1. 迷惑メールとフィッシングメールの違い

「迷惑メール」と「フィッシングメール」は同じ意味で使われることがありますが、厳密には目的が異なります。

フィッシングメールは、単に不要な広告を送るものではありません。受信者をだまして情報を入力させたり、ファイルを操作させたりする点が大きな問題です。被害が個人のアカウントにとどまらず、会社のメールや業務システム、取引先とのやり取りに広がる可能性もあります。

警察庁も、実在する企業やサービスを装ったメール・SMSから偽サイトへ誘導し、ID・パスワードなどの情報を盗む手口をフィッシングとして説明しています。差出人名に有名企業が表示されている、ロゴが正規のものに似ている、といった理由だけで安全だと判断することはできません。

2. メールを開く・クリックすることで起こること

「不審なメールは開いただけで危険」と聞くことがありますが、リスクは操作の段階によって異なります。過度に恐れるのではなく、何が起こり得るのかを正しく理解しておきましょう。

① メールを受信・表示した段階

一般的には、メール本文を表示しただけで、直ちにID・パスワードが盗まれたり、端末がマルウェアに感染したりするわけではありません。危険性が高まるのは、メール内のリンクから偽サイトへアクセスして情報を入力したり、添付ファイルを開いたりする段階です。

ただし、メールの表示方法には注意点もあります。HTMLメールに外部サーバー上の画像が埋め込まれている場合、画像が読み込まれたことを通じて、送信者側にメールが表示されたことが伝わる場合があります。こうした仕組みは「トラッキングピクセル」や「Webビーコン」などと呼ばれ、メールアドレスが利用されていることや、開封されたタイミングなどを推測する材料になる可能性があります。

メールアプリによっては外部画像の自動読み込みを制御したり、プライバシー保護機能によって送信者に伝わる情報を制限したりできます。機能や挙動はサービスによって異なるため、利用中のメール環境の設定を確認しておくとよいでしょう。

② 本文中のURLやボタンをクリックした段階

フィッシングで特に注意したいのが、メール本文に記載されたURLやボタンです。見た目は正規のログイン画面や決済ページでも、リンク先は攻撃者が用意した偽サイトという場合があります。

偽サイトにID・パスワードを入力すると、入力した情報を盗まれ、メールやクラウドサービス、ネットバンキングなどのアカウントを不正利用されるおそれがあります。クレジットカード情報やワンタイムパスワードを入力させる手口もあります。

また、リンク先から不正なファイルをダウンロードさせたり、偽のアプリをインストールさせたりするケースもあります。リンクをクリックしただけで必ず感染するわけではありませんが、その先で何を表示・入力・ダウンロードするかが被害を左右します。

③ 添付ファイルを開いた・実行した段階

請求書、見積書、注文書、配送通知などを装ったファイルにも注意が必要です。添付ファイルにマルウェアが含まれていたり、Officeファイルのマクロや実行形式ファイルなどを操作させたりすることで、端末への感染や情報窃取を狙う場合があります。

知っている相手から届いたように見えるメールでも、差出人が偽装されている可能性や、相手のメールアカウントが不正利用されている可能性があります。送信者の名前だけで安全と判断せず、予定していたファイルかどうかを別の連絡手段で確認しましょう。

3. 不審なメールを見分ける7つのチェックポイント

不審なメールは、次のような特徴がないか確認してみましょう。ひとつ当てはまるだけで偽物と断定できるわけではありませんが、複数の違和感がある場合は操作を止めて確認することが大切です。

1. 至急・緊急など、対応を急がせる表現がある
   「本日中に確認してください」「アカウントを停止します」「支払いが完了していません」など、考える時間を与えずに操作を促す文面には注意します。
2. 送信者名とメールアドレスのドメインが一致しない
   表示名は実在の企業名でも、実際のアドレスや返信先が無関係なドメインになっていることがあります。表示名だけで判断しないようにしましょう。
3. 普段のやり取りと文面・依頼内容が異なる
   突然のパスワード確認、支払先変更、ファイル共有、本人確認など、いつもの手続きと異なる依頼は慎重に扱います。
4. メール内のリンク先が不自然
   リンクに表示されている文字列と実際のリンク先が異なることがあります。メール内のリンクを使わず、公式サイトをブックマークや公式アプリから開いて確認します。
5. 予期していない添付ファイルがある
   請求書や注文書などの名目であっても、心当たりのないファイルは開かないでください。ファイルを開いた後に「編集を有効にする」「コンテンツを有効にする」と促されても、安易に許可しないようにします。
6. パスワードや認証コード、個人情報の入力を求める
   メールに記載されたリンク先で、ID・パスワード、クレジットカード番号、ワンタイムパスワードなどを入力させる連絡には特に注意が必要です。
7. 振込先や支払方法の変更をメールだけで依頼している
   取引先や上司を装ったビジネスメール詐欺の可能性があります。送金や口座変更など金銭に関わる依頼は、既知の電話番号などメール以外の手段で確認します。

なお、送信元アドレスが正規のものに見える場合でも、メールアカウントの乗っ取りや送信元の偽装などがあり得ます。見た目や差出人情報だけで判断せず、依頼内容・送信のタイミング・普段の手続きとの整合性も確認しましょう。

4. 不審なメールを受信したときに取るべき行動

不審なメールを受信したときは、慌てて返信したり、リンク先を確認しようとクリックしたりせず、まずは操作を止めます。

「自分だけに届いたから」「取引先からのように見えるから」と抱え込まず、早めに報告することが被害の拡大防止につながります。誤って操作した場合も、責められることを恐れず、速やかに共有できる体制を整えておくことが重要です。

5. 企業・組織で取り組みたい迷惑メール対策

個人の注意だけで、すべての迷惑メールやフィッシングメールを防ぐことはできません。メールシステムの設定、アカウント管理、社内ルール、教育を組み合わせて対策することが大切です。

① 迷惑メールフィルターやメールセキュリティ機能を活用する

メールサービスやセキュリティ製品が提供する迷惑メール判定、なりすまし検知、危険なURLの検査、添付ファイルのスキャンなどを活用します。ただし、フィルターがすべての不審メールを検知できるわけではなく、正規のメールが迷惑メールに分類される場合もあります。フィルターを導入したうえで、利用者が不審なメールを報告できる運用も必要です。

② メールアカウントに多要素認証を設定する

メールアカウントが乗っ取られると、過去のやり取りを盗み見られたり、本人になりすましたメールを取引先へ送信されたりするおそれがあります。推測されにくいパスワードを使用し、他サービスとの使い回しを避けるとともに、多要素認証（MFA）を有効にしましょう。可能であれば、パスキーや認証アプリなど、より強固な認証方式も検討します。

③ OS・メールソフト・ブラウザを最新の状態に保つ

メールの表示機能や添付ファイルを開くアプリに脆弱性が残っていると、攻撃に悪用される可能性があります。OS、メールアプリ、ブラウザ、ウイルス対策ソフトなどを適切に更新し、古い端末やサポートが終了したソフトウェアを使い続けないようにします。

④ SPF・DKIM・DMARCで自社ドメインのなりすましを防ぐ

企業が自社ドメインを使ってメールを送信している場合は、送信ドメイン認証の設定も確認しましょう。代表的な仕組みは次の3つです。

これらは、受信者が不審なメールを見抜くための機能ではなく、自社ドメインをかたるメールが第三者から送信されることを抑制し、正規メールの信頼性を高めるための送信側の対策です。実際の設定は、利用しているメール配信サービスやDNSの管理会社と確認しながら進めましょう。

⑤ 不審メールの報告・初動対応ルールを決めておく

社員が不審なメールを受信した際、誰に・どの方法で・何を報告すればよいかをあらかじめ定めておきます。URLをクリックした、添付ファイルを開いた、IDやパスワードを入力したなど、操作内容によって必要な対応は変わります。

定期的なセキュリティ教育や標的型メール訓練を行い、メールを開かないことだけでなく、誤って操作した場合に速やかに報告するところまで訓練しておくことが重要です。

6. 誤ってクリック・入力してしまった場合は？

気を付けていても、巧妙なメールを見分けられずに操作してしまうことはあります。大切なのは、その後に適切な対応を行い、被害の拡大を防ぐことです。

被害が疑われる場合は、メールを削除する前に、社内担当者が調査できるよう送信元や受信時刻などの情報を共有しましょう。早期の報告が、同じメールを受け取った他の社員や取引先への被害拡大を防ぐことにもつながります。

まとめ｜メールを「見た目」だけで信用しないことが大切

フィッシングメールは、実在する企業や取引先を装い、自然な文章や本物に似たデザインで受信者をだまそうとします。メールを開いた時点で必ず感染するわけではありませんが、外部画像の読み込みによる開封検知、偽サイトへの誘導、添付ファイルを使ったマルウェア感染など、段階ごとに異なるリスクがあります。

個人としては、メール内のリンクや添付ファイルを安易に操作せず、公式サイトや既知の連絡先から確認すること。企業としては、迷惑メールフィルターや多要素認証、送信ドメイン認証、社員教育、報告・初動対応ルールを組み合わせることが重要です。

「自社ではどのような対策ができているか」「不審なメールを受信したときの対応が決まっているか」を、ぜひ一度確認してみてください。