フィッシング詐欺は、実在する企業やサービスなどを装ったメールやSMSから偽サイトへ誘導し、ID・パスワードやクレジットカード情報などを盗み取る手口です。近年はSMSやQRコード、SNSなど誘導経路も多様化しており、正規の案内と見分けにくいケースもあります。

企業で認証情報が窃取されると、メールやクラウドサービスへの不正ログイン、社内情報の漏えい、なりすましメールの送信などへ発展する可能性があります。

そのため、技術対策だけでなく、従業員が不審な誘導に気付き、操作を中断して速やかに報告できる体制を整えることが重要です。

本記事では、フィッシング詐欺の主な手口と、企業が行うべき技術・人的対策について解説します。

※『QRコード』は株式会社デンソーウェーブの登録商標です。

フィッシング詐欺は、認証情報や決済情報を窃取し、不正ログインや金銭被害につなげる攻撃です。企業の業務アカウントが狙われた場合は、社内外を巻き込むインシデントへ発展する可能性があります。

フィッシング詐欺では、実在する企業やサービス、取引先などを装ったメールやSMSから偽のログイン画面へ誘導し、ID・パスワードやクレジットカード情報などを入力させます。

盗まれた認証情報は、正規のメールやクラウドサービスへの不正ログインに悪用される可能性があります。個人の金銭被害だけでなく、業務アカウントの乗っ取りや情報漏えいにも注意が必要です。

フィッシング詐欺の入口はメールだけではありません。SMSを利用する「スミッシング」、QRコードから悪意のあるWebコンテンツへ誘導する「Quishing」、SNSやチャットを使う手口もあります。「本人確認」「不正利用への対応」「セキュリティ強化」など、正規の案内に見える理由を示して操作を促すのが特徴です。

近年は、IT部門をかたり、「アカウント設定の見直し」や「パスワードの有効期限切れ」を理由にURLへ誘導する手口も確認されています。

経路を問わず、認証情報の入力や設定変更を求められた場合は正規の案内かどうかを確認することが重要です。

認証情報の窃取により業務アカウントが乗っ取られると、被害は認証情報を入力した本人だけにとどまりません。社内情報や顧客・取引先情報への不正アクセスに加え、そのアカウントを使ったなりすましメールなど、被害が社内外へ広がるおそれがあります。 

一人の誤操作を組織全体の被害につなげないためにも、認証を守る技術対策と、不審な操作を避けるための従業員教育を組み合わせることが重要です。

フィッシング詐欺への対策では、従業員の注意だけに頼らず、不審なメールや偽サイトへのアクセスを技術的に遮断する仕組みが必要です。さらに認証情報が窃取された場合に備え、不正利用を防ぐ対策も講じます。

メールセキュリティ製品で不審なメールや添付ファイル、URLを検査し、URLフィルタリングやWebフィルタリングで危険なサイトへのアクセスを遮断します。DNSやブラウザのセキュリティ機能も活用し、不審なドメインへの接続を防ぎます。

併せて、メールや端末、クラウドサービスのログを取得し、通常とは異なるアクセスを監視します。ただし、新たにつくられた偽サイトや正規サービスを経由する攻撃もあるため、複数の仕組みを組み合わせることが重要です。

SPF、DKIM、DMARCなどの送信ドメイン認証を設定し、自社ドメインを悪用したなりすましメールへの対策を行います。特にDMARCは、認証に失敗したメールの扱いを指定し、レポートから自社ドメインの不正利用状況を確認できます。

一方で、攻撃者が独自ドメインを使い、送信ドメイン認証を通過するケースもあります。送信ドメイン認証は重要ですが、それだけですべてのフィッシングメールを防げるわけではない点にも注意が必要です。

パスワードの使い回しを避け、多要素認証を導入することで、ID・パスワードが窃取されても不正ログインされにくくします。不要なアカウントや過剰な権限を削除し、アクセス権限を必要最小限にすることも重要です。

さらに、通常とは異なる場所や端末からのログインを監視します。IPAも多要素認証を推奨しており、対応しているサービスではパスキーなど、フィッシング耐性の高い認証方式を活用することも有効です。

フィッシング詐欺を防ぐには、従業員が不審なメールや操作要求に気付き、安易に認証情報を入力しないことが重要です。正規の案内に見えても、一度立ち止まって確認する習慣が求められます。

「アカウントが停止される」「不正利用を検知した」「至急確認してください」といった、受信者を急がせる内容には注意が必要です。

メールやSMSのリンクから直接ログインせず、ブックマークや公式アプリ、公式サイトからアクセスする習慣を付けます。知っている企業やサービスの名前が表示されていても、それだけで安全と判断しないことが重要です。

差出人のメールアドレスやドメイン、リンク先が公式のものかを確認します。QRコードの場合も、読み取ったあとの遷移先を確認します。

ただし、見た目や文面だけでは真偽を判断しにくいため、「日本語に違和感がないから安全」とは判断できません。

特に、突然ID・パスワードやカード情報の入力を求められたり、覚えのない多要素認証の承認を求められたりした場合は操作を止めます。メールの見た目だけでなく、「何をさせようとしているのか」に注目することが大切です。

メールに違和感がある場合は、そのまま返信せず、公式サイトに掲載されている連絡先から確認します。社内担当者を装うメールなら、電話や社内チャットなど別の手段で本人に確認することも有効です。

判断に迷った場合は、情報システム部門やセキュリティ担当者へ相談します。不審なメールをすぐに報告できる窓口を設け、「確信が持てるまで操作しない」というルールを共有しておくことが重要です。

フィッシング詐欺への対策では、攻撃を見抜くことだけでなく、誤って操作した場合に早く報告できる体制も重要です。早期対応によって、アカウント乗っ取りや情報漏えいの拡大を防ぎやすくなります。

偽サイトでID・パスワードを入力した場合は、不正ログインが確認されるまで待たず、その時点で担当部署へ報告します。パスワードの変更やアカウントの一時停止を行い、同じ認証情報を使用しているサービスがないかも確認します。

併せて、ログイン履歴や多要素認証の要求を確認し、不正アクセスや情報漏えいの有無を調査します。「被害が起きてから」ではなく、「入力してしまった段階」で報告するルールと連絡先を明確にしておくことが重要です。

フィッシングメールは巧妙化しており、正規サービスや独自ドメインを利用する手口もあります。そのため、「不自然な日本語」「怪しい送信元」など特徴を覚えるだけの教育では十分ではありません。

リンクを開いた後に何を確認するか、認証情報の入力や多要素認証の承認を求められたらどうするかまで具体的に教えます。また、誤操作を責めるのではなく、報告先・報告手順を明確にし、訓練に報告まで含めることが被害拡大の防止につながります。

座学だけでは、実際の業務中にメールを受信した際の判断を十分に練習できない場合があります。業務に近いメールや偽サイトを使った疑似体験を通じて、「不審な点に気付く・操作を止める・報告する」までを一連の行動として練習することが有効です。

『セキュアプラクティス®』では、フィッシング詐欺を題材としたシナリオ「フィッシング詐欺編」を用意しています。さらに、QRコードから仮の不正サイトへ誘導される「Quishing詐欺」のシナリオも用意しています。管理者側では履修状況も確認できるため、継続的な教育を通じて「気付く・止まる・報告する」という行動を定着させられます。

フィッシング詐欺の手口は、メールだけでなくSMSやQRコードなどにも広がっています。企業には、メールセキュリティや多要素認証などの技術対策に加え、従業員が不審な誘導に気付き、操作を中断して速やかに報告できる体制づくりが必要です。

『セキュアプラクティス®』では、「フィッシング詐欺」や「Quishing詐欺」のシナリオを用意しています。疑似体験を通じて、不審な操作を止め、早期に報告する行動を組織内に定着させ、技術対策をすり抜けた攻撃にも備えられます。