怪しいメールの見分け方｜Web 担当者・情シス・制作会社者向けチェック手順
目次
この記事でわかること
- 怪しいメールを「直感」ではなく機械的にチェックする 5 つの観点
- なりすましメールの典型的な 4 つのパターン
- 社内で標準化しておくべき見分けルール
- 怪しいメールを開いてしまった時の応急処置
「直感」だけで見分けようとしないこと
総務・情シス担当者が直感で「これは怪しい」と判断していると、必ずどこかで取りこぼします。最近のフィッシングメールは日本語の精度も高く、ロゴや署名も完璧にコピーされています。「機械的にチェックできる観点」を 5 つ覚えておくのが安全です。
観点 1: 送信元アドレスの「@」の右側を見る
差出人欄に表示される名前は自由に詐称できます。本物の手がかりは メールアドレスの「@」の右側のドメインです。
例えば次のようなアドレスは要注意です。
[email protected]（amazon の o が 0）[email protected]（本物はsmbc.co.jp）[email protected]（怪しい多重サブドメイン）
正規ドメインを覚えておく社内リストを作っておくと、判定が速くなります。
観点 2: メール認証の結果を確認する
Gmail なら、メール右上の「︙」→ 「メッセージのソースを表示」で、Authentication-Results: ヘッダを確認できます。
Authentication-Results: mx.google.com;
dkim=pass [email protected];
spf=pass smtp.mailfrom=amazon.co.jp;
dmarc=pass (p=QUARANTINE sp=QUARANTINE dis=NONE) header.from=amazon.co.jp
dkim=pass spf=pass dmarc=pass がすべて揃っていれば、技術的には正規メールの確率が高いです。逆に dkim=fail dmarc=fail などが出ていれば、なりすましの可能性が高まります。
DMARC の判定の読み方は DMARC レポートの disposition と alignment を読み解く を参照。
観点 3: リンク先 URL を実際に確認する
メール本文に表示されている URL と、実際にクリック先になる URL は別物です。リンク文字列の上にマウスをホバーすると、ブラウザの左下や右下に実際の遷移先 URL が表示されます。
例えば「https://www.amazon.co.jp/...」と書かれていても、実遷移先が https://amaz0n-account-verify.tk/ であれば、フィッシングです。
スマホでは長押しで URL のプレビューが出るので、開く前に確認する癖をつけましょう。
観点 4: 緊急性 / 不安をあおる文言
フィッシングメールに極めて高頻度で出てくるフレーズ群です。
- 「24 時間以内にご対応いただけない場合、アカウントが停止されます」
- 「セキュリティ上の問題が検出されました」
- 「○月○日までに支払いが確認できない場合」
- 「以下のリンクから至急パスワードを変更してください」
正規の事業者は メール内のリンクから直接パスワードを変えさせる導線を取りません。本物っぽくても、不安をあおる文言で「メール内リンクから ID / パスワード入力」させる構造のメールは、限りなくフィッシングです。ドメインの失効や更新を装って急かす詐欺メールの具体的な見分け方はドメイン更新詐欺メールの見分け方で解説しています。
観点 5: 添付ファイルの拡張子と圧縮形式
正規のメールでも添付は付きますが、次のパターンは特に警戒します。
.zipや.rarで圧縮されたファイル: 中身がスクリプトファイル（.exe / .vbs / .js）であることが多い- マクロ付き Office ファイル（.docm / .xlsm）: マクロを有効化させて感染させる手口
- 二重拡張子:
invoice.pdf.exeのように見せかける手口
迷ったら 開かずに添付の元ファイルを削除 が安全です。
「自社のドメインから迷惑メールが届いた」と取引先に指摘された場合の対応は 「自社の名前で迷惑メールが届いた」と言われた時の対応手順、メールが届かない側のトラブル切り分けは 会社のメールが届かない原因を一覧で整理 を併読してください。
なりすましメールの典型 4 パターン
パターン 1: 取引先になりすました請求書 / 振込先変更通知
「振込先口座が変更になりました。新しい口座は…」という文面のメール。BEC（ビジネスメール詐欺）の典型です。実害が大きいので、振込先変更の連絡は メール以外の経路（電話）で必ず確認するルールを社内で徹底します。詳しくは BEC（ビジネスメール詐欺）の手口と事例 を参照。
パターン 2: 経営者を装ったメール（CEO 詐欺）
「至急、別件で送金が必要だ。○○口座に△△万円振り込んでくれ」という指示メール。経営者の名前を語ってアドレスはフリーメールというパターン。経営者からの送金指示は 対面確認 or 電話確認 を就業規則に組み込むのが定石です。
パターン 3: 配送業者・通販業者からの不在通知
「ヤマト運輸：お荷物のお届けに伺いましたが…」「Amazon：注文した商品の配送に問題があります」というメールから偽サイトに誘導するパターン。クリック先で ID / パスワード / クレジットカード情報を入力させます。
パターン 4: 自社ドメインからの内部通知
「IT 部門です。パスワードの再設定が必要です」「人事です。給与明細のリンクをご確認ください」と、自社の情シス・人事を装うパターン。自社ドメインを偽装している場合、SPF / DKIM / DMARC が正しく設定されていればブラウザ側で警告されますが、未設定だと普通に届いてしまいます。だからこそ自社のメール認証強化が、社員への二次被害を防ぐ最大の対策です。
社内で標準化したいチェックルール
総務担当者が一人で全メールを判定するのは現実的ではありません。社員全員が機械的に判断できるルールを共有しておくのが効果的です。
- 送信元の「@」の右側ドメインを必ず確認（5 秒）
- 「至急」「24 時間以内」「アカウント停止」が含まれたら一段警戒
- リンクは長押し / ホバーで遷移先 URL を確認してからクリック
- 添付ファイルは開く前に拡張子を確認。zip / マクロ付きは情シスへ転送
- 振込先変更・経営者からの送金指示は必ず別経路で確認
これらを 1 枚のチェックリストにして、社内ポータルや給湯室の壁に貼っておくと事故が減ります。
怪しいメールを開いてしまった時の応急処置
- リンクを踏んでしまった場合: ID / パスワードを入力していなければ、ブラウザを閉じるだけで多くは大丈夫。心配なら端末のウイルススキャンを実行
- ID / パスワードを入力してしまった場合: 即座にそのサービスのパスワードを変更。同じパスワードを使っている他サービスも変更
- 添付ファイルを開いてしまった場合: 端末を社内ネットワークから切り離し、情シスに連絡。ウイルススキャンを実行
- 送金してしまった場合: 即座に送金元銀行と取引先銀行へ連絡。警察にも被害届を提出
まとめ
- 直感ではなく 5 つの機械的チェックで判定する
- 送信元のドメイン、認証結果、URL の実遷移先、文言、添付の 5 点
- 振込先変更・経営者送金指示は必ず別経路確認
- 自社のメール認証（SPF / DKIM / DMARC）強化が、社員への二次被害も防ぐ
まずは現状を把握しましょう
自社ドメインのメール認証が正しく設定されているかは、無料のドメイン診断 で 30 秒で確認できます。なりすまし対策の現状把握にぜひお使いください。
「自社のドメインを名乗るなりすましメールが取引先に届いた」という状況であれば、対応は急務です。お問い合わせフォーム で「メール不達など緊急対応のご相談」を選択し、状況をお知らせください。スポット対応（3 万円〜）で 24〜48 時間以内に切り分けと初動対応をご提案します。