こんにちは。ランシステムのヒロ田中です。
皆さんの会社では、「不審なメールに注意してください」という呼びかけだけで、メールを悪用した攻撃への対策を終えていないでしょうか。
2026年8月3日、独立行政法人情報処理推進機構（IPA）は、企業や組織を狙う攻撃メールについて、手口から被害、対策までをまとめた「企業組織を狙う攻撃メールの手口とその対策」を公開しました。
メールは、取引先との連絡や社内業務に欠かせない存在です。だからこそ攻撃者は、「この相手なら信用できる」「至急対応しなければ」といった、人の心理や日頃の信頼関係を逆手に取ります。
これ、実はセキュリティ担当者だけの話ではありません。経営者、経理担当者、店舗責任者、営業担当者など、メールを使うすべての人が狙われる可能性があります。
攻撃メールは「添付ファイル」だけではない
今回の資料では、メールを悪用した代表的な攻撃として、フィッシング、ビジネスメール詐欺（BEC）、標的型攻撃メール、組織を騙る「ばらまき型」のなりすましメール、マルウェア感染を狙うメール、偽のセクストーションメールが取り上げられています。
被害も、IDやパスワードの窃取だけではありません。不正送金、機密情報の漏えい、データの破壊、さらには組織内へ侵入するための足がかりにされる可能性があります。
つまり、「怪しい添付ファイルを開かなければ大丈夫」という認識では不十分なのです。
たとえばフィッシングでは、メールボックスの容量超過など、緊急性を感じさせる文面で偽のログイン画面へ誘導します。さらに、ID・パスワードに続いてワンタイムパスワードも入力させ、その場で悪用する「リアルタイムフィッシング」も解説されています。
多要素認証は重要です。しかし、導入しただけで安心してよいわけではありません。
以前紹介したBECも、メールから始まる
以前のコラムでは、社長になりすましたメールからLINEグループの作成を指示し、QRコードを返信させるビジネスメール詐欺（BEC）の手口をご紹介しました。
- 「社長からの指示だから」
- 「極秘案件だから」
- 「ほかの人には相談しないように言われたから」
こうした状況をつくり、一人で判断させるのが攻撃者の狙いです。BECの怖さは、単に偽のメールを送り付けることではありません。正しい判断がしにくい状況へ相手を追い込み、確認や相談をさせないことにあります。
IPAが示す3段階の対策
今回の資料で特に押さえたいのが、「事前の対策」「攻撃の検知」「事後の対応」という3段階の考え方です。
事前の対策では、送金時の承認ルール、多要素認証、パスワード管理、定期的な教育や標的型メール訓練などが挙げられています。訓練も、メールを開かなかったかどうかだけで終わらせず、決められた窓口へ報告するところまで確認することが大切です。
検知では、メールフィルタリングやマルウェア対策、UTMによる不正通信の監視に加え、従業員からの報告も重要な検知手段になります。
そして、不審なメールを受信した際の報告先と初動対応を、あらかじめ決めておくことも重要です。フィッシングサイトにパスワードを入力した場合は速やかに変更し、添付ファイルを開いた場合は端末をネットワークから切断する。ここまで準備して、初めて「組織としての対策」になります。
大切なのは、誰かの注意力だけに任せないことです。
ランシステムでは、エンドポイント保護、多要素認証、ネットワーク機器など、企業のIT環境を支える各種ソリューションをご用意しています。自社の対策に不足がないか、まずは足元から整理してみてはいかがでしょうか。
メールは便利だからこそ、攻撃の入口にもなります。「見抜く力」と「仕組みで守る力」、そして「何かあったときにすぐ動ける力」。この3つを、組織全体で育てていきましょう。