- これは一体誰からのものなのでしょうか？差出人の名前をタップするか、カーソルを合わせると、メールアドレスが表示されます。類似したドメイン（余分な単語、文字の入れ替え、.comの代わりに.coが使われているなど）、企業を装った無料のメールアドレス、または見慣れないメールアドレスに同僚の名前が含まれていないか、ご確認ください。
- 何が求められているのでしょうか？フィッシング攻撃では、ほぼ必ず次の5つのうちのいずれかを要求してきます：パスワードやサインイン情報、金銭やギフトカード、銀行口座情報の変更、添付ファイルの開封、あるいは緊急性や秘密性（「今日中に」、「誰にも言わないで」、「アカウントが閉鎖されます」など）。
- これらのリンクはどこへつながっているのでしょうか？パソコンの場合は、リンクにカーソルを合わせ、ウィンドウの隅に表示されるアドレスをご確認ください。スマートフォンでは、リンクを長押ししてプレビューを表示してください。見たことのないドメインや短縮リンクに誘導するマイクロソフトからの通知は、詐欺の兆候です。
- 予想されていましたか？普段利用していないサプライヤーからの請求書、メールで受け取ったことのないボイスメール、普段ドキュメントを共有しない相手からの共有ドキュメント、注文していない配送物。
- これは通常のパターンから外れていますか？サプライヤーがメールで銀行口座情報を変更してきたり、上司が通常とは異なる緊急の依頼をしてきたり、MicrosoftやGoogleからリンクを通じてアカウントの確認を求められたりする場合があります。実際の企業や上司は、そのようなやり方はとりません。
メールがフィッシングかどうかを見分ける方法と、その対処法
OutlookやGmailで利用できる30秒の確認方法、現在出回っている手口、メッセージをワンクリックで報告する方法、そして万が一クリックしてしまった場合の最初の1時間に取るべき対応についてご紹介します。
読了時間：7分最終更新日
結論から言うと
次の3点を確認してください：実際に送信したのは誰か（名前をタップしてアドレスを確認してください）、何を求めているか（緊急性、金銭、パスワード、銀行口座情報の変更など）、リンク先がどこなのか（パソコンではカーソルを合わせ、スマートフォンでは長押ししてください）。 この3つのうちどれか1つでも不審に感じたら、クリックしたり返信したりしないでください。Outlookの「報告」ボタン、またはGmailの「フィッシングを報告」オプションから報告し、その後、すでに持っている電話番号への電話など、別の方法で確認してください。もしすでにクリックしてしまった場合は、今すぐパスワードを変更し、1時間以内にIT部門に連絡してください。誰もあなたを責めたりはしません。重要なのは迅速な対応です。
30秒チェック
出回っている偽装手法
| どうやら | その正体とは | その特徴 |
|---|---|---|
| 本日、パスワードの有効期限が切れます。または、新しいボイスメールや共有ドキュメントがあります。 | パスワードや承認コードを盗み取る、偽のMicrosoft 365またはGoogleのサインインページ | このリンクは microsoft.com や google.com にはつながりません。また、本物の通知では、リンクを通じてパスワードを入力するよう求められることは決してありません。 |
| 新しい銀行口座情報が記載されたサプライヤーの請求書 | ビジネスメール詐欺（BEC）：多くの場合、サプライヤーの実在するメールボックスが乗っ取られたものから発生します | お支払いの詳細に変更がある場合は、たとえ丁寧な対応であっても、すでに把握している電話番号でサプライヤーにご連絡ください。 |
| 小包、関税、または通行料の通知 | お客様のカード情報を収集する小さな決済ページ | 何も期待していなかったでしょうし、リンク先も通信事業者のドメインではありません |
| スキャン用のQRコードが記載されたPDFファイル | フィルタが読み取れない場所に隠されたリンク | リンクで済むのに、わざわざQRコードを送る人はいません |
| 人事または給与：給与明細書の更新、福利厚生の登録 | ペイロードを含むサインインページまたは添付ファイル | 通常の人事チャネル以外へ、至急送信されました |
| CEOから、ちょっとしたお願いを伝えるテキストメッセージやWhatsAppが届きました | ギフトカードや送金詐欺 | 新しい番号ですが、上司からその件についてメッセージが届くことは決してありません |
| ご自身で開始していないAuthenticatorのプロンプトが大量に表示される | 誰かがあなたのパスワードを入手しており、あなたが「承認」をタップすることを狙っています | すべてのプロンプトを拒否し、パスワードを変更し、本日中にIT部門にご連絡ください |
不審なメールへの対処法
- リンクをクリックしたり、返信したり、同僚に転送したりしないでください。転送を行うと、リスクが分散されるだけでなく、IT部門が必要とする証拠が失われてしまいます。
- Outlookから報告してください。メッセージを選択し、ツールバーの [報告] を選択してから、[フィッシングを報告] を選択してください。このボタンは、Outlook on the web、新しい Outlook for Windows、Outlook for Mac、および iPhone および Android アプリにも存在しますが、ご利用の企業でこの機能が有効になっている場合に限ります。メッセージは削除され、そのコピーが IT チームと Microsoft に送信されます。
- Gmailから報告してください。メッセージを開き、「返信」の横にある3つのドットをクリックして、「フィッシングを報告」を選択してください。Gmailアプリでは、メッセージの右上にある3つのドットを使用してください。Googleに報告のコピーが送信され、Workspaceの管理者がその報告を確認できるようになります。
- 別の方法で確認してください。そのメッセージが、取引先、同僚、またはご利用の銀行からのものだと主張している場合は、あらかじめお持ちの電話番号に電話をかけるか、直接その場所へお越しください。メッセージに記載されている電話番号や返信先アドレスは絶対に使用しないでください。
- パスワードをクリックしたり入力したりした場合は、1時間以内に対応してください。信頼できるデバイスからパスワードを変更し、ご自身で開始していないAuthenticatorの認証要求には承認せず、直ちにIT部門にご連絡ください。添付ファイルを開いてしまった場合は、Wi-Fi接続を切断し、お電話ください。金銭が関わっている場合は、その日のうちに取引先と銀行に連絡してください。対応可能な時間は数時間しかありません。
迅速に報告してくれる人々は、中小企業にとって最良の防衛手段となります。優れたITチームは、誤報であっても感謝し、実際の脅威であっても決してあなたを恥じ入らせるようなことはしません。
IT部門の責任者の方へ
5つの設定で、ほとんどの作業をカバーできます。Microsoft 365のBusiness PremiumプランやGoogle WorkspaceのBusinessプランでは、これらはいずれも追加費用はかかりません：
| 設定 | どこで | 機能の概要 |
|---|---|---|
| 「レポート」ボタンを有効にすると、レポート用メールボックスが作成されます | Microsoft Defenderポータル、設定、メールとコラボレーション、ユーザーによる設定の報告 | すべてのOutlookからワンクリックでレポートを作成でき、ご自身とMicrosoftにコピーが送信されます |
| ご自身のドメインにおけるDMARCの「reject」設定 | SPFおよびDKIMの設定が完了した後のDNS | 攻撃者が、貴社から送信されたように見せかけたメールを送信するのを阻止します |
| 外部送信者のタグ付け | Exchange Onlineの外部タグ付け；Gmailではデフォルトで外部バナーが表示されます | 社外からのすべてのメッセージに目立つラベルを表示 |
| リンクおよび添付ファイルのスキャン | Defender for Office 365の「安全なリンク」および「安全な添付ファイル」機能、Gmailの強化された配信前スキャン機能 | クリックした瞬間にリンクを書き換え・チェックし、添付ファイルを優先的に処理します |
| 外部アドレスへの自動転送をブロックする | Exchange Onlineの送信スパムポリシー、Gmailのルーティング設定 | 攻撃者がメールボックスを密かに読み取るために好んで用いる手法を排除します |
さらに、年に2回、10分間の事後検討を伴う簡単なフィッシングシミュレーションを実施し、盗まれたパスワードだけでは無効となるよう、番号照合を伴う多要素認証を義務付けてください。
はい。もしそのアカウントが乗っ取られていた場合、メッセージは本物のメールボックスから送信され、あらゆる技術的なチェックを通過してしまいます。見分けるポイントは内容です。不自然な依頼、緊急性を訴える文面、ログイン用のリンクなどが挙げられます。本人へ電話で連絡してください。
その代わりに、「報告」ボタンをご利用ください。このボタンをクリックすると、ヘッダー情報が非表示のまま元のメッセージがIT部門に送信され、受信トレイからメッセージが削除されます。転送を行うと、その証拠が失われるだけでなく、リンクが拡散してしまう可能性があります。
迷惑メールとは、不要な広告のことです。これを報告すると、そのメッセージは迷惑メールフォルダに移動され、送信者がブロックされます。フィッシングとは、何かを盗もうとする試みのことです。これを報告すると、そのメッセージは削除され、そのコピーがセキュリティチームおよびMicrosoftまたはGoogleに送信されます。
通常はそうですが、念のためIT部門に報告してください。一部のページでは、クリックするだけで何かがインストールされようとする場合があり、IT部門なら数分でデバイスやサインインログを確認できます。
いいえ。本物の通知では、いつもの場所でサインインするよう案内されますが、パスワードや承認コードの入力を求めるリンクを経由することは決してありません。
問題はありません。ITチームがレポートを確認し、脅威ではないと判断すれば、送信者に影響が及ぶことはありません。報告しすぎることは、報告が足りないことよりもはるかに良いことです。
SF3 Technologiesの支援内容
弊社では、お客様のMicrosoft 365またはGoogle Workspaceにおいて、レポート機能、リンクおよび添付ファイルのスキャン、外部タグ付けを有効化し、DMARCを用いてお客様のドメインを保護してなりすましを防止します。また、短いシミュレーションを通じてチームへのトレーニングを実施し、報告されたすべてのメッセージを代行して処理いたします。これらすべては、専用の管理者アカウントを用いて、お客様自身のテナント内で実行されます。
OutlookおよびGmailのボタン名は、随時変更される場合があります。手順は2026年10月時点で、MicrosoftおよびGoogleのドキュメントに基づいて確認済みです。