標的型攻撃メールとは？見分け方と開いてしまった時の社内の動きを解説

標的型攻撃メールとは、特定の組織や人物を狙い、業務内容を調べたうえで送られ、添付ファイルやリンクからパソコンをマルウェアに感染させる攻撃メールです。

今日やることは、社内の全員に1行⁠で伝えることです。「不審なメールを開いてしまったら、怒らないので、すぐ○○へ連絡してください⁠」⁠。○○に入る担当者と連絡先が決まっていなければ、そこから決めてください。

なぜ見分け方だけでは足りない？

同じ文面を不特定多数へ送るメールと、作られ方が違うからです。IPAの解説（2026年8月）⁠は⁠、標的型攻撃メールについて、標的の業務内容を調べ上げたうえで業務に関連した内容を送るため、知らない人物からのメールでも、受信者が開かざるを得ない内容が記載されていると説明しています。

採用担当に届く履歴書、営業に届く問い合わせ、購買に届く見積書は、開くことが仕事です。「怪しいメールは開かないように」⁠と言われても、担当者には開かない選択肢がありません。

警察庁の2026年上半期の資料も、フィッシングについてですが、AI技術の発達で文章の自然さや偽装の精度が大幅に上がり、見抜きにくいものが増えていると説明しています。日本語の不自然さを頼りにする教え方は、通用しにくくなっています。

IPAの情報セキュリティ10大脅威 2026⁠の組織編では、機密情報を狙った標的型攻撃が5位で、11年連続の選出です。攻撃者は国が支援する組織や産業スパイなど多様で、メールは侵入の手口の1つとされています。

だから、この記事では見分け方を「最初の防波堤」⁠と位置づけ、中心は開いてしまった後の流れに置きます。

それでも見ておく点は？

全部の攻撃に当てはまるわけではありませんが、気づくきっかけにはなります。IPAの解説の注意点を、確かめる順に並べます。

差出人のドメインが正しく見えても、過信はできません。IPAの解説は、送信元がSPFやDMARCなどの対策を行っていない場合、差出人の表示は偽装が可能だとしています。DMARCの仕組みと設定の順番は、自社が偽装される側に回らないための話です。

相手への確認は、届いたメールへの返信ではなく、電話など別の方法で行います。電話番号も、そのメールに書かれたものは使いません。

開いてしまった社員はどう動く？

開いたあとの動きは、社員が迷わないよう、紙1枚⁠で決めておきます。IPAの解説は、利用者は組織があらかじめ定めた初動対応を行ったうえで、社内の担当者に連絡して指示を受けるとしています。初動の例は次の2つです。

• 添付ファイルを開いた場合：パソコンをネットワークから切り離す
• 誘導された偽サイトにパスワードを入力した場合：すぐに変更する。同じパスワードを使っている他のサービスも変更する

総務省の解説も、Wi-FiをOFFにする、LANケーブルを抜くといった切り離しのあと、担当者に報告して指示を仰ぐ流れを示しています。

「切り離す」⁠は社員に具体的に教えます。ノートパソコンならWi-Fiのボタンの場所、デスクトップならLANケーブルの抜き方を、自社の機種に合わせて書いておくと、当日の迷いが減ります。

報告の項目は、IPAの解説が挙げている次の4点⁠で足ります。書式を決めるなら、電話やチャットでも言える長さにします。

1. 受信した日時
2. 送信元
3. リンクや添付ファイルの有無
4. リンクを押したか、添付を開いたか

なぜ責めると被害が広がる？

開いた直後は画面に何も起きないことがあります。総務省の事例では、感染したパソコンの調子に変わったところがなく、職員はずっと気づかなかったとされています。

ということは、本人が言わなければ、誰も知らないまま時間が過ぎる可能性があるということです。

IPAのプラクティス・ナビに、この問題に取り組んだ製造業の例が載っています。従業員1,000人⁠の会社で、社員が標的型攻撃メールを開いても、セキュリティ部門へ速やかに連絡が来ないことが悩みでした。背景には、過去のサイバー攻撃で関係者が厳しく叱責されたという、事実と異なる噂が社内に流れていたことがあったといいます。

噂だけで報告が止まる、というのは覚えておいてよい点です。この会社の取り組みは次の3つです。

• 訓練で開封率だけでなく報告率も測り、低い部署や遅い部署には原因を聞いてフォローする
• 日頃から「開封しない」ではなく「開封した場合は報告する」⁠と周知する
• 「報告してくれてありがとう」⁠と伝え、報告を前向きに評価する風土を作る

同じページの訓練結果の例では、開封率は高いが報告率も高い部署と、開封率は低いが報告率も低い部署が並べられています。開封率だけで見れば後者が優秀に見えますが、攻撃された日に初動が速くなりやすいのは前者です。

中小企業では社長の態度がそのまま社内の空気になります。社長自身が「自分も開くかもしれない」⁠と言えると、報告はしやすくなります。

報告を受けた担当者は何をする？

専任がいない会社では、ここを担う人と代わりの人を決めます。IPAの解説が管理者の手順に挙げているのは次のとおりです。

1. 本人から状況を聞き、パソコンのフルスキャンや不正な通信の有無を確かめる
2. メールの危険度に応じて、全員へ注意を呼びかける
3. メールのフィルタリングに追加のルールを設定する
4. 取引先への影響などが考えられる場合は、責任者に上げる判断基準に従う
5. 感染した場合は駆除する。影響範囲が分からない場合は初期化してバックアップから戻す

自社で判断がつかないときの連絡先も、紙に足しておきます。IPAの相談窓口には、不正アクセスの被害を受けている、またはその可能性がある企業向けの窓口があり、初動の相談や専門業者の一覧の紹介を受けられます。同じページの案内に、J-CRATの標的型サイバー攻撃特別相談窓口もあります。国が支援する攻撃の可能性があるときなどは、IPAの解説のとおり、必要に応じて警察や所管の省庁への連絡も検討します。

製造業なら、どこから決める？

図面や仕様書を預かる会社は、誰宛てのメールが狙われやすいかを先に考えます。

たとえば、新規の引き合いを受ける部品メーカーの場合、営業の共有アドレスには知らない会社からの添付つきメールが日常的に届きます。ここでは「開くな」⁠と⁠は言えません。そこで、外部からの添付を開くパソコンを図面のサーバーから切り離す、添付を無害化してから渡すといった、開く前提の仕組みを検討します。添付の扱いはファイル無害化ツールの比較で、対応できるファイルの形式と業務への影響を確かめます。

検知の土台は、メールセキュリティ製品の比較で見られます。検知できなかったときの備えとして、パスワード付きZIPをやめる理由⁠も読んでおくと、なぜ添付の扱いを揃えるのかが説明しやすくなります。

訓練は何を測る？

IPAの2017年⁠のコラムは、訓練の目的を、不審なメールを受けたときに適切に対処できるかを確かめることと整理しています。開封率を下げることは代表的な目的の1つですが、有事に機能する体制かを確かめる訓練も重要だとしています。IPAの2026年⁠の解説も、報告の手順に従って報告するところまでを演習に含めるよう書いています。

訓練のメールに実在の組織名を使うと、その組織へ問い合わせが入る可能性があるので、同じコラムの注意点も確かめてください。外部に頼むなら、標的型メール訓練サービスの比較で、報告率まで測れるかを確かめます。

メールの守り全体はメールセキュリティの3方向の整理に、関連の記事はメールセキュリティの一覧⁠に置いています。