怪しいメールが届いたと言われたら

次のどこまで進んだかを聞きます。

・メールを見ただけ ・本文のリンクを押して、ページを開いた ・開いたページにIDやパスワード、カード番号などを入力した ・添付ファイルを開いた、または「コンテンツの有効化」などのボタンを押した

メールを見ただけなら、削除してもらい、同じメールが他の社員にも届いていないかを確かめます。何かを入力した、添付ファイルを開いた、という場合は担当者だけで判断せず、すぐ管理者に回します。IPA も、不審なメールや添付ファイルを開いてしまったら、すぐにシステム管理部門などへ相談・報告するよう呼びかけています。

報告を受けたら、まず知らせてくれたことにお礼を言います。同じメールを別の社員が開くこともあるので、報告が早いほど社内への注意が間に合います。

差出人の名前やメールアドレスは、送る側が自由に設定できます。IPA は、メールソフトに表示される送信元の情報でメールの真偽を確かめるのは困難だとしています。社長や取引先、宅配業者の名前が出ていても、それだけでは本物とは言えません。

本物かどうかは、メールに書かれた電話番号やリンクを使わずに確かめます。社長や上司からの依頼なら内線や対面で、取引先ならいつも使っている電話番号で確認します。サービスからのお知らせなら、ブックマークや公式アプリから自分でログインして見ます。

IPA は2026年3月に、社長をかたって LINEグループを作らせ、そのうえで振り込みを指示する手口に注意を呼びかけました。支払いや振込先の変更を求めるメールは、金額にかかわらず経理と上長に確かめてもらいます。

会社のメールや Microsoft 365、Google Workspace のIDとパスワードを入力した場合は、すぐにパスワードを変えてもらいます。そのうえで、管理者にログイン履歴を確かめてもらいます。IPA は、同じパスワードを他のサービスでも使っていれば、そちらも変えるよう呼びかけています。

多要素認証を設定していれば、IDとパスワードを知られても、それだけではログインされません。IPA も不正ログインの防止に効果があるとしています。まだ設定していない社員には、この機会に設定してもらいます。

乗っ取られたアカウントからは、社内外に同じような怪しいメールが送られることがあります。送信済みのフォルダに身に覚えのないメールがないか、メールの転送設定が勝手に追加されていないかも、管理者が確かめます。

クレジットカード番号を入力した場合は、カード会社に連絡してもらいます。会社のカードなら、カードの管理担当にも知らせます。

同じメールが何人にも届いている場合は、件名や差出人名を示して、開かないよう社内に知らせます。フィッシング対策協議会は、フィッシングメールを info@antiphishing.jp に転送して報告する窓口を設けています。社員が個人で社外に転送すると社内の情報が混ざることがあるので、報告は担当者がまとめて行います。

アカウントの乗っ取りなどで、顧客や社員の個人データが漏えいした、またはそのおそれがある場合は、個人情報保護法の漏えい等報告の対象になり得ます。不正アクセスのように不正の目的による漏えい等は、本人の人数にかかわらず、個人情報保護委員会への報告が必要です。速報の目安は知った時点から3〜5日以内、確報の期限は60日以内です。この判断は、個人情報の責任者や管理者と一緒に行います。