30秒で分かる結論

独立行政法人どくりつぎょうせいほうじん情報処理推進機構（IPA）セキュリティセンターは2026年8月3日、企業組織を狙うメールを悪用した攻撃の手口と対策をまとめたレポート「企業組織を狙う攻撃メールの手口とその対策」を公開しました。中小企業のシステム担当者・情報セキュリティ担当者を主な対象に、「フィッシング」「ビジネスメール詐欺びじねすめーるさぎ（BEC）」「標的型攻撃メール」という3種類の攻撃の手口と実際に生じる被害、事前の対策に加えて、被害に遭ってしまった後にすべき事後対応までをまとめている点が特徴です。

レポートでは、攻撃者が自社の社長になりすましたメールを役職員へ送り、内容が不自然であっても「知っている相手だから」という信頼感からURLリンクをクリックしたり指示に従ったりしてしまう事例が紹介されています。対策としては、振込先や決済手段の急な変更が生じた場合にメール以外の方法で取引先へ確認すること、複雑なパスワードの設定とメールアカウントでの多要素認証の導入、そして被害後は社内規定に沿った報告とバックアップを使った事業継続などが挙げられています。

まず初めに

結論から言う。攻撃者はサーバーの穴を探すより先に、社員の「上司には逆らいにくい」という性質を探している。技術で殴ってくるとは限らない。心理で殴ってくることのほうが、実は多い。IT担当者がいない中小企業ほど、このレポートは読んでおいて損はない。

何が起きているのか

IPAセキュリティセンターは8月3日、「企業組織を狙う攻撃メールの手口とその対策」と題したレポートをPDF形式で公開しました。IPAの公式ページによると、想定読者は中小企業のシステム担当者や情報セキュリティ担当者です。レポートは、メールを悪用した代表的な攻撃手法として「フィッシング」「ビジネスメール詐欺（BEC）」「標的型攻撃メール」の3つを取り上げ、それぞれの手口の特徴と、実際に企業組織で発生している被害の内容を解説しています。

レポートが紹介する事例の一つが、社長など経営層になりすました詐欺メールです。攻撃者は役職員に宛てて、内容が唐突・不自然であっても、相手を知っているという信頼感を悪用し、メール内のURLリンクをクリックさせたり、社長になりすました指示に従わせたりします。これは、技術的な脆弱性ではなく、人の心理的な隙や信頼関係を悪用する「ソーシャルエンジニアリングそーしゃるえんじにありんぐ」と呼ばれる手法の一例です。

an office worker looking suspiciously at an email on a laptop screen with a warning icon, clean flat illustration, no text or logos

対策として、レポートでは、振込先や決済手段の変更など金銭に関わる依頼が急に来た場合は、メール以外の方法（電話など）で取引先に事実確認をすることを挙げています。あわせて、メールアカウントには10文字以上で大文字・小文字・数字・記号を組み合わせた推測されにくいパスワードを設定し、他のサービスと使い回さないこと、メールシステムへの多要素認証やアクセス制限の導入も望ましいとしています。被害に遭ってしまった後の対応としては、社内規定に沿って不審メールを報告する体制を整えること、組織全体でのセキュリティ教育を継続すること、事業継続のためにバックアップを取得しておくことが挙げられています。この公開は、INTERNET Watchでも報じられています。

なぜ重要なのか

フィッシング、ビジネスメール詐欺、標的型攻撃メールは、いずれも技術的な脆弱性を突くのではなく、メールを受け取った人の判断や心理を悪用する点が共通しています。ソフトウェアの更新だけでは防ぎきれない攻撃であるため、組織全体での対策と、被害に遭った後どう動くかをあらかじめ決めておくことの両方が重要になります。

今回のレポートは、専任のセキュリティ担当者を置きにくい中小企業を主な読者に想定している点も特徴です。フィッシングやBECは、大企業だけでなく取引先を装いやすい中小企業も標的になりやすく、事前の備えと事後対応の手順をまとめて確認できる公的機関の資料が公開されたことは、実務担当者にとって参考になります。

「事前対策」だけでなく「事後対応」も含まれている意義

この種のレポートは、これまで攻撃を受けないための予防策に重点が置かれがちでした。今回のレポートが、被害に遭った後の報告体制やバックアップによる事業継続まで踏み込んで扱っている点は、実務上大きな意味を持ちます。どれだけ対策を徹底しても、被害を完全にゼロにすることは難しく、「起きてしまった後にどう動くか」を事前に決めておくかどうかが、実際の被害の大きさを左右するためです。予防と事後対応をセットで用意しておくことが、現実的なリスク管理の姿勢だといえます。

私たちへの影響

一般の会社員であっても、経営層や取引先を装ったメールを受け取る可能性は誰にでもあります。レポートが紹介する「社長になりすましたメール」の事例のように、内容が急かすようなものであっても、送信元が知っている相手や役職者に見えると、つい指示に従ってしまいがちです。振込先の変更など金銭に関わる連絡は、メールの返信ではなく、普段使っている電話番号などメール以外の方法で本人・取引先に確認する習慣が有効です。

中小企業でシステムやセキュリティを担当している人にとっては、今回のレポートは、社内向けの注意喚起資料や研修内容を見直す際の参考資料として活用できます。特に、被害に遭った後の報告体制やバックアップの整備は、被害に気づいた後の対応スピードに直結するため、平時のうちに社内で確認しておく価値があります。

初心者が知っておくべきこと

「フィッシング」は、実在する企業やサービスを装った偽のメールやサイトで、ID・パスワードやクレジットカード情報などを入力させて盗み取る手口です。「ビジネスメール詐欺（BEC）」は、取引先や自社の経営者になりすまし、偽の振込先へ送金させるなど、企業間のお金のやり取りを狙った詐欺です。「標的型攻撃メール」は、特定の組織や人を狙い、業務に関係がありそうな内容を装って添付ファイルやリンクを開かせ、社内システムへの侵入の足がかりにしようとするメールを指します。

いずれの手口も、メールの送信元表示は偽装できるため、「知っている名前だから安全」とは限りません。急かす内容や、普段と違う依頼が来た場合は、一度立ち止まり、メール以外の方法で本人や関係者に確認することが基本の対策になります。

a small business IT staff member reviewing a security checklist document with email and shield icons, clean flat illustration, no text or logos

よくある質問

Q. IT担当者がいない小さな会社や個人事業主にも関係がありますか？

A. レポートは中小企業のシステム担当者・情報セキュリティ担当者を主な読者としていますが、内容自体は専任の担当者がいない小規模な組織にも参考になります。特に、複雑なパスワードの設定や使い回しをしないこと、金銭に関わる依頼をメール以外の方法で確認することは、専門知識がなくてもすぐに実践できる対策です。

IT Postの見方

IT Postでは、フィッシングやビジネスメール詐欺への対策は、大企業だけでなく、専任のセキュリティ担当者を置きにくい中小事業者にとってこそ実践的な手引きが必要だと考えます。攻撃者は人の信頼関係や心理的な隙を突いてくるため、技術的な対策だけでなく、日頃から「急な依頼は別の方法で確認する」という習慣を組織全体に浸透させることが、被害を防ぐ上で欠かせないと考えます。

今後どうなりそうか

IPAは今後も、企業組織を狙うメールの手口や被害の傾向を踏まえ、注意喚起や解説資料の更新を続けるとみられます。フィッシングやビジネスメール詐欺の手口は今後も変化していくため、IT Postでも、こうした公的機関の発表を継続して確認し、実務に役立つ情報を紹介していきます。