認できます
| 決めること | 決まっていないと起きること |
|---|---|
| 誰に第一報を入れるか | 各自が判断して動き、情報が集約されない |
| どの権限で何を止められるか | 止める判断ができず、被害が拡大する |
| 外部の支援先の連絡先 | 探すところから始まり、初動が半日遅れる |
| 取引先への連絡の判断 | 連絡が遅れ、二次被害と信頼低下が重なる |
| 記録の残し方 | 後から範囲を特定できず、報告内容が作れない |
1行目が最も重要で、最も簡単である。「おかしいと思ったら、まずここに連絡する」を1か所決めて周知するだけでよい。判断は後でよい。初動が遅れる最大の理由は、連絡先が決まっていないことである。
社内展開の順序
IPAの資料は「組織全体へ対策を浸透させる必要性」を強調している。だが、全社に一斉に展開しようとすると、たいてい形骸化する。順序を示す。
**第一段階：お金を扱う人に絞る。**経理、財務、購買。人数が限られており、束1の被害額が最も大きい。ここに前述の送金プロセスの設計を入れる。全社研修より、この数名との30分の打ち合わせのほうが効く。
**第二段階：外部とメールをやり取りする頻度が高い部署に広げる。**営業、カスタマーサポート、人事採用。外部からのメールが日常的に届く部署である。
**第三段階：全社に周知する。**この段階では、詳細な手口の解説ではなく、「おかしいと思ったらここに連絡する」の1点に絞る。全員が覚えるべきことは1つでよい。
**第四段階：訓練を入れる。**実際に模擬的なメールを送り、反応を見る。ここまで来て初めて、教育の効果が測定できる。
**多くの会社が第三段階から始め、第一段階を飛ばしている。**全社周知は形になりやすく、実施した記録も残る。しかし、送金プロセスに手が入っていなければ、被害額が最大の類型は防げないままである。
訓練を「引っかかった人を探す仕組み」にしない
模擬メールを送る訓練は効果があるが、設計を誤ると逆効果になる。最も避けたいのは、訓練が「引っかかった人を特定して指導する仕組み」として運用されることである。
なぜ逆効果なのか。**実際の攻撃で最も価値があるのは、引っかかった人が自分から報告してくれることだからである。**リンクを踏んだ、認証情報を入力した、添付ファイルを開いた。この報告が早ければ、被害は限定できる。パスワードの変更、アカウントの停止、端末の切り離しが間に合う。
ところが、訓練で引っかかった人が責められる文化ができていると、本番では報告が来ない。「黙っていれば分からないかもしれない」という判断が働く。そして、報告されない侵害は、外部からの指摘で発覚するまで進行する。
したがって、訓練の設計では次の3点を守る。
**設計1：個人の結果を人事評価に結びつけない。**部署単位の傾向として扱う。
**設計2：測定する指標を「引っかかった率」だけにしない。****「気づいて報告した率」を並べて測る。**報告が増えることを成果として扱う。
設計3：訓練後の説明で、手口の巧妙さを強調する。「注意していれば分かるはず」ではなく、「これは気づきにくい」と伝える。気づけなかったことを恥と感じさせないほうが、報告は増える。
**この3点は、訓練の実施方法の話に見えて、実際には組織の文化の話である。**そして本番で効くのは、技術的な対策より、報告が来る文化のほうであることが多い。
正規のメールと見分けがつかない場合の運用
対策を検討していると必ず出てくるのが、「取引先からの正規のメールと、装ったメールの見分けがつかない」という問題である。結論から言えば、見分けは必要ない。
見分けを前提にすると、判断の精度は個人の注意力に依存する。忙しい日、締め切り前、担当者が不在の日には精度が落ちる。そして攻撃側は、まさにそのタイミングを狙う。
代わりに採るのは、内容によって処理経路を変える設計である。
**経路1：振込先の変更、送金の依頼、口座情報の連絡。**メールの内容にかかわらず、既知の連絡先への電話確認を必須にする。**メールが本物であっても確認する。**確認が例外なく行われることに意味がある。
経路2：添付ファイルの開封、リンクの操作。業務上必要なものは開く。ただし、認証情報の入力を求められた時点で止まる、という基準を持つ。「メールから遷移した画面にIDとパスワードを入力しない」を全社の共通ルールにする。
**経路3：それ以外の通常の連絡。**特別な確認は行わない。
**この3経路に分けると、確認の負担は経路1と経路2に集中する。**そして経路1に該当する連絡は、実際にはそう多くない。全メールに警戒を求めるより、対象を絞って例外なく確認するほうが、運用として続く。
資料をそのまま配ってはいけない理由
公的機関の資料は無償で入手でき、内容も信頼できる。そのまま社内に配布したくなるが、勧めない。理由は2つある。
**理由1：分量が読まれない。**PDFで配布された資料が全社員に読まれることは、まずない。読まれるのは、自分の業務に関係する1ページである。
**理由2：自社に当てはまらない部分が混ざる。**公的資料は幅広い組織を対象にしているため、自社にない仕組みを前提とした記述が含まれる。読んだ側が「うちには関係ない」と判断すると、関係ある部分も一緒に捨てられる。
したがって、資料は自社で使う人が読み、そこから自社の手順に翻訳した1枚を作って配る。翻訳する作業自体が、自社の弱点を洗い出す工程になる。「この対策は、うちの誰がやることになるのか」を考えると、担当が決まっていない領域が見つかる。
よくある質問
Q. 迷惑メール対策の製品を入れていれば、ある程度は防げているのではないか。 A. 束3、つまりマルウェアを送り込む類型に対しては相応に効いている。一方、束1のビジネスメール詐欺は技術的な異常を含まないことがあり、製品では判別しにくい。製品で何が防げていて何が防げていないかを、導入した会社に確認しておくとよい。
Q. 従業員教育はどれくらいの頻度で必要か。 A. 頻度より形式のほうが効く。年1回の座学より、実際に模擬メールを送って反応を見る訓練を年2回行うほうが、行動の変化につながりやすい。ただし訓練の目的は、引っかかった人を責めることではなく、引っかかったときに報告できる空気を作ることにある。
Q. 偽セクストーションメールへの対応は。 A. 事前に周知しておくことが最も効く。**「そういうメールが届くことがあり、内容は事実ではなく、支払う必要はない」と伝えておく。**周知がないと、従業員が個人で判断し、誰にも相談せずに支払ってしまう可能性が残る。
Q. 取引先を装ったメールかどうか、見た目で判別できるか。 A. 判別できることもあるが、それを従業員の判断力に依存させる設計は勧めない。振込先の変更は必ず別経路で確認する、という手順にしておけば、判別できなくても止まる。
Q. うちは規模が小さいので狙われないのではないか。 A. 標的型攻撃のように特定の組織を狙う類型と、無差別に送られる類型がある。後者は規模を問わない。また、大企業と取引がある中堅企業は、その取引関係が理由で狙われることもある。
Q. 経営者本人も訓練の対象に含めるべきか。 A. 含めるべきである。**役員は、送金の決裁権限を持ち、かつ社外との接点が多いという点で、攻撃側から見て価値の高い対象になる。**加えて、役員が対象から外れている訓練は、社内で「経営は例外」という受け取られ方をする。訓練の目的が報告する文化を作ることにある以上、役員が参加していることの意味は大きい。
Q. 対策を始めるとして、最初の1つを選ぶなら何か。 A. 送金時の振込先確認を、メール以外の経路で行う手順にすること。**費用がかからず、被害額が最大の類型に直接効く。**次点は、おかしいと思ったときの連絡先を1か所決めて周知することである。
自社の手順に落とし込みたいとき
公的な資料を自社の業務手順に翻訳する作業は、資料を読む力ではなく、自社の業務を分解する作業である。どの業務のどの手順に、どの手口が入り込み得るかを一つずつ当てていく必要がある。
送金プロセスの確認手順、認証の設定、検知と事後の体制について整理したい場合は、セキュリティ関連の相談窓口で受け付けている。継続的に自社の状態を見て、優先順位を更新していきたい場合はセキュリティ顧問サービス、実際に不審なメールを起点とした事象が発生している場合はインシデント対応が該当する。
業務システム側の権限設計や、そもそもの業務手順の見直しから扱いたい場合はシステム開発・DX推進の相談でも対応する。どこから着手すべきか分からない段階でも、お問い合わせから現状を知らせてほしい。
なお、送信ドメイン認証の技術的な設定はDMARC・SPF・DKIMの設定ガイド、模擬訓練の進め方は中小企業向けフィッシングメール訓練ガイドで別途扱っている。本稿は、公開された資料を自社の手順へ翻訳する順序に絞っている。
参照した情報
- 情報処理推進機構（IPA）「企業組織を狙うメールを悪用した攻撃の手口とその対策」（2026年8月3日公開）: https://www.ipa.go.jp/security/support/abuse_email.html
- 同資料PDF（約4.2MB）: https://www.ipa.go.jp/security/support/rcu1hd0000019vmo-att/20260803_1.pdf
6つの手口の分類名、資料の4部構成、対策を事前・検知・事後の3段階で整理している点、組織全体への浸透の必要性への言及は、上記IPA公開資料の記載に基づく。**手口を被害の性質で3つに束ねる整理、送金プロセスの4つの設計、認証情報に関する4つの手当て、事後対応で決める5項目、社内展開の4段階は、GXOが中堅企業の実務に合わせて構成したものであり、IPAが示した枠組みではない。**IPAの資料は幅広い組織を対象としており、本稿はそのうち情報システム専任のいない中堅企業に絞って再構成している。個別の対策の要否と優先順位は業種・業態・既存の仕組みによって変わるため、本稿の順序をそのまま適用できるとは限らない。
