「差出人の名前が、いつも取引しているあの人でした。だから疑いませんでした」——標的型メールの被害にあった担当者に事情を聞くと、返ってくる言葉はたいてい同じ形をしています。怪しいと思わなかったのではありません。怪しいと思うための材料が、その人の手元に一つも置かれていなかった、というのが実際のところです。
そもそも「見抜けるかどうか」という問いの立て方に無理があります。見抜ける手口と、原理的に見抜けない手口は最初から別物で、それを「注意力」という一つの言葉でまとめて処理しようとするから、対策が空回りします。この記事では、まず見抜くための着眼点をできるだけ具体的に並べます。そのうえで、どれだけ着眼点を増やしても届かない場面がなぜ生まれるのかを説明し、見抜けない前提に立ったときに何を用意しておくのかまで進みます。
読み終えたときに、社内で回せる確認手順が1つと、見抜けなかったときにどこを見るかという心当たりが1つ、手元に残っていれば十分です。
不特定多数にばらまくメールとは違い、特定の企業や担当者を狙って、その相手の業務内容や取引関係を調べたうえで送られてくるメールです。宛先の名前、担当している業務、やり取りしている相手の名前まで正確に書かれていることが多く、内容だけを見て「自分宛てに書かれた本物のメール」と判断してしまう土台がすでに作られています。
差出人の表示ではなく、アドレスのドメインを見る
メールソフトに大きく表示される「差出人名」は、送信者が自由に決められるただの文字列です。取引先の担当者の氏名をそのまま名乗ることに、技術的な障壁はほとんどありません。名前が一致しているという事実は、本人確認の材料としては空振りします。
見るのは、その名前の下に隠れている実際のアドレス、とりわけアットマークより後ろです。正規ドメインと一文字でも違う、あるいは正規ドメインの前後に別の単語がくっついている場合は、なりすましを疑う根拠になります。差出人名の一致を安心材料にせず、実アドレスのドメイン一致を確認する。社内の習慣をこの順番に入れ替えるところが出発点です。
| 見るべき場所 | 何を確認するか | ありがちな落とし穴 |
|---|---|---|
| 差出人名の表示 | 参考程度にとどめる | 自由に設定できるため、正しくても何の保証にもならない |
| 実際のメールアドレス | アットマーク以降のドメインを一文字ずつ確認する | 似た文字の置き換え、単語の付け足しに気づきにくい |
| 返信先アドレス | 送信元アドレスと同じかどうか | 送信元は正規、返信先だけ差し替えられている場合がある |
返信先だけがこっそり差し替えられているケースは、とりわけ見落とされます。送信元のアドレスは正規のものに見えるのに、「返信」ボタンを押した瞬間に飛ぶ先だけが攻撃者の管理するアドレスになっている、という組み合わせです。メールソフトによっては、返信先を初期設定のままでは表示しません。自社で使っているソフトのどこに返信先が出るのか、一度だけ開いて確かめておくと、いざというときに探し回らずに済みます。
他人や他社を名乗って通信を行う行為全般を指します。メールの世界では、差出人名や送信元アドレスの表示を実際の送信者とは異なるものに見せかける手口が代表的です。技術的な対策(送信ドメイン認証など)で一部は自動的にはじかれますが、すべてのなりすましを検知できるわけではありません。
よく使われるのは、正規ドメインの一文字を似た文字に置き換えたり、単語の綴りを少しだけずらしたりして作る、見た目のよく似たドメインです。画面の小さな文字では気づきにくく、急いでいるときほど素通りします。紛らわしいドメインを新しく用意すること自体に高い技術は要らず、名乗る会社ごとに使い捨てで取られることも珍しくありません。「前に確認したドメインだから今回も平気」という前提が効かないのは、そのためです。
診断でまず開くのは、お客様の受信箱ではありません。自社サイトの会社案内、採用ページ、展示会の登壇者一覧、名刺交換の報告が載ったブログ。外から見える場所だけで、誰が経理を見ていて、誰が決裁を通すのかが、だいたい組み上がります。よくできた標的型メールは、そこで拾った材料で書かれています。見抜く目を鍛える前に、材料をどれだけ外に置いてしまっているかを数えてみてください。
もう一つ、正規のドメインをそのまま名乗りつつ、送信の経路だけを偽る手口もあります。この場合はドメインを目でいくら追っても差が見つかりません。送信元のサーバーが正当かどうかを自動判定する仕組み(送信ドメイン認証)を自社のメールシステム側で有効にしているかどうかが、ここで効いてきます。目視と技術的な仕組みは、どちらか一方で足りる関係ではなく、重ねて初めて実用的な精度になります。
日本語の不自然さは、もう当てにできない
この見出しが、そのままこの章の結論です。
数年前まで、標的型メールを見抜く定番の助言は「日本語が不自然だったら疑え」でした。語順がおかしい、助詞の使い方が変、妙に丁寧すぎる。そうした違和感が、非日本語話者の手による文面を示すサインとして実際に機能していた時期は確かにあります。その前提はすでに崩れました。文章を自然な日本語に整える道具が誰にでも使えるようになり、攻撃側が用意する文面は、下書きを直す工程を経てから届くようになっています。誤字脱字も、機械翻訳くさい言い回しも、極端な敬語の崩れも、手がかりとしては細っていく一方です。文面の自然さは、本物である証拠になりません。
やっかいなのは、自然さだけでなく「もっともらしさ」まで作り込まれる点です。実在する取引の文脈、業界特有の言い回し、社内でしか使わない略称。事前に調べた材料が違和感なく織り込まれ、読んで引っかかる箇所が一つもない標的型メールは、もう珍しくありません。
それでも残る、内容面のサイン
文章の巧拙とは別に、内容そのものには癖が残ります。急に振込先の変更を頼んでくる。普段は電話で済ませる話をメールだけで完結させようとする。「今日中に」「至急」と時間を削ってくる。いつものやり取り相手を飛ばして直接連絡してくる。こうした行動面のずれは、文章力が上がっても消えません。日本語のうまい下手ではなく、依頼の中身が普段の業務フローから外れていないかを見る癖のほうが、長持ちします。
文章より信用できるものが、もう一つあります。タイミングです。見積もりを送った直後、検収の直前、人事異動が公表された直後——こちらの事情に合わせたように届くメールは、それだけで下調べの深さを示しています。裏を返せば、社内の予定や取引の進み具合が外から推測しやすい状態になっていないかを点検することも、間接的な防御になります。取引先とのやり取りに、会議の日程や決裁の流れを、必要以上に書き込んでいないでしょうか。
添付とリンク、どちらで来るかには理由がある
標的型メールが最後に起こさせたい動作は、大きく2つです。添付ファイルを開かせて端末上で不正なプログラムを動かすか、リンクを踏ませて偽のログイン画面に入力させるか。どちらで来るかは無作為ではなく、狙いによって選ばれています。
添付ファイル型は、請求書、見積書、履歴書といった、業務上「開かないわけにいかない」書類を装って届きます。ファイルの種類を偽装したり、文書ソフトの機能を悪用したりして、開いた瞬間に処理が走る仕組みです。パスワード付きの圧縮ファイルにして送られると、受信側の検査は中身を開けないまま通すしかなく、本文に書かれたパスワードを打ち込むのは受け取った本人です。狙いは端末そのものへの侵入で、開いた後も画面の上では何も起きません。異常が見えないまま、内部で足場が広げられていきます。
リンク型は、パスワードの期限切れ通知、承認待ちの書類、荷物の不在通知——押さずにいられない文面とセットで来ます。リンク先は本物そっくりのログイン画面で、そこに入力したID・パスワードはそのまま相手に渡ります。狙いは端末ではなくアカウントです。盗まれた認証情報は、正規の手続きを踏んだ「本人のログイン」として記録されますから、気づくまでの時間が長引きます。
| 添付ファイル型 | リンク型 | |
|---|---|---|
| 主な狙い | 端末への侵入 | ID・パスワードの窃取 |
| よく使われる装い | 請求書・見積書・履歴書 | パスワード期限切れ・承認依頼・不在通知 |
| 開いた後に起きること | 端末上での不正な処理の開始 | 入力した認証情報の流出 |
攻撃する側の効率だけで考えると、添付もリンクも面倒です。どちらも機械の検査を通らされますから。いちばん安く済むのは、本文に「詳細はお電話でご説明します」と書いて、番号を一つ置くこと。人が受話器を取った時点で、添付の検査もリンクの判定も、そこには一切ありません。社内のルールが「不審な添付」「不審なリンク」の二本立てで止まっているなら、電話で完結する依頼はまるごと素通りします。
実務で効くのは、添付とリンクを同じ基準で扱わないことです。添付は「開く前に、送信元へ別の手段で確かめる」。リンクは「メール内のリンクからログインせず、いつものブックマークやアプリから入り直す」。手口ごとに違う予防動作を先に決めておけば、受け取った人がその場で考える量が減ります。
近ごろはこの2つに加えて、クラウド上の共有フォルダやファイルへの招待を装う型も増えました。添付は送らず、「ファイルが共有されました」という通知だけを投げて、開かせるのではなくログインさせる形です。添付でもリンク単体でもないぶん、警戒の網からこぼれます。心当たりのない共有通知が来たら、共有元とされる相手にメール以外の手段で確かめる。この扱いも、添付・リンクと同列のルールに入れておきます。
返信スレッドに割り込まれると、疑う理由そのものが消える
ここまでの着眼点は、どれも「新しく届いたメール」を相手にしています。
標的型メールのなかで特に厄介なのは、新規のメールとしてではなく、すでに進行中のやり取りの途中に割り込んで届くものです。何往復も続いている取引先とのスレッドに、同じ件名・同じ引用履歴を保ったまま返信が差し込まれます。件名には「Re:」が付き、本文の下には今までのやり取りがそのまま残っています。しかもその引用は、本物のやり取りをそっくり持ってきたものです。差出人を確認しようとした人も、引用部分が正真正銘の本物である以上、そこから矛盾を拾うことはできません。新規のメールなら働くはずの「初めて見る相手への警戒」が、この形式では最初から起動しないのです。
この手口が成立するには、攻撃者が過去のメール履歴を手に入れている必要があります。つまり、自社に届いた「割り込み型」は、多くの場合、自社側かやり取り相手側のどちらかで、すでに何かが起きている証拠です。文面のあらを探すより、「なぜこのスレッドの中身を相手が知っているのか」という一段手前の疑問のほうが、この手口には効きます。
複数人がCCに入っているスレッドでは、威力がさらに増します。自分以外の誰かが一度「了解しました」と返せば、そのやり取りは自分にとって「他の人も普通に扱っている、問題のないスレッド」に変わるからです。実際には、その「了解しました」を書いた人自身が、何の疑いも持たないまま騙されている最中かもしれません。CCの人数が多いほど安全だという感覚に、根拠はありません。確認すべき人が増えたぶん、誰も一次確認をしないまま全員が素通りする——そういう抜け方をします。
経営者や取引先になりすまし、送金や情報提供を促すメール詐欺の総称です。返信スレッドへの割り込みはBECの代表的な手口の一つで、マルウェアを使わずメールのやり取りだけで完結することも多く、技術的な検知の網にかかりにくい特徴があります。
取引先のアカウントが乗っ取られたとき、見抜く手がかりは原理的に存在しない
アドレスの確認、依頼内容のずれ、添付とリンクの扱い分け、スレッドへの割り込みへの警戒。ここまでの着眼点は、どれも実際に効きます。ただし、いずれも「攻撃者が、正規の相手になりすましている」という状況を前提にしています。
取引先のメールアカウントそのものが乗っ取られると、この前提が消えます。送信元のアドレスは正真正銘の本物。差出人名も本物。返信先も本物。文面は、これまでのやり取りの文脈を踏まえた、本人が書いたとしか思えないものになります。確認項目を上から下まで丁寧になぞっても、返ってくるのは「正常」だけです。これは注意力の問題ではありません。確認できる情報のどこにも異常が存在しない、という構造上の限界です。
残るのは内容面の違和感——普段と違う振込先、普段と違う頼み方、普段と違う時間帯の連絡——だけ。ただし、乗っ取られたアカウントの持ち主は、攻撃者にとってすでに「なりすます必要のない本物」ですから、内容面まで自然に仕上げる余裕があります。この型の被害を「見抜けなかった自社の落ち度」で片づけるのは、実態に合いません。なお、乗っ取りに先に気づくのは相手側であることも多く、その連絡が来た瞬間に「どのやり取りが該当するか」を遡れるかどうかで、その後の動きの速さが変わります。メールをどれだけの期間残していて、担当者が辞めた後の受信箱を誰が開けるのか。平時のうちに確かめておく話です。
だからこそ、確認の手順を仕組みにする
手がかりが原理的に存在しない場面があると分かった時点で、対策の重心は移ります。「もっと注意深く見る」から、「一定の条件を満たしたら、メールの外で確認する」へ。振込先の変更、初めての大口の依頼、普段と異なる連絡経路。こうした条件をあらかじめ決めておき、当てはまったら電話や対面など、メールとは別の経路で本人に確かめる。この一手順を社内ルールとして持っているかどうかが、乗っ取られたアカウントからの依頼を止められるかどうかを分けます。
ここには落とし穴が2つあります。1つは、確認の連絡先を「そのメールに書かれた電話番号」に頼ってしまうこと。署名欄の番号ごと書き換えられている可能性を消せないので、自社の台帳や過去の名刺で把握している番号にかけ直す一手間が要ります。連絡先の正しさをメール自体に依存させない——それがこの仕組みの核心です。もう1つは、確認が取れるまで送金や情報提供を保留してよい、という判断を現場の担当者一人に背負わせてしまうこと。「確認のために止めた」が評価される空気がなければ、ルールは紙の上だけで終わります。
見抜く訓練と、見抜けなかった後に気づく仕組みの両方が要る
対策は二段構えになります。一段目は、見抜く力を上げる訓練です。実際に届きそうな文面を模した訓練メールを定期的に配信し、開いてしまった人にその場で種明かしを返す形が代表的です。座学で「気をつけましょう」と伝えても行動は変わりませんが、一度自分がクリックしてしまうと、着眼点の理解が一気に進みます。訓練の設計と実施は /training/ で詳しく扱っています。
訓練メールを配ると、いちばん慎重な人がつまずきます。「これ本物ですか」と、よりによってその訓練メールに返信して確かめようとするのです。疑う力は十分にある。ただ、確かめる先が用意されていないだけでした。今日その場でできる確認があります。隣の席の人に「変なメールが来たら、誰に、どうやって相談する？」と聞いてみてください。即答が返ってこないなら、増やすべきは注意力ではなく、相談の経路のほうです。
二段目は、どれだけ訓練を重ねてもいずれ誰かが開いてしまう、あるいは取引先のアカウント乗っ取り経由で入り込まれる——その前提に立った仕組みです。ここで問われるのは「見抜けたかどうか」ではなく、「開いてしまった後、侵入されたことに社内のどこかで気づけるかどうか」。おとりの情報やアカウントを社内に仕掛けておき、触れた時点でアラートが上がる、といった侵入後の検知の考え方は /deception/ で紹介しています。
訓練だけに寄せると、乗っ取りアカウント経由のような「見抜けない攻撃」には手も足も出ません。検知だけに寄せると、防げたはずの初歩的な被害まで通してしまいます。この2つは代替関係ではなく、両方そろって初めて意味を持つ組み合わせです。片方だけを厚くしている会社は、少なくありません。
どちらから手をつけるか迷うなら、自社が過去にどちらのタイプのヒヤリハットを経験したかを思い出すところからで構いません。心当たりが何もないなら、まず疑うべきは自社の慎重さではなく、被害が小さいうちに気づける仕組みを持っていない可能性のほうです。気づく仕組みのないまま無事に過ごせている状態と、本当に何も起きていない状態は、外から見分けがつきません。
- 差出人名は自由に設定できるため参考にならない。実アドレスのドメインを一文字ずつ確認する。
- 日本語の不自然さは、文章生成の技術が上がったことでもう当てにできない。依頼内容が普段の業務フローから外れていないかを見る。
- 添付ファイルは端末への侵入、リンクはID・パスワードの窃取が主な狙いで、それぞれ別の予防動作が要る。
- 既存の返信スレッドに割り込まれる手口は、見慣れたやり取りの続きに見えるため警戒が働きにくい。
- 取引先のアカウントそのものが乗っ取られている場合、確認できる情報に異常が存在せず、見抜く手がかりが原理的にない。
- 見抜く訓練と、見抜けなかった後に気づく仕組みは、どちらか一方ではなく両方が必要になる。
参考になる公的資料
- 情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」
- 情報処理推進機構（IPA）「情報セキュリティ10大脅威」
- 経済産業省・IPA「サイバーセキュリティ経営ガイドライン」
- 警察庁「サイバー空間をめぐる脅威の情勢等」
- NISC「サイバーセキュリティ関係法令Q&Aハンドブック」