フィッシングメールの見分け方は、差出人、リンク先、急がせる文面、入力や操作の要求の4点を見ることです。ただし、怪しい点が1つもなくても本物とは言い切れません。
今日やることは、下の5行を社員に送ることです。
- 差出人は、表示名ではなくアドレスのドメインを見る
- リンクは押さず、ブックマークや公式アプリから同じサービスを開く
- 「至急」「停止」「期限」と急がせるメールほど、手を止める
- パスワード、認証コード、口座の情報、アプリの導入を求められたら、従わず確かめる
- 迷ったら、開かずに報告先へ知らせる
メールセキュリティの解説のうち、ここでは社員が受信箱の前でできることを扱います。
差出人のどこを見る？
表示名ではなく、アドレスの@より後ろのドメインを見ます。表示名は自由に書けます。IPAの2026年8月の解説によれば、社長をかたるメールで表示名に社長の氏名を入れ、実際の送信元はフリーメールという例があります。
取引先のドメインと1文字だけ違うものにも注意します。IPAの解説は、正規のドメインとよく似た名前を取得して送る例を挙げています。総務省の説明でも、英字のoを数字の0にするなど、見間違いを狙う手口が紹介されています。
この点の限界
ドメインが正しく見えても、本物の証明にはなりません。警察庁は、送信元の名称やアドレスの表示だけで真偽を判断するのは困難と説明しています。スマートフォンのメールアプリは、パソコンより表示項目が少ない場合もあります。
リンク先はどう確かめる？
見た目で確かめようとせず、リンクを使わない習慣に替えます。警察庁は、リンクは偽装可能で、見た目で真偽を判断するのは非常に困難と説明しています。そのうえで、公式サイトのブックマークや公式アプリから接続するよう勧めています。
判断をさらに難しくしているのが、有名なサービスのドメインです。フィッシング対策協議会の2026年9月の報告によれば、フィッシングサイトのURLではamazonaws.comのホスト名が約11.6%を占め、docs.google.comなどのホスト名も多く使われていました。知っているドメインだから安全、とは言えません。
業務で共有リンクを開かないわけにはいかない部署もあります。その場合は、次の2つで線を引きます。
- 依頼の心当たりがあるかを、メール以外の方法で確かめる
- リンク先でログインを求められたら、その場で入力しない
パスワード管理ツールも助けになります。協議会の報告は、パスワードマネージャーが自分で登録した正規サイトにだけIDとパスワードを自動入力し、偽サイトには反応しないと説明しています。導入を考えるなら、パスワード管理ツールの比較で管理者の機能まで確かめます。
急がせる文面はなぜ疑う？
焦らせてリンクを押させるのが、典型的な手口だからです。IPAの解説は、フィッシングメールの典型として緊急性の強調を挙げています。たとえば、メールボックスの容量超過で受信できなくなると伝え、対応と称してリンクを押させる形です。
実際に多い文面も、分かっています。協議会の報告には、次のような通知が並びます。
| 分類 |
文面の例 |
| 買い物 |
注文、商品の配達、返金 |
| 支払い |
決済情報、契約の更新、不正利用の検知 |
| 本人確認 |
本人認証、ポイントやマイルの有効期限 |
会社あてでは、社内の部署を名乗る文面もあります。IPAの解説は、人事部門の評価や昇給の通知、IT部門のパスワード期限切れ、メールサービスの保留中メールなどを例に挙げています。
この点の限界
急がせない文面もあります。標的型攻撃メールは業務内容を調べたうえで、受信者が開かざるを得ない内容にするとIPAは説明しています。落ち着いた文面だからといって、疑いを解く理由にはなりません。
どんな要求が来たら止まる？
ここが4点のうち、いちばん判断しやすい所です。文面の出来に関係なく、要求の中身で止まれるからです。
- IDとパスワード：警察庁は、金融機関がメールやSMSでIDやパスワードを問い合わせることはないと説明しています
- ワンタイムパスワード：IPAによれば、偽サイトで入力させ、その場で悪用して多要素認証を突破する手口があります
- アプリの導入：協議会の報告によれば、アプリの更新や申請手続きを装い、不正なアプリへ誘導するメールが急増しました。導入は端末の設定や公式ストアから行います
- SNSのグループ作成と送金：警察庁の2026年上半期の資料によれば、経営者をかたる詐欺はSNSのグループ作成を指示し、残高の回答や送金へ進めます
なぜ見分けだけに頼らない？
見分けられないメールが、実際に届いているからです。4点は疑う材料を増やしますが、安全を証明するものではありません。
「怪しいから止める」はできても、「怪しくないから安全」とは言えません。根拠は3つあります。
文面が自然になった
警察庁の2026年上半期の資料は、AI技術の発達で文章の自然さや偽装の精度が向上し、見抜きにくいものが増えていると説明しています。協議会の報告では、指示文が本文に残ったような不自然なメールが多い一方、きれいな体裁のメールも確認されています。誤字の有無は、もう線引きになりません。
認証に成功するメールが多い
協議会の報告によれば、ある調査用アドレスに届いたフィッシングメールのうち、差出人を偽らない独自ドメインからの送信が約62.2%でした。そのうち約98.9%はDMARCの認証に成功しています。認証の成功が示すのは送信元のドメインが偽られていないことで、中身が安全であることではありません。
手口の入れ替わりが速い
同じ報告は、攻撃側が文面やかたるブランドを数日単位で変えていると説明しています。受信者の氏名が書かれたメールも確認されました。名前が書いてあるから本物、とも言えません。IPAの解説は、教育では特定の文面だけでなく、不審なメールへ広く意識を高める内容が望ましいとしています。
たとえば、工場の班長がスマートフォンで受ける場合
工場の班長が、現場でスマートフォンのメールを読む場面を考えます。「共有図面の確認期限が本日まで」という通知が届いたとします。作業の合間で、パソコンより差出人の表示も少なく、4点をじっくり見られません。
この場面で求めるのは、判定ではなく手順です。
- その場ではリンクを押さない
- 図面の依頼に心当たりがあるか、取引先の担当者に電話や既存の連絡手段で確かめる
- 心当たりがなければ、報告先へ知らせる
確かめるときの連絡先は、届いたメールに書かれた番号を使いません。IPAの解説も、不審に感じた場合はメール以外の方法で相手に直接確かめるよう示しています。
社員に伝えた後、何を決めておく？
報告先と、受け取った後の動きを決めておきます。見分け方を伝えても報告先がなければ、不審なメールは各自の判断で消えていきます。報告の項目と担当者の動きは、フィッシングメールの対策と報告の決まりに書きました。
伝え方を続ける手段も選びます。
- 年に数回の社内周知で足りる場合：協議会の月次報告やIPAの資料の例を、自社の業務に置き換えて配る
- 受講の記録や部署ごとの理解度が要る場合：セキュリティ教育サービスの比較で教材と管理機能を見る
- 報告の手順まで試したい場合：標的型メール訓練サービスの比較で報告の集計機能を見る
受信箱に届く量そのものを減らすのは社員の役目ではなく、会社の設定の役目です。メールセキュリティ製品の比較を見る前に、今のメールサービスで有効な機能を確かめます。自社名をかたるメールが取引先に届く問題は別の話で、DMARC failの直し方やDMARCレポートの読み方で扱います。
