「Microsoft 365のアカウントを確認してください」というメールを開き、表示された画面にメールアドレスとパスワードを入力した。その直後、URLがいつもと違うことに気づいた。
このような場合、メールを削除したり、パソコンを初期化したりする前に、アカウントの不正利用を防ぐ対応が必要です。フィッシングサイトへ入力したパスワードは、攻撃者に取得された可能性があるものとして扱います。
まず社員は、表示中のページを閉じ、社内の責任者へ事実を報告します。そのうえで、メールのリンクを使わずに正規サイトへ接続し、対象アカウントのパスワードを変更します。管理担当者は、パスワード変更だけで終わらせず、ログイン履歴、サインイン中の端末、多要素認証、メール転送設定なども確認してください。
この記事の結論
対応の全体像は次のとおりです。緊急時に順番を確認しやすいよう、ここだけは手順として整理します。
- フィッシングサイトを閉じ、それ以上操作しない
- 社内の責任者や外部IT業者へ報告する
- 正規サイトから対象アカウントのパスワードを変更する
- 同じパスワードを使っているサービスも変更する
- 不審なログイン、端末、セッション、認証方法、メール設定を確認する
- 入力した情報と実施した対応を記録する
大切なポイント
入力してしまったことを隠さず、できるだけ早く報告することが被害拡大の防止につながります。
フィッシングサイトに入力すると何が起こる？
フィッシングは、実在する会社やサービスを装ったメール、SMS、広告などから偽サイトへ誘導し、ID、パスワード、カード情報などを盗む手口です。画面が本物そっくりでも、入力した情報が正規サービスではなく攻撃者へ送信されることがあります。
会社のメールアカウントが乗っ取られると、本人のメールを読まれるだけでは済まない場合があります。攻撃者が社員や取引先になりすましてメールを送り、さらに別の人をフィッシングサイトへ誘導することがあります。また、メールをパスワード再設定先として利用しているサービスまで、不正に操作される可能性があります。
業務用アカウントでは、クラウドストレージ、顧客情報、社内システムなど複数のサービスとつながっていることがあります。そのため、「まだ不審な動きが見えないから大丈夫」と判断せず、早い段階でアカウントを保護することが重要です。
よくある会話
社長「パスワードを変更すれば終わりでは？」
担当者「変更は最優先ですが、すでにログインされた形跡や、転送設定を追加されていないかも確認します。」
何を入力したかで対応が変わる
最初に確認するのは、偽サイトでどこまで操作したかです。メールアドレスだけを入力した場合と、パスワードや認証コードまで入力した場合では緊急度が異なります。カード情報や銀行情報まで入力した場合は、アカウント対応に加えて金融機関への連絡も必要です。
| 入力・操作した内容 | 主な対応 |
| メールアドレスだけ | 社内へ報告し、今後届く不審な連絡に注意する |
| ID・パスワード | 直ちに変更し、ログイン履歴とセッションを確認する |
| 認証コード | 不正ログインを想定し、管理者が緊急確認する |
| カード情報 | カード会社へ連絡し、利用停止や明細を確認する |
| 銀行情報 | 金融機関へ直ちに連絡し、不正送金を確認する |
| アプリの実行 | 端末の通信を止め、専門家へ調査を依頼する |
特に、SMSや認証アプリに届いたコードまで入力した場合は、多要素認証を設定していても安心できません。攻撃者がその場で正規サービスへログインしている可能性を考え、セッションや認証方法まで確認します。
入力してしまった社員が行うこと
まず画面を閉じて、操作を増やさない
表示中のページでは、再度パスワードを入力したり、案内された電話番号へ連絡したりしないでください。「安全確認」「ウイルスを削除する」などのボタンが表示されても押しません。ファイルやアプリを追加でダウンロードせず、ブラウザの通知許可も行わずに画面を閉じます。
一方、きっかけになったメールやSMSは、担当者が確認する前に削除しないでください。件名、差出人、受信時刻、URLなどが調査材料になります。不審なリンクを別の社員へそのまま転送するのではなく、社内で決めた方法で報告します。
社内の責任者へ事実を報告する
社内のIT担当者、総務責任者、管理職、経営者、外部IT保守会社など、決められた窓口へ連絡します。社員がフィッシングかどうかを断定する必要はありません。「どのメールから、何を開き、何を入力したか」をそのまま伝えることが重要です。
報告例
本日10時ごろ、Microsoft 365を名乗るメールのリンクを開き、表示された画面に会社のメールアドレスとパスワードを入力しました。認証コードは入力していません。現在は画面を閉じています。使用した端末は営業用ノートパソコンです。
正規サイトからパスワードを変更する
変更するときは、受信メールやSMSにあるリンクを使いません。普段利用している公式アプリ、保存済みのブックマーク、社内ポータルなどから正規サービスを開きます。可能であれば、フィッシングサイトを開いた端末とは別の、安全が確認された端末を使用します。
新しいパスワードは、以前のものとは異なり、他のサービスで使用していないものにします。名前、会社名、生年月日などから推測されやすい文字列は避け、できるだけ長くします。ログインできなくなっている場合は、何度も試すのではなく、公式のアカウント復旧手順か管理者を通じて復旧してください。
使い回しているサービスも変更する
入力したパスワードを別のサービスでも使っている場合は、そちらも不正ログインされる可能性があります。会社メール、パスワード再設定先のメール、管理者アカウント、金融・決済サービス、顧客情報を扱うサービスなど、影響が大きいものから変更します。対象が多い場合は、変更したサービス名と時刻を記録して、漏れを防ぎます。
管理担当者が確認すること
ログイン履歴とサインイン中の端末
ログイン履歴では、本人が利用していない日時や端末からのアクセスがないかを確認します。通常とは異なる場所からのアクセス、短時間に繰り返されたログイン、本人が行っていない設定変更が見つかった場合は、画面と時刻を保存して調査へつなげます。
見覚えのない端末やセッションが残っている場合は無効化します。サービスに機能がある場合は、必要に応じて全端末からサインアウトし、改めて正規の端末からログインします。連携アプリや外部サービスが勝手に追加されていないかも確認してください。
多要素認証と復旧情報
多要素認証の設定では、見覚えのない電話番号、メールアドレス、認証アプリが登録されていないかを確認します。復旧用情報の変更や、多要素認証そのものの解除がないかも確認します。未設定の場合は、アカウントを保護した後で設定を検討してください。
メールの転送・受信ルール
メールアカウントが狙われた場合は、外部アドレスへの自動転送や、不審な受信トレイルールが追加されていないかを確認します。セキュリティ通知を削除したり別フォルダへ移したりするルール、不審な委任設定、身に覚えのない送信済みメールも確認してください。
管理者権限と共有データ
対象アカウントが管理者権限を持っている場合は、影響範囲が広がります。新しい管理者の追加、既存権限の変更、共有フォルダや外部共有の変更、アプリ連携の追加がないかを確認します。具体的な画面名や操作は契約プランで異なるため、利用中サービスの公式手順か外部IT業者の案内に従ってください。
端末をネットワークから切り離すべき？
パスワードを入力しただけで、必ず端末をネットワークから切り離すとは限りません。ただし、ファイルやアプリをダウンロードして実行した、ブラウザ拡張機能を追加した、遠隔操作を許可した、不審な警告や動作が続いている、といった場合はマルウェア感染も考えます。
その場合は、社内手順や外部IT業者の指示に従い、有線LANを抜く、Wi-Fiを無効にする、VPNを切断するなどで外部との通信を止めます。慌てて再起動や初期化をすると、調査に必要な情報が失われることがあります。電源操作や初期化は自己判断で行わず、担当者の指示を受けてください。
カードや銀行情報も入力した場合
クレジットカード情報を入力した場合は、カード会社へ速やかに連絡し、利用停止、再発行、不審な利用履歴、補償手続きを相談します。カード番号だけでなく、有効期限やセキュリティコードも入力した場合は、その内容を正確に伝えてください。
インターネットバンキングの情報を入力した場合は、金融機関へ直ちに連絡します。不正送金の有無を確認し、サービスの停止、暗証情報の変更、振込先登録の変更がないかを確認してください。実際に金銭被害が発生した場合や不正アクセスが確認された場合は、警察の相談窓口への連絡も検討します。
対応の記録を残す
記録は社員の責任を追及するためではなく、対応漏れを防ぎ、影響範囲を確認するために残します。少なくとも、発生・発見日時、対象者、端末、アカウント、入力した情報、メールやURL、実施した対応、確認結果、外部への連絡、完了日時をまとめます。
| 記録項目 | 内容 |
| 発生状況 | 受信・アクセス・入力・発見の日時 |
| 対象 | 社員、部署、端末、アカウント |
| 誘導情報 | 件名、差出人、URL、SMS番号 |
| 入力内容 | ID、パスワード、認証コード、金融情報 |
| 対応結果 | 変更、ログ確認、外部連絡、完了日時 |
よくある失敗
最も避けたいのは、報告した社員を責めることです。叱られると思えば報告が遅れ、被害が広がる可能性があります。まず「すぐに報告してくれて助かりました」と伝え、事実確認とアカウント保護を優先します。
また、パスワードを変更しただけで終わらせるのも十分ではありません。すでにログインされ、転送ルールや認証方法を変更されている可能性があるため、ログイン履歴、端末、セッション、メール設定まで確認します。
メールにある「パスワード変更」ボタンを再び使うことや、端末を慌てて初期化することも避けてください。正規サイトへ別経路から接続し、端末の復旧は担当者や専門家の判断に従います。
中小企業向け対応チェックリスト
最後に、緊急時に漏れなく確認するためのチェックリストを掲載します。この部分は、印刷して社内窓口へ置く使い方を想定しています。
操作した社員
- □ それ以上サイトを操作していない
- □ 入力した情報と認証コードの有無を確認した
- □ ダウンロードやアプリ実行の有無を確認した
- □ メールやSMSを削除していない
- □ 発生時刻とURLを記録した
- □ 社内の責任者へ報告した
- □ 自己判断で端末を初期化していない
管理担当者
- □ 正規サイトからパスワードを変更した
- □ 使い回し先の変更を確認した
- □ 不審なログイン、端末、セッションを確認した
- □ 多要素認証と復旧情報を確認した
- □ 転送設定、受信ルール、送信済みメールを確認した
- □ 管理者権限と共有設定を確認した
- □ 必要な外部連絡を行った
- □ 対応内容、時刻、確認者を記録した
- □ 情報漏えいと外部報告の要否を確認した
よくある質問
すぐパスワードを変更しました。これで大丈夫ですか？
変更は最優先ですが、それだけで完了とは判断しません。不審なログイン、端末、セッション、多要素認証、転送設定も確認します。
URLを開いただけで、入力していません。変更は必要ですか？
一律に必要とは限りません。ダウンロード、アプリ実行、通知許可の有無を確認し、社内担当者へ報告します。
認証コードも入力しました。どうすればよいですか？
不正ログインを想定し、直ちに管理者へ報告します。パスワード変更、セッション無効化、認証登録、転送設定、送信済みメールを確認します。
外部IT業者へ任せれば、社内では何もしなくてよいですか？
社内でも発生日時、対象アカウント、入力情報、端末、認証コードの有無を整理し、外部IT業者へ正確に伝える必要があります。
法律上の外部報告が必要ですか？
入力した事実だけで一律に決まるものではありません。不正アクセスの有無、個人データや取引先情報への影響、契約、業界ルールなどを確認して判断します。
まとめ
フィッシングサイトにパスワードを入力してしまったら、まずサイトを閉じ、社内の責任者へ報告します。正規サイトまたは管理者画面からパスワードを変更し、同じパスワードを利用しているサービスも変更してください。
管理担当者は、不審なログイン、登録端末とセッション、多要素認証、メール転送、送信済みメール、管理者権限と共有設定まで確認します。社員個人を責めるのではなく、早く報告できる仕組みを整えることが重要です。
