「注意喚起メール」を装う二段階式フィッシング｜警戒した人ほど狙われる

警視庁のサイバー攻撃対策センターが、2026年6月、「二段階式フィッシングメール」と呼ばれる手口について注意を呼びかけました。従来の対策の考え方が通用しにくい、やっかいな手口です。

手口はこうです。

まず1通目として、明らかに不審なメールが届きます。警視庁が例として示したのは、「本社会計係」を名乗り、通勤手当の申請を促す内容のものでした。多くの人はこれを不審だと気づき、「担当部署に報告しなければ」と考えます。

そこへ2通目が届きます。今度は「本社システム担当」を名乗り、「社員に不審なメールが送信されています。受信状況を調査するので、こちらから回答してください」という内容です。調査への協力を求める体裁で、偽サイトへ誘導し、IDとパスワードを入力させます。

1通目を見破って警戒した人ほど、2通目を「社内のIT部門からの連絡だ」と信じてしまう。 受信者の注意力そのものを攻撃に使う構造になっています。

もう一点、警視庁が指摘している重要な変化があります。AIや翻訳技術の発展により、メール本文から不自然な点を見つけることが難しくなっているという点です。

「日本語がおかしいから偽物」「文面が不自然だから怪しい」——長く使われてきたこの判断基準は、すでに前提が崩れています。文面の巧拙で判断する運用は、そろそろ見直す時期に来ています。

1. 送信者名だけで判断せず、メールアドレスを確認する

表示される名前は自由に設定できます。「本社システム担当」という表示名は何の保証にもなりません。実際のメールアドレスのドメインを確認する習慣をつけてください。

2. メールに書かれた連絡先を使わない

これが最も効く対策です。警視庁も、不審なメールに記載されたURLや連絡手段を使わないよう求めています。送信者に確認が必要な場合は、公式サイトなどから連絡先を調べ、電話など別の手段で連絡する。 攻撃者が用意した経路を一切通らないことが要点です。

社内向けに言い換えるなら、「不審なメールが来たら、メール内のリンクではなく、いつもの内線番号で担当部署に電話する」というルールになります。

3. 多要素認証の導入状況を確認する

IDとパスワードを入力してしまった後の被害を食い止める最後の砦です。自社が使っているクラウドサービスやメールについて、多要素認証が有効になっているかを一度棚卸ししてください。

この手口の怖さは、注意深い人ほど引っかかる点にあります。つまり、社員教育で「気をつけましょう」と伝えるだけでは足りません。メール内の連絡先を使わないという行動のルールを決め、誰でも同じ判断ができる状態にしておくことが有効です。

当社では、こうした社内ルールの整備から日常の運用まで、中小企業の実態に合わせて伴走支援を行っています。

出典