「取引先から届いた請求書だと思って、添付ファイルを開いてしまった」
「Microsoft 365のアカウントを確認してください、というメールからログインした」
このような場面は、IT担当者がいない中小企業でも起こり得ます。最近の攻撃メールは、日本語が不自然とは限りません。取引先や社長になりすましたり、実際の業務に近い件名を使ったりするため、注意力だけで見抜くことは困難です。
中小企業の標的型攻撃メール・フィッシング対策で重要なのは、社員に「怪しいメールを見抜いてください」と求めるだけではありません。メールの技術的な対策、アカウントの保護、確認ルール、通報しやすい仕組み、定期的な訓練を組み合わせます。最初の一歩は、不審なメールを受け取った社員が「誰に、どの方法で連絡するか」を決めることです。
この記事の結論
中小企業では、次の順番で対策を進めます。
- 不審メールの社内連絡先を決める
- 添付ファイル、URL、送金依頼の確認ルールを決める
- メールサービスの迷惑メール対策と多要素認証を確認する
- 不審メールを報告する方法を全社員へ知らせる
- 年1～2回を目安に、責めない標的型攻撃メール訓練を行う
- クリック率だけでなく、報告できたか、初動できたかを確認する
年1～2回はすべての会社に共通する法定回数ではなく、無理なく継続するための運用例です。新入社員の入社時や、訓練結果から課題が見つかったときには、追加の教育を行います。
標的型攻撃メールとフィッシングメールの違い
両者は似ていますが、主な狙いや攻撃方法が異なります。
| 種類 | 主な特徴 | 狙われるもの | 例 |
| フィッシングメール | 実在するサービスなどを装い、偽サイトへ誘導する | ID、パスワード、認証コード、カード情報 | 「メール容量を超過しました」「アカウントを確認してください」 |
| 標的型攻撃メール | 特定の会社や担当者に合わせた内容を使う | 機密情報、社内への侵入口、端末の感染 | 取引先を装った見積書、採用応募を装った履歴書 |
| ビジネスメール詐欺 | 社長や取引先になりすまし、送金や口座変更を依頼する | 会社の資金 | 「至急、この口座へ振り込んでほしい」 |
| ばらまき型メール | 多数の宛先へ同じような内容を送る | 認証情報や端末への感染 | 配送通知、請求書、サービス停止通知 |
IPAは、企業を狙うメール攻撃として、フィッシング、ビジネスメール詐欺、標的型攻撃メール、なりすましメール、マルウェア感染を狙うメールなどを挙げています。また、メール攻撃は組織の誰もが対象になり得るため、組織全体へ対策を浸透させる必要があるとしています。
フィッシングは多要素認証があれば完全に防げる？
多要素認証は重要ですが、それだけで被害を完全に防げるとは限りません。偽サイトでID、パスワードに加えてワンタイムパスワードまで入力させ、その場で正規サイトへ不正ログインする「リアルタイムフィッシング」があります。IPAも、この手口では多要素認証が突破される場合があると説明しています。
そのため、次の対策を組み合わせます。
- メール内のリンクからログインしない
- ブックマークや公式アプリからサービスを開く
- 多要素認証を設定する
- 利用できる場合は、パスキーなどフィッシング耐性を考慮した認証方法を検討する
- 不審なログインや認証要求に気づけるよう通知を確認する
社長「多要素認証を設定したなら、もう訓練はいらないんじゃないか？」
担当者「認証を強くすることは大切ですが、偽の送金依頼や添付ファイルまでは防げません。」
社長「技術と社内ルールの両方が必要なんだな。」
なぜ中小企業にもメール対策が必要なのか
「うちには盗まれるような機密情報がない」と考えるかもしれません。しかし、攻撃者が狙うのは大企業の設計情報だけではありません。
- メールアカウント
- Microsoft 365やGoogle Workspaceのアカウント
- 顧客や取引先の連絡先
- 見積書、請求書、契約書
- インターネットバンキングの情報
- 社内ネットワークへ侵入するための足がかり
- 取引先へ攻撃メールを送るための信頼されたアカウント
取引先の正規アカウントが乗っ取られた場合、メールアドレスだけを見ても偽物とは判断できません。IPAが公開しているビジネスメール詐欺の事例にも、取引先のメールアカウントが乗っ取られ、正規のメールアドレスから口座変更が依頼された事例があります。
フィッシング対策協議会の2026年度版ガイドラインも、生成AIを利用した自然な文章や個別化されたメッセージによって攻撃が巧妙化し、不自然な日本語だけを手掛かりにした判別が難しくなっていると説明しています。
放置すると起こり得る問題
| 起こり得る問題 | 会社への影響 |
| メールアカウントの乗っ取り | 取引先へのなりすましメール送信、メールの閲覧 |
| マルウェア感染 | 情報漏えい、データ破壊、業務停止 |
| 偽サイトへの入力 | ID、パスワード、認証情報の窃取 |
| 偽口座への送金 | 資金損失、取引先との確認対応 |
| 顧客情報や契約情報の漏えい | 顧客対応、関係先への説明、調査対応 |
| 通報の遅れ | 被害範囲の拡大、ログや証拠の喪失 |
| 自社アカウントからの攻撃 | 取引先との信頼関係への影響 |
メール攻撃を起点として、情報漏えい、金銭の窃取、データ破壊、社内侵入の足がかり化などにつながる可能性があります。
中小企業が実施する6つの対策
1. 不審メールの連絡先を決める
目的
社員が迷ったままメールを開いたり、問題を隠したりしないようにします。
実際に行うこと
不審メールの連絡先を1つ決めます。
- 総務担当者
- 社内のIT兼任担当者
- 外部IT保守会社
- 専用のメールアドレス
- Microsoft Teamsなどの専用窓口
連絡先が一人だけの場合は、その人が休んだときの代理担当者も決めます。
社員へ伝える内容
次の場合は、自己判断で削除する前に連絡するよう伝えます。
- 添付ファイルを開いてしまった
- メールのURLを押した
- 偽サイトにIDやパスワードを入力した
- 認証コードを入力した
- 不審なアプリをインストールした
- 送金や口座変更の依頼を受けた
- 不審なメールを受け取ったが、まだ何もしていない
完了の基準
- 全社員が連絡先を確認できる
- 担当者不在時の代理先がある
- クリック後でも報告してよいと伝えている
- 報告を受けた担当者の初動手順がある
2. URL、添付ファイル、送金依頼の確認ルールを決める
社員に「注意してください」と伝えるだけでは、判断基準が曖昧です。行動として確認できるルールにします。
URLを含むメール
- メールのリンクからログインせず、公式アプリや保存済みのブックマークから開く
- 表示された文字ではなく、実際のリンク先を確認する
- 短縮URLや見慣れないドメインは、そのまま開かない
- モバイル端末で確認しにくい場合は、パソコンや管理担当者へ回す
添付ファイル
- 予定していないファイルは、送信者へ別の連絡手段で確認する
- 実行形式のファイルや、マクロの有効化を求めるファイルは開かない
- パスワード付き圧縮ファイルも、安全だと決めつけない
- 外部から届いたファイルは、メールサービスやセキュリティ製品の検査を通す
送金・口座変更
- メールだけで変更を確定しない
- 登録済みの電話番号など、メールとは別の方法で取引先へ確認する
- 一定額以上の送金は、二人以上で承認する
- 社長や役員からの依頼でも、通常の承認手続きを省略しない
- 確認した人、日時、連絡先を記録する
IPAの事例では、社長を装った金銭要求に対し、本人へ電話で確認したことで被害を防いだケースが紹介されています。
3. メールとアカウントの技術的対策を確認する
従業員の注意力だけに依存しないようにします。
最低限確認する項目
- 迷惑メール・マルウェア対策が有効になっている
- 全社員のアカウントに多要素認証を設定している
- 管理者アカウントを日常業務に使用していない
- 退職者や不要なアカウントが残っていない
- OS、ブラウザ、メールソフトを更新している
- 端末のウイルス対策機能が有効になっている
- 不審な自動転送ルールを確認できる
- 外部メールを識別する表示を検討している
- SPF、DKIM、DMARCの設定状況を確認している
SPF、DKIM、DMARCは、メール送信元の正当性を確認し、なりすましメールへの対応に利用される仕組みです。ただし、これらを設定すれば、すべてのフィッシングメールを防げるわけではありません。
フィッシング対策協議会の2026年度版ガイドラインでは、送信ドメイン認証、多要素認証、ドメイン管理、利用者への周知、被害発生時の対応などが対策項目として整理されています。
外部IT業者への質問例
- 現在の契約で迷惑メール対策は有効ですか
- 添付ファイルやURLは、どのように検査されていますか
- 全社員の多要素認証の設定状況を確認できますか
- 管理者アカウントは何個あり、誰が利用していますか
- 不審なログインやメール転送ルールを確認できますか
- 当社ドメインのSPF、DKIM、DMARCは設定されていますか
- アカウントが乗っ取られた場合、どこへ連絡すればよいですか
- ログはどの期間確認できますか
契約プランや管理画面によって利用できる設定は異なります。具体的な操作は、利用中のサービスの公式手順または外部IT業者へ確認してください。
4. 全社員へ短時間の教育を行う
長時間の研修を年1回だけ行うより、実際の業務に近い内容を短く繰り返す方が運用しやすくなります。
教育で伝える内容
- 差出人名だけでは本物と判断できない
- 日本語が自然でも安全とは限らない
- 急がせるメールほど、いったん止まる
- メールのリンクからログインしない
- 口座変更や緊急送金は別の方法で確認する
- 開いた後でも、すぐに報告する
- 報告した社員を責めない
IPAの学習ポータルでは、組織向けの教材として「5分でできる！情報セキュリティポイント学習」などが案内されています。自社で教材を一から作るのが難しい場合は、公的機関の教材を活用できます。
5. 標的型攻撃メール訓練を実施する
訓練の目的は、社員を引っかけて評価することではありません。
- 不審メールに気づけるか
- 迷ったときに確認できるか
- 正しい窓口へ報告できるか
- クリック後に隠さず申告できるか
- 担当者が初動対応できるか
これらを確認するために実施します。
訓練の進め方
手順1：目的と責任者を決める
経営者が訓練の実施を承認し、総務担当者やIT兼任担当者を責任者にします。
目的の例：
- 不審メールの報告方法が浸透しているか確認する
- クリック後の連絡速度を確認する
- 経理部門の口座変更確認ルールを確認する
記録する内容：
- 実施責任者
- 実施目的
- 対象者
- 使用する訓練内容
- 取得する記録
- 結果の利用範囲
手順2：対象とシナリオを決める
初回から巧妙すぎる内容にしないことが大切です。
初回の例：
- メール容量の確認
- 社内アンケート
- 配送通知
- パスワード期限の通知
次の段階の例：
- 取引先からの見積書
- 人事部門からの年末調整案内
- 社長を装った緊急依頼
- 経理部門への口座変更依頼
実在する取引先名や社員の個人情報を無断で利用しないようにします。また、給与、懲戒、災害、家族の事故など、社員へ必要以上の不安を与える題材は避けます。
手順3：正しい行動を事前に定義する
訓練前に「合格となる行動」を決めます。
- URLを押さずに報告する
- 添付ファイルを開かずに確認する
- 指定窓口へ転送または報告する
- クリック後にすぐ報告する
- 送金依頼を別の手段で確認する
手順4：訓練メールを送る
自社で実施する場合も、訓練メールが迷惑メール対策や外部監視に影響しないよう、利用中のメールサービスや外部IT業者へ事前に確認します。
訓練サービスを利用する場合は、次の点を確認してください。
- 取得するデータ
- 個人別結果の閲覧範囲
- データの保存期間
- 訓練用ドメインや送信元
- Microsoft 365やGoogle Workspace側で必要な設定
- 誤検知や問い合わせが発生した場合の連絡先
手順5：結果を集計する
クリック率だけで判断しないようにします。
| 確認項目 | 見る理由 |
| 開封・クリックの有無 | シナリオの影響を確認する |
| 情報を入力したか | 認証情報を守る行動を確認する |
| 報告できたか | 通報ルートの浸透を確認する |
| 報告までの時間 | 初動の速さを確認する |
| 担当者が対応できたか | 社内体制の実効性を確認する |
| 質問が多かった箇所 | ルールや説明の分かりにくさを確認する |
訓練結果は、個人を責める材料ではなく、仕組みを改善する材料として扱います。
手順6：短い振り返りを行う
訓練後は、次の点を全社員へ共有します。
- 訓練メールだったこと
- 怪しいと判断できるポイント
- 正しい報告方法
- クリックした場合の行動
- 次回までに変更するルール
個人名を出して「誰が引っかかったか」を公表する必要はありません。
担当者「クリックした人の一覧を全社員に見せますか？」
社長「それでは次から報告を隠す人が出そうだな。」
担当者「個人を責めず、報告しやすさと会社の仕組みを改善しましょう。」
6. クリック後の初動手順を決める
訓練よりも重要なのが、実際に開いてしまったときの対応です。
URLを押しただけの場合
- それ以上操作しない
- 画面を閉じる
- 不審メールの連絡先へ報告する
- メールの件名、受信時刻、行った操作を伝える
- 管理担当者がアクセス状況や端末を確認する
IDやパスワードを入力した場合
- 直ちに社内窓口へ報告する
- 正規サイトまたは管理者側でパスワードを変更する
- 他サービスで同じパスワードを使用している場合は変更する
- セッションの無効化や不審なログインの確認を行う
- 多要素認証の登録情報やメール転送ルールを確認する
- 実施した内容、確認者、確認時刻を記録する
添付ファイルを開いた場合
- それ以上ファイルを操作しない
- 社内窓口へ連絡する
- 外部IT業者や管理担当者の指示を受ける
- 端末、ファイル名、操作内容、時刻を記録する
- 必要に応じて、ネットワークからの隔離やログ確認を行う
慌てて端末を初期化したり、メールを完全に削除したりすると、調査に必要な情報が失われることがあります。端末の切断、電源操作、初期化については、社内手順または専門家の指示に従います。
よくある失敗
「怪しい日本語を探す」教育だけで終わる
自然な日本語の攻撃メールもあるため、日本語の違和感だけでは判断できません。依頼内容、リンク先、通常の手続きとの差を確認します。
クリックした社員を叱る
叱責されると思うと、社員が報告をためらいます。早い報告によって被害を抑えられる場合があるため、「開いた後でも報告したこと」を評価します。
訓練のクリック率だけを追う
クリック率が下がっても、不審メールを誰も報告していなければ、実際の攻撃を把握できません。報告率、報告時間、担当者の初動も確認します。
全社員へ同じ難易度の訓練を続ける
経理、人事、営業、経営者では、受け取りやすい攻撃メールが異なります。業務に応じて題材を変えつつ、個人を狙い撃ちするような運用は避けます。
訓練を抜き打ちテストのまま終わらせる
訓練後に解説やルール改善をしなければ、社員には「だまされた」という印象しか残りません。振り返りまでを訓練に含めます。
よくある質問
Q1. 従業員10人程度の会社でも訓練は必要ですか？
大規模な訓練である必要はありません。まずは、架空の不審メール例を全員で確認し、「どこへ報告するか」を実際に試す机上訓練から始められます。社員数が少ない会社ほど、一人のアカウントが複数業務とつながっている場合があるため、初動連絡を決めておくことが重要です。
Q2. 標的型攻撃メール訓練は無料でできますか？
小規模な机上訓練や、公的機関の教材を使った教育は低コストで始められます。IPAのポータルでは、組織向けの教育・学習資料が案内されています。実際の訓練メールを一斉送信する場合は、送信環境、記録管理、個人情報の扱いを確認してください。
Q3. 訓練は抜き打ちで行うべきですか？
抜き打ちに限定する必要はありません。初回は「今月、メール訓練を行います」と予告して、報告方法を覚えてもらう方法があります。慣れてから実際の状況に近い訓練へ進めます。重要なのは、社員を驚かせることではなく、正しい行動を身につけることです。
Q4. 訓練でクリックした社員へ再教育してもよいですか？
再教育はできますが、懲罰的にならないようにします。クリックした本人だけを責めるのではなく、メールの難易度、社内ルール、報告ボタンの分かりやすさ、業務上急いでしまう理由も確認します。
Q5. Microsoft 365やGoogle Workspaceを利用していても対策は必要ですか？
必要です。クラウドサービス側の迷惑メール対策があっても、正規アカウントから送られたメールや、業務に近い内容を使った詐欺をすべて防げるとは限りません。多要素認証、メール設定、社内確認ルール、教育を組み合わせます。
Q6. 訓練の実施は法律で義務付けられていますか？
すべての中小企業に対して、同じ方法や回数の標的型攻撃メール訓練を一律に義務付けるものとして、この記事では扱っていません。ただし、取扱情報、契約、業界ルール、取引先からの要求によって必要な対応は異なります。自社に適用される契約や制度は、顧問専門家や所管団体へ確認してください。
まとめ
中小企業の標的型攻撃メール・フィッシング対策では、社員の注意力だけに頼らないことが重要です。
まず、不審メールの連絡先と、送金・口座変更を別の方法で確認するルールを決めます。次に、多要素認証、迷惑メール対策、管理者アカウント、送信ドメイン認証の状況を確認します。
訓練では、クリックした社員を探して責めるのではなく、報告できたか、担当者が初動できたか、ルールを改善できたかを確認してください。
