不審なメールへの心得として、「差出人のアドレスを確かめる」「不自然な日本語に注意する」はよく知られています。ところが、この確認をすり抜ける攻撃があります。差出人アドレスが取引先の正規のもので、文面も自然で、しかも進行中のやり取りの続きとして届くケースです。
独立行政法人情報処理推進機構（IPA）は2026年8月3日、報告書「企業組織を狙う攻撃メールの手口とその対策」を公開しました。中小企業のシステム担当者や情報セキュリティ担当者を読者に想定した資料です。ここで整理された手口を読むと、見分けを個人の注意力に任せておくことの限界と、もう一つ見落とされがちなリスクが浮かび上がります。
この記事でわかること
- 差出人の確認では見抜けない攻撃が、どういう仕組みで成立するか
- 取引先のメールアカウントが乗っ取られたとき、過去に渡したファイルに何が起きるか
- 乗っ取りが分かったときに、送った側でできること
攻撃は6つの型に整理されている
報告書は、企業を狙うメール攻撃を6つに分けています。フィッシング、ビジネスメール詐欺（BEC）、標的型攻撃メール、組織を騙る「ばらまき型」のなりすましメール、マルウェア感染を狙うメール、偽のセクストーションメールです。そのうえで、手口に応じて、情報漏えい、金銭の窃取、データの破壊、攻撃の足がかり化といった被害が生じうると整理しています。
このうち、受信側で特に見分けにくいのが、取引先の正規アカウントを使われるタイプのビジネスメール詐欺です。
正規のアカウントから、やり取りの途中に割り込まれる
報告書はビジネスメール詐欺を2つのタイプに分けています。そのうちタイプ1は、攻撃者が「被害組織と取引先とのメールのやりとりを盗み見ることから攻撃が始まります」と説明されています。攻撃者は途中から取引先になりすまし、支払いに使う送金先口座の変更を依頼する偽メールを送ります。
やっかいなのは、この偽メールが必ずしも偽アドレスから来ないことです。報告書は、攻撃者が取引先のメールアカウントに不正ログインして「取引先の正規アカウントからメールを送信する場合がある」と述べ、「これまでのやりとりの途中で攻撃者が自然に割り込んでくるため、不正に気が付くのが難しく、被害につながる場合があります」と指摘しています。IPAの相談窓口に寄せられた相談では、海外の取引先になりすましたこのタイプ1が多くを占めるとされています。
差出人の見分けについても、報告書は注意を促しています。メールソフトに表示される差出人は、送信元の偽装を防ぐ設定（SPFやDMARCと呼ばれるもの）が適切に行われていない場合は偽装が可能であり、「差出人のドメイン名が一見正しい場合でも過信せず」、不審な点があれば相手に直接確認する、という趣旨の注記が置かれています。
つまり、差出人アドレスの確認は必要ですが、それだけで安全側に振り切れる前提にはなっていません。
乗っ取られたメールボックスには、過去のやり取りが残っている
もう一つ、この報告書から読み取れるのが時間軸のリスクです。
報告書は、メールアカウントの認証情報を奪われた場合の被害として「取引先とのメールを盗み見され、ビジネスメール詐欺（BEC）につながる」ことを挙げています。また、Microsoft 365やGoogle Workspaceのような統合型SaaSの認証情報を奪われると、クラウドストレージに保存した情報にアクセスされる可能性があるとしています。
ここから先は報告書の記述そのものではなく、受け渡しの実務に引き寄せた見方になります。盗み見られるのは、新しく届くメールだけとは限りません。添付ファイルで送った資料は、受信者が削除したり保存期間が満了したりしない限り、相手のメールボックスにコピーとして残ることがあります。過去のメールを閲覧できる状態であれば、以前送った見積書や契約書の添付にもアクセスされる可能性があります。乗っ取りが分かったあとに「どのファイルが読まれた可能性があるか」を切り分けようとしても、過去のメールに添付が散らばっていれば、範囲を絞ること自体が難しくなります。
送信済みの添付ファイルを、送った側から相手のメールボックス内で削除することはできません。だからこそ、渡し方の時点でメールボックスに残す量を減らせるかどうかが効いてきます。
「見分ける」に「メールへ添付を残さない」を足す
報告書は、利用者が行う対応として「URLリンクをクリックしない」「添付ファイルを開かない」「少しでも不審に感じた場合は、メール以外の方法で相手に直接確認する」といった項目を挙げています。不審かどうか判断しにくいメールが届くたびに、個人の注意力だけで見分けるのは担当者の負担になります。
そこで、見分けの精度を上げる方向とは別に、渡し方そのものを変える方向があります。
- 重要なファイルを添付として置いてこない：本文に添付するのではなく、期限付きの共有URLで渡せば、メールボックスに残るのはリンクだけになり、期限を過ぎた後は同じリンクから取得できなくなります。
- どの宛先に、いつ共有・ダウンロードされたかを自社側に残す：受け渡しの記録が自社に残っていれば、取引先で不正ログインが疑われたときに、その期間にどのファイルが渡っていたかを自社の側から確認できます。
ただし、共有URL方式で減らせるのは「メールボックスに添付ファイルのコピーが残り続けること」と「そのURLから取得できる期間」であって、取引先のアカウントが乗っ取られること自体は防げません。有効期限内に攻撃者がダウンロードした場合や、正規の受信者が既に手元へ保存したファイルにも効きません。狭くなるのは影響範囲であって、ゼロにはなりません。
乗っ取りが分かったとき、送った側でできること
取引先から「メールが乗っ取られていた」と連絡があったとき、送った側にも確認できることがあります。
- その取引先へ送ったファイルと、送信した期間を洗い出す
- まだ有効な共有があれば、宛先ごとに取り消す（用語集）
- ダウンロードの履歴を確認し、記録として残す
- 口座や送付先の変更依頼を受けていた場合は、メールではなく電話など別の経路で事実関係を確かめる
- 個人情報や機密情報を含む場合は、経営者や委託先のIT保守会社に共有し、必要に応じてIPAの「企業組織向けサイバーセキュリティ相談窓口」など外部の相談先にあたる
添付で送っていた場合、この最初の「洗い出し」が過去メールの検索作業になります。受け渡しの記録が自社に残っていれば、期間で絞って一覧できます。
まず決めておきたい社内ルール
報告書は、事前の対策としてルールの整備を挙げています。実務としてすぐ着手できるのは次のあたりです。
- 送金の承認ルール：口座変更や高額の支払いを、メール1通の指示だけで実行しない手順にします。変更連絡はメールの返信ではなく、あらかじめ登録した電話番号など別の経路で裏取りする、と決めておきます。
- 多要素認証：インターネットから直接アクセスできるサービス（メールやSaaSなど）には多要素認証を必須にする、という方針が示されています（用語集）。
- 報告先と書式を決める：不審なメールを受け取ったとき、受信日時・送信元・URLリンクや添付ファイルの有無・クリックや開封の有無を含めて報告する、と書式まで決めておくと、報告が上がりやすくなります。専任の担当者がいない場合は、経営者、IT を兼任する担当者、契約中の保守会社など、最初の連絡先をあらかじめ決めておきます。
報告書は最後に、メールを悪用した攻撃への対策は「自社および取引先含めたサプライチェーン全体で取り組む」ことが重要だと述べています。自社だけを固めても、取引先側で起きた乗っ取りの影響は自社に返ってきます。
ForceDriveでの実現
法人向けセキュアファイル送受信サービスのForceDriveは、メールボックスに添付を残さない渡し方を仕組みとして受け持ちます。共有URLには有効期限とダウンロード回数の上限を設定でき、既定では期限切れのファイルは自動で削除されます（用語集）。
受け渡しの操作は、改竄を検知できる監査ログとして記録され、CSVやJSONLで書き出せます（用語集）。取引先側でアカウントの不正利用が疑われたときに、その期間の受け渡し状況を自社の記録から確認でき、まだ有効な共有は宛先ごとに取り消せます。国内の自社データセンターで運用し、ファイルの中身を外部のAIサービスに読ませることもありません（用語集）。
なお、宛先メールに届く6桁のワンタイムコードで受け渡す方式もありますが（用語集）、これは打ち間違いなどで別の相手に渡ることを防ぐための確認であり、宛先のメールアカウント自体が乗っ取られている場合に攻撃者を締め出す機能ではありません。
まとめ
IPAが2026年8月に公開した報告書は、企業を狙うメール攻撃を6つの型に整理したうえで、正規アカウントから進行中のやり取りに割り込むビジネスメール詐欺のように、差出人の確認では気づきにくい手口があることを示しています。見分けの努力に加えて、渡したファイルそのものを相手のメールボックスに残し続けないようにし、共有URLからファイルを取得できる期間を区切っておくと、乗っ取りが起きたときに影響範囲を絞りやすくなります。まずは自社が外部へ送っているファイルの渡し方と、口座変更などの確認ルールを見直すところから着手できます。ご相談はお問い合わせから承ります。
出典：独立行政法人情報処理推進機構（IPA）セキュリティセンター 報告書「企業組織を狙う攻撃メールの手口とその対策」（2026年8月3日公開）。掲載ページの見出しは「企業組織を狙うメールを悪用した攻撃の手口とその対策」です。