IPAが「企業を狙う攻撃メール」6つの手口を公開｜まず狙われるのは人間心理
公開日：
※当サイトはアフィリエイトプログラムを利用しています。
2026年8月3日、IPA（情報処理推進機構）が「企業組織を狙う攻撃メールの手口とその対策」というレポートを公開しました。
タイトルだけ見ると「自分は中小企業のシステム担当者じゃないから関係ないかな」と思われるかもしれません。
でも中身を読んでみると、メールを使う全ての人に関係のある話でした。
今回はこのレポートを、当サイトらしい切り口で掘り下げてみます。
各手口については、それぞれ詳しくまとめた当サイトの記事をリンクしています。ぜひそちらも読んで、理解を深めてくださいね。
レポートの土台にある考え方
IPAがこのレポートの冒頭で述べていることが、大事な部分だと思っています。要約すると、こんな感じ。
メールを使った攻撃の土台にあるのは、人をだます「ソーシャルエンジニアリング」と呼ばれる手法です。
その方法は「人の心理的な弱点に付け込む」か「相手への信頼感を逆手に取る」の2つ。
この手口自体は、昔からほとんど変わっていません。
詐欺の正体はソーシャルエンジニアリング｜心理操作の原理を解き明かす
レポートで例として挙げられているのが、社長になりすましたメールです。内容が唐突で、ちょっと不自然だったとしても、知っている相手だからという信頼感があるせいで、つい指示に従ってしまう。最後に崩されるのは人の心だという話。
当サイトで繰り返し取り上げてきた「認知の降伏」の話そのものでもあります。
詐欺サイトでも、投資詐欺でも、占い依存でも、最終的に相手を動かしているのは「自分で考える力を手放させる」プロセス。企業向けのメール攻撃も同じ構造なのです。
なぜ人は詐欺に騙されるのか？AI研究が示した【認知の降伏】という危険な心理
企業組織を狙うメール攻撃を6つの手口で整理
IPAのレポートでは、企業組織を狙うメール攻撃を6つのタイプに分けています。順番に6つの手口を見ていきましょう。
1️⃣フィッシング
実在する企業やサービスを騙るメールを送り、偽サイトに誘導して認証情報を入力させる手口。
緊急性を煽るのが典型的なパターンで、「メールボックスの容量オーバー」のような文面で焦らせて、URLをクリックさせます。
ここで特に注目したいのが、レポートで詳しく解説されている「リアルタイムフィッシング」と「AiTM（中間者攻撃）」です。
普通のフィッシングは、盗んだIDとパスワードを後から悪用するイメージがあるかもしれません。
リアルタイムフィッシングでは、偽サイトに入力された情報を攻撃者がその場で正規サイトに入力します。
多要素認証のワンタイムパスワードまで、リアルタイムで奪ってしまうのです。
AiTM攻撃はさらに一歩進んで、被害者と正規サイトの通信を中継しながら「セッションクッキー」そのものを盗み取る手口となります。
多要素認証は多くの人が「これさえ設定しておけば安心」と思っている対策だと思うんですよ。
でもこの手口が示しているのは、多要素認証すら万能ではないということ。
リアルタイムフィッシングの手口と対策｜多要素認証でも防げない？
2️⃣ビジネスメール詐欺（BEC）
特定の企業組織を狙い、偽のメールで攻撃者の口座へ送金させる詐欺です。
レポートではビジネスメール詐欺を2つのタイプに整理しています。
①取引先との請求書偽装
取引先とのやりとりを盗み見て、途中から取引先になりすまし、「送金先口座が変わりました」と偽の連絡をする手口です。
IPAの相談窓口ではこのタイプが多くを占めるとのこと。
②経営者へのなりすまし（CEO詐欺）
社長や役員になりすまして、従業員に送金を指示する手口です。
なりすます相手のメールアカウントを実際に乗っ取り、正規のアカウントから送ってくるケースもあります。
この場合、受け取った側はなかなか気づけません。
これまでのやりとりの途中に、自然に割り込んでくるから無理もない感じ。
これも一種の信頼している関係性につけ込む手口ですね。
【CEO詐欺】フィッシング詐欺増加が気のせいではなかった
3️⃣標的型攻撃メール
特定の組織を狙った、いわゆる「サイバー諜報活動」の入口として使われるメールです。
フィッシングが不特定多数への「ばらまき型」であるのに対し、標的型攻撃メールは標的となる人物の業務内容まで調べた上で、業務に関連した内容のメールを送りつけてきます。
侵入後も長期間にわたって活動を続ける、国家支援型と呼ばれる攻撃グループが関与するケースもあるそうです。
この場合の攻撃者は「APT（Advanced Persistent Threat）」と呼ばれます。
個人が直接狙われることは少ないタイプですが、勤め先がこの標的になる可能性はゼロではありません。
【ビジネスメール詐欺（BEC）の脅威】その取引先は本物ですか？
4️⃣ばらまき型のなりすましメール
2025年12月中旬から観測されているという、社長・代表者を騙って「LINEのグループを作って、そのQRコードを返信してほしい」と求める手口が紹介されています。
CEO詐欺とよく似てはいるのですが、レポートでは明確に区別されています。
CEO詐欺は、特定の企業を標的にした、わりと手の込んだなりすましです。
一方、こちらは不特定多数に同じような偽メールをばらまきます。差出人の偽装も比較的単純です。
差出人の表示名には社長の名前が入っていても、実際の送信元はフリーメールだったりします。
それでもフィルタリングをすり抜けて受信ボックスに届いてしまい、やりとりを続けた結果、実際に不正送金の被害につながった事例も報道されているとのこと。
「手が込んでいないから大丈夫」ではなく、「不特定多数に投げても、一定数は引っかかる」という無差別型の怖さがここにも表れいるといえます。
ほかには、人事部門を装って「人事評価や昇給の通知」を騙るもの、IT部門を装って「パスワードの有効期限切れ」をかたるものなど。
企業内の「業務っぽい体裁」を利用したパターンも紹介されています。
5️⃣マルウェア感染を狙うメール
添付ファイルを開かせたり、URLリンクから不正なファイルをダウンロードさせたりして、パソコンをマルウェアに感染させる手口。
2019〜2023年に国内で大きな被害を出した「Emotet」がこのタイプの代表例として挙げられています。
感染するとメールアカウント・アドレス帳・メール本文などを盗み出し、盗んだ情報を使って「本物そっくりの返信メール」をばらまき、さらに感染を広げてしまうのです。
PDFファイル添付メールに注意！フィッシング詐欺やマルウエア感染の危険性
レポートで重要なのは、マルウェアに感染したパソコンが、社内ネットワークへの侵入を広げる足がかりにされてしまうこと。
攻撃者の指令サーバーと接続され、さらに社内へ侵入を広げるために利用されてしまうのです。
レポートでは、これを「攻撃の橋頭堡化」と呼んでいます。
この通信はファイアウォールの内側から外側への接続になるため、通常の業務通信と見分けがつきにくく、検知が難しいという指摘もあります。
最終的にランサムウェアによるデータの暗号化にまで発展するケースもあるとのこと。
【マルウェア対策】感染の兆候や感染予防まとめ【感染したかも？！】
6️⃣偽のセクストーションメール
そして、当サイトでも何度も取り上げてきた偽のセクストーションメールが、企業向けレポートに項目として入っています。
「パソコンをハッキングしてプライベートな動画を入手した、知人にばらまくぞ」と脅して暗号資産を要求する手口。
IPAは明確に「メールに書いてあることは全て嘘の内容です」と言い切っています。
【性的脅迫】セクストーションの被害に遭ったら？絶対にしてはいけないこととタイプ別対処法
実際の文面は、こちらをご覧になったほうがわかりやすいでしょう。
２週間以内に納税するのをお忘れなく！トロイの木馬をインストール【セクストーションスパム】
面白いのは、「このメールは個人のメールアドレス宛に届くことが多いですが、企業組織で利用しているメールアドレスに届く場合もあります」という一文です。
個人向けの脅迫だと思っていたこの手口、実は会社のメールアドレスにも届くという実態が、企業向けレポートを通じて可視化された形ですね。
対応もシンプルで、「動画への実際のリンクや添付がない＝根拠のない嘘」なので、無視して削除すればよいという結論です。
ただし、文面に実在するパスワードが書かれている場合だけは別です。
そのパスワードを今も使っているなら変更し、不正ログインの痕跡がないか確認する必要があるとされています。
企業宛の方がむしろ狙い目なのでは
IPAのレポートには「個人のメールアドレス宛に届くことが多いですが、企業組織で利用しているメールアドレスに届く場合もあります」としか書かれていません。
でも個人的には、企業宛の方がむしろ都合がいい面もあるのではと感じています。
理由は2つあります。
ひとつは、企業のメールアドレスは実在する確率が高いこと。
名刺やコーポレートサイト、求人情報などで公開されていることが多く、ばらまき型のように数を撃つ手口にとっては「宛先が生きている」確率が高いと効率がいいはずです。
もうひとつは、勤務時間中の私物スマホの利用です。
会社支給のパソコンでアダルトサイトを見る人はさすがに少ないでしょうが、私物のスマホでこっそり、という人はいるはずです。
「あなたがポルノを見ている動画を撮った」という脅し文句。
これが会社のメールアドレスに届いたら、「友人知人にバラされる」恐怖に加えて、「会社に知られたら困る」という別の圧力まで上乗せされるでしょ？効果的だと思ったのです。
もちろんこれは私の推測であって、IPAのレポートがそこまで分析しているわけではありませんが。
手口は大きく2つに分かれる
こうしてみると、この6つは大きく2つの軸で整理できそうです。
| 手口 | 標的の絞り込み | 心理的な突破口 |
|---|---|---|
| フィッシング | 不特定多数 | 緊急性・焦り |
| BEC | 特定の組織 | 業務上の信頼関係 |
| 標的型攻撃メール | 特定の人物 | 業務との関連性・興味 |
| ばらまき型なりすまし | 不特定多数 | 役職への服従心理 |
| マルウェア感染メール | 不特定〜標的型 | ファイルへの好奇心・業務の必要性 |
| 偽セクストーションメール | 不特定多数 | 羞恥心・恐怖 |
標的を絞り込むほど見破りにくくなり、心理的な作用も個別最適化されるという傾向が見えてきますね。
逆に不特定多数へのばらまき型は手口自体は単純でも、大量送信で一定の成功率を確保するというビジネスモデルです。
この表は、6つの手口がそれぞれ違う角度からソーシャルエンジニアリングを使い分けている、と言い換えられるのではないでしょうか。
不自然さに気づく感覚そのものを養うという対策
教育・研修は、具体的な文面や手口を伝えるだけでなく、「特定の文面に注意するだけでなく、不自然・不審なメールに対して広く意識を高める」内容にすることが望ましいとあります。
当サイトが個々の迷惑メール事例を紹介しながら、最終的に伝えたいと思っていることと同じ。
「メールの見分け方」を丸ごと覚えるのではなく、「不自然さに気づく感覚」そのものを養うことが、本質的な対策になるという考え方です。
こちらの記事で触れていますが、違和感ってとても大事な感覚。ほんの少しでも「？」と感じたら、詐欺の予兆だと思ってくださいね。
【詐欺の予兆】えっなんで？！おかしいなともし感じたら【検索しよう】
また、レポートの結びにあった一文も良い意味でとても印象的でした。
メールのフィルタリング等の技術的な検知対策をすり抜ける攻撃に対して、人は意識を高めることによって、第二の検知対策になり得る。
技術的な対策は年々進化していますが、それをすり抜けてくる攻撃は必ず存在します。
最後の砦になるのは、結局「その人自身の気づき」なのだという指摘は、企業組織向けのレポートでありながら、個人にも当てはまる話だと思います。
あなたがどの立場なのか
今回のIPAレポートは中小企業のシステム担当者・情報セキュリティ担当者を主な読者として想定されたものです。
6つの手口のうち少なくとも「フィッシング」「ばらまき型なりすまし」「偽セクストーションメール」の3つは、あなたのメールアドレスにもそのまま届く可能性があるもの。
あなたが会社員であれば、自分の勤め先が標的型攻撃メールやBECの対象になることもあります。
また、あなたが個人事業主であれば、取引先を装ったBECの被害者にも加害の踏み台にもなるのです。
企業向けだから関係ないではなく、「自分がどの立場でこの手口に触れる可能性があるか」を考えながら読むと、このレポートの価値がぐっと上がると思いますよ。
攻撃の入口はメールではなく人
ここで挙げた6つの手口は、どれも「ソーシャルエンジニアリング」という一つの言葉に行き着きます。
技術的な攻撃の前に、まず人の心理につけ込む手法だという点を覚えておいてほしいと思います。
「企業組織を狙う攻撃メール」という言い方をすると、なんだか組織そのものが、ハッキングのように直接攻撃されているように聞こえがちですよね。
実際には、フィルタリングをすり抜けたメールを開くかどうか、リンクをクリックするかどうか、その一瞬を判断しているのは、組織ではなく画面の前にいる一人の人間です。
企業を狙う攻撃も「一個人へのソーシャルエンジニアリング」から始まっているのです。
組織という大きな器を崩すために攻撃者がまず狙うのは、その中にいるたった一人の心。
この記事を「自分には関係ない企業向けの話」として読み流さず、「その一人が自分だったら」という前提で読んでもらえたらと思います。
初動を先に決めておく
最後にもうひとつ、特に標的型攻撃メールについて、肝心要となる対策を書いて終わりにしたいと思います。
標的型攻撃メールは、攻撃者が標的の業務内容をあらかじめ調べ上げた上で、「開かざるを得ない」「興味をそそられる」内容を狙って作ってきます。
ばらまき型のメールを見分けるときのような「不自然な日本語」「心当たりのない話」といった手がかりが、最初から通用しません。
極端に言えば、どれだけ意識を高くしていても、見分けられない場合があるということ。
大事なのは、見分けることより「攻撃メールを開いてしまった後、どう動くか」を先に決めておくことではないでしょうか。
- ☝️URLをクリックした、添付ファイルを開いた場合は、すぐにパソコンをネットワークから切断する
- ☝️フィッシングサイトにパスワードを入力してしまったら、至急変更する。同じパスワードを他のサービスでも使い回していたら、それも全部変更する
- ☝️少しでも違和感があったらメールの中だけで判断せず、電話や社内チャットなど別の経路で相手に直接確認する
- ☝️誰に、どんな書式で報告するか（受信日時・送信元・URLや添付の有無・クリックや開封の有無）をあらかじめ決めておく
判断力が一番鈍っている瞬間に、あらためて判断しなくて済むようにしておく。
これが標的型攻撃メールに対する、実質的で有効な対策だと思うんですよ。
こういった決まりごとがあれば、これらの被害は起きなかった可能性が高いのではと感じます。
学校や自治体もサポート詐欺・BECの標的に！進化する手口と対策を解説
企業口座が狙われている！中小企業を標的にするボイスフィッシングの手口と対策