フィッシングメールの対策は、受信側の設定で減らす分と、すり抜けたメールを社員の報告で止める分に分けて決めます。
今日やることは3つです。
- 使っているメールサービスの管理画面で、フィッシング対策の設定がどこまで有効か確かめる
- 不審なメールの報告先を1か所に決めて、全社に伝える
- メールやVPNなど、社外から入れるサービスの多要素認証の有無を一覧にする
メールセキュリティの全体像のうち、この記事は外から届くメールの話に絞ります。
なぜ設定と報告を分ける？
設定で止まるメールと、設定をすり抜けるメールがあるからです。
IPAの2026年8月の解説は、フィルタリングなどをすり抜けて届いたメールについて、利用者の報告も検知の一環と説明しています。人は第二の検知対策になり得る、という位置づけです。
すり抜ける理由は、数字にも出ています。フィッシング対策協議会の2026年9月の報告では、ある調査用アドレスに届いたフィッシングメールのうち、約62.2%は差出人を偽らない独自ドメインからの送信でした。そのうち約98.9%はDMARCの認証に成功しています。送信元の認証を見るだけでは、こうしたメールは止められません。
同じ報告によれば、攻撃側は受信者の反応を見ながら、文面やかたるブランドを数日単位で変えています。報告の件数は9月だけで94,661件ありました。
| 分ける先 |
担当 |
止める相手 |
| 受信側の設定 |
情シス担当 |
既知の悪質なメール、偽装の分かるメール |
| 社員の報告 |
全員と受付の担当 |
設定をすり抜けて受信箱に届いたメール |
| ログインと送金の決まり |
情シス担当と経理 |
だまされた後の不正ログインと送金 |
受信側の設定で何を確かめる？
新しい製品を選ぶ前に、今のメールサービスの機能を確かめます。使っていない機能が残っていることがあるからです。
Google Workspaceの場合
Googleの管理者向けヘルプによれば、Gmailは標準で、信頼性に欠けるメールへの警告と迷惑メールフォルダへの移動を行います。管理者は加えて、次の3分野の高度な設定を使えます。
- 添付ファイル：信頼できない送信者からの不審な添付ファイルやスクリプトから守る
- リンクと外部画像：短縮URLで隠されたリンクを見つけ、信頼できないドメインへのリンクに警告を出す
- なりすましと認証：ドメイン名や従業員名のなりすまし、未認証のメールから守る
検知したときの動きは、警告、迷惑メールへの移動、検疫から選びます。検疫は利用者に何も表示せず、管理者が確認してから受信トレイへ送る動きです。人手を見込まずに検疫を増やすと、確認待ちがたまります。
見落としやすいのは表示の条件です。同じヘルプによれば、警告バナーはウェブ版Gmailだけに出ます。別のメールソフトで読んでいる社員には、バナーが見えません。
Microsoft 365の場合
Microsoftの説明では、クラウドメールボックスを持つすべての組織に、なりすまし検知やフィッシング対策ポリシーが含まれます。Microsoft Defender for Office 365を使う組織では、偽装保護の設定やフィッシングのしきい値の調整も使えます。
設定の入口は事前設定されたセキュリティポリシーです。Standard、厳密、組み込みの保護があり、それぞれ対象のユーザーを確かめます。
それ以外のメールサービスの場合
レンタルサーバーのメールなどでは、提供元の迷惑メール対策の内容を確かめます。IPAは検知の手段として、マルウェア対策ソフト、UTM、メールサービスのフィッシング・迷惑メール対策を挙げています。足りない所が分かってから、メールセキュリティ製品の比較で機能を見比べます。
自社名をかたるメールへの備えは、受信の設定とは別に、送信側の認証で進めます。協議会の報告は、サポート詐欺へ誘導するメールで受信者自身のドメインをかたる送信が多いと指摘しています。DMARCを動かしている会社は、DMARCレポートの読み方とDMARC failの直し方で状況を確かめられます。
報告の決まりには何を入れる？
報告先と報告の項目の2つから決めます。IPAの解説は、報告の書式に次の項目を含めるよう示しています。
報告の書式に入れる項目
- 受信日時
- 送信元
- URLリンクと添付ファイルの有無
- リンクをクリックしたか、添付ファイルを開いたか
長い様式は要りません。この4行をチャットやメールで送れば足りる形にします。報告先は担当者個人より、共用のアドレスやチャットのほうが、休みの日に止まりません。
報告の手段も確かめます。Outlookには組み込みの報告ボタンがあり、管理者が報告の届け先を、指定のメールボックス、Microsoft、またはその両方から選びます。Gmailにもフィッシングメールを報告する手順があります。ただし、サービスへの報告だけでは社内の担当者に伝わらない場合があるので、社内への連絡も決まりに入れます。
社員が取引先へ個別に確かめるのではなく、社内の担当へ報告する形に揃えます。IPAの2017年の注意喚起も、勤務先で受けた不審なメールは内部の担当に報告すべきとしています。一方で、振込先の変更のように本人確認が要る場面では、メール以外の方法で相手に確かめます。
開いてしまった後の動きも書く
IPAの解説は、組織があらかじめ定めた初動を行ったうえで担当者に連絡する流れを示し、初動の例として次の2つを挙げています。
- 偽サイトにパスワードを入力した：至急変更する。同じパスワードを使い回したサービスも変更する
- 添付ファイルを開いた：パソコンをネットワークから切断する
報告を受けた担当者の手順も、同じ紙に書きます。状況を聞く、パソコンのフルスキャンと不正通信を確かめる、危険度に応じて全社へ注意を出す、フィルタリングのルールを足す、の順です。取引先に影響が及ぶ場合に誰へ上げるかの基準も決めておきます。
開いた人を責める運用にすると、報告は遅れます。私たちはそう考えるので、最初の案内に「開いたあとの報告も歓迎する」と書くことを勧めます。IPAも、被害に至らなかったヒヤリハットまで担当部署に集める体制を求めています。
たとえば、図面を共有する部品メーカーの場合
取引先と図面をクラウドで共有している部品メーカーを考えます。設計や購買の担当者には、共有の通知メールが日常的に届きます。協議会の報告によれば、フィッシングサイトのURLにはdocs.google.comなど、正規サービスのドメインのホスト名も多く使われていました。そのため、リンク先のドメインが有名なサービスというだけでは安全と判断できません。
この場合の決まりは、たとえば次のように書けます。
- 心当たりのない共有通知は開かず、報告先へ転送する
- 共有リンクの先でログインを求められたら、入力せずに報告する
- 現場の共用パソコンでも、報告先は事務所と同じにする
設定と報告の次に、何を足す？
すり抜けた後に被害を小さくする決まりを足します。
ログインの守り
IPAの解説は、社外から直接使えるサービスやシステムには、多要素認証を必須とする決まりを求めています。そのうえで、偽サイトがワンタイムパスワードまで入力させる「リアルタイムフィッシング」が増えていると説明しています。IPAの「情報セキュリティ6か条」解説編（2026年9月）は、パスキーをフィッシングによる認証情報の窃取に強い方式と説明しています。使うサービスが増えてログインの管理が難しい会社は、IDaaSの比較で、多要素認証をまとめて管理する方法を確かめます。
送金の決まり
警察庁の2026年上半期の資料によれば、経営者をかたって送金させる詐欺は、2026年1月から6月までに127件、被害額は約38億8,000万円でした。同じ資料は、送金に関するルールの再確認を防止策に挙げています。
電話から始まる手口もあります。同じ資料は、企業へ電話をかけてメールアドレスを聞き出し、フィッシングメールを送る手口を説明しています。メールの設定だけでは足りない理由の1つです。
訓練
IPAは標的型メール訓練を行う際、報告を手順どおりに行うところまで演習するよう示しています。開封率だけを見ると、報告の流れは確かめられません。外部のサービスを使うなら、標的型メール訓練サービスの比較で、報告の集計ができるかを見ます。訓練の文面に実在の組織名を使うと、その組織に問い合わせが行くおそれがあります。
社員に何を伝えるかは、フィッシングメールの見分け方と限界にまとめました。
