社員の見分ける力に頼らない｜フィッシングを3段階で止める

「気をつけて」と言い続けるほど、報告が上がらなくなる

取引先の名前で、これまでのやり取りへの返信を装って届く。日本語も自然で、署名もロゴも本物と同じ。以前のような不自然な日本語の詐欺メールとは別物になっています。

多くの会社の対策は、年1回の研修と「不審なメールに気をつけてください」という注意喚起です。ですが、朝いちばんに30通の未読を処理している担当者が、そのうちの1通を見た目だけで見破るのは、現実的ではありません。見分けられる人を育てる方針には、最初から無理があります。

もう一つの問題は、個人の注意力に頼ると、失敗が隠れることです。「クリックしてしまった」と言い出しにくい空気があると、報告が上がるのは被害が表面化してからになります。情報漏洩やマルウェア感染は、クリックした瞬間ではなく、気づかれずに時間が経つほど広がります。訓練で引っかかった人を名指しする運用は、この意味で逆効果です。

裏を返せば、対策は「届く前」「届いた後」「開いてしまった後」の3段階に分けられます。個人の判断に委ねている部分を、設定と手順に移していけば、一人ひとりの見分ける力に頼る割合を下げられます。

なお、この記事が扱うのはメールの入口です。社内PCのOS更新やウイルス対策の把握は社内PCを「各自任せ」にしないで、生成AIに何を入れてよいかの線引きはAIの誤情報・情報漏れ対策は「禁止」より「仕分け」で扱っています。

自分でやるなら：フィッシングを3段階で止める

ステップ1：いま契約しているメール環境の防御設定を見直す

新しいセキュリティ製品を検討する前に、すでに払っている環境の機能を確認します。ここで止まる分が、いちばん費用対効果が高い部分です。

Microsoft 365を使っている場合、クラウドメールボックスを含むすべてのプランに、マルウェア対策・スパム対策・なりすまし保護・隔離・ユーザーからの報告といった機能が組み込まれています。さらに「Microsoft 365 Business Premium」を契約していれば、Defender for Office 365 プラン1が追加費用なしで含まれます。届いたリンクを開く直前に安全性を確認する「安全なリンク」、添付ファイルを実行環境で検査する「安全な添付ファイル」、取引先になりすました送信者を検知する機能が、この範囲です（2026年9月時点、Microsoft公式サイトより）。単体で追加する場合は1ユーザーあたり月額299円（年間サブスクリプション、税別）です。

Google Workspaceの場合も、Gmailの管理画面から迷惑メール・なりすまし・添付ファイルに関する高度な設定を有効にできます。料金はStarterが1ユーザー月800円、Standardが1,600円、Plusが2,500円です（2026年9月時点、公式サイトより。年間プランは割引があります）。

あわせて、自社ドメインのSPF・DKIM・DMARCを設定します。これは「自社を装ったメール」を他社に送りつけられることを防ぐ設定で、Microsoftも公式に、なりすまし攻撃からの保護精度が上がると案内しています。DNSの設定変更が必要なので、ドメインを管理している担当者か委託先に依頼してください。

ステップ2：届いたメールに「印」を付けて、判断の負荷を下げる

すべてを止めきることはできません。すり抜けた分は、社員が判断する前に「これは注意が要る」という印が付いている状態にします。

社外から届いたメールの件名や本文の先頭に警告を表示する設定は、Microsoft 365・Google Workspaceのどちらにもあります。「取引先を装った社外からのメール」は、この表示があるだけで気づける確率が上がります。あわせて、迷惑メールと判定されたものを隔離し、誰がその中身を確認するかを決めておきます。

判断に迷ったときの相談先として、ChatGPTやClaudeも使えます。メールの本文と送信元アドレスを貼り付けて、怪しい点を挙げさせる使い方です。無料版で足ります。

コピペで使えるプロンプト例（メールの不審な点の洗い出し）：

以下は、当社に届いたメールの本文と送信元アドレスです。
フィッシングの可能性を判断したいので、次の観点で見てください。

・送信元アドレスのドメインが、名乗っている会社と一致しているか
・本文中のリンク先の表記と、実際のURLがずれていないか
・急かす表現、通常と違う依頼（振込先の変更など）が含まれていないか
・判断に必要な情報で、この文面からは確認できないこと

［メール本文と送信元アドレスをここに貼り付け］

このとき、添付ファイルは開かず、リンクも踏まないまま本文だけを貼ります。取引先の担当者名や口座情報が含まれる場合は、その部分を伏せてから貼ってください。AIの判定はあくまで材料です。振込先の変更など重要な依頼は、最終的にはメール以外の経路（電話など、以前から知っている番号）で本人に確認します。

ステップ3：開いてしまった後の30分を、先に決めておく

対策の最後は、クリックされた前提の準備です。ここが決まっていない会社が、いちばん被害を広げます。

決めておくのは3つです。誰に報告するか、報告を受けた人が何をするか、そして「報告した人を責めない」ことを明文化しておくことです。3つ目は精神論ではなく、報告の速さを決める実務上の要素です。

コピペで使えるプロンプト例（自社向けの初動手順づくり）：

当社は〇〇業（従業員〇名）です。メール環境は〇〇を使っています。
社員がフィッシングメールのリンクを開いた、または認証情報を入力して
しまった場合の初動手順を、A4一枚に収まる箇条書きで作ってください。

・発見した本人がすぐにやること
・報告を受けた管理者がやること
・社外（取引先・委託先）への連絡が必要になる条件
・専門業者に相談すべき状況の目安

つまずきやすいポイントと回避策

訓練メールで引っかかった社員を名指しする → 次から報告が上がらなくなります。訓練の結果は個人ではなく全体の傾向として共有し、引っかかりやすい文面の型を全員で確認する材料にします。

フィルタを強くしすぎて、正規のメールが届かなくなる → 隔離されたメールを誰がいつ確認するかを決めてから、設定を強めます。確認する人が決まっていないと、取引先からの重要な連絡が数日埋もれます。

AIの判定を最終判断にしてしまう → 精度は100%ではありません。「安全そう」と言われても、振込先の変更や添付ファイルの実行は、別経路での確認を挟んでください。

（各ツールの機能・料金は変更になる場合があります。最新情報は各社の公式サイトでご確認ください）

自走では越えにくい境界線

上記の方法で、「防御設定が整い、すり抜けたメールに印が付き、開いた後の手順が決まっている状態」までは自社で作れます。一方、次の領域は専門的な設計が必要になります。

継続的な攻撃シミュレーション訓練の運用

実際の攻撃を模したメールを定期的に配信し、結果を追う仕組みは、Microsoftの場合Defender for Office 365 プラン2（1ユーザーあたり月額749円、年間サブスクリプション、税別）に含まれる機能です。文面の設計と結果の扱い方を誤ると、社内の信頼を損なうため、運用設計とセットで考える領域になります。

端末側の監視と、侵入後の調査

メールを入口とした攻撃が成立した後、どの端末で何が起きたかを追うには、端末側のログ収集と分析の体制が必要です。専任の担当者がいない段階では、外部の監視サービスを含めた検討になります。

インシデント発生時の対外対応

個人情報の漏洩が疑われる場合、報告義務の判断や取引先への説明は、法務を含む対応が必要です。手順書の中に「この状況なら誰に相談するか」まで書いておくのが、自走できる範囲の上限です。

今週からできる、最初の一歩

今日試せることが1つあります。

メール環境の管理画面を開いて、「社外から届いたメールに警告を表示する」設定が有効になっているかを確認してください。Microsoft 365でもGoogle Workspaceでも、管理者権限があれば10分で確認できます。

もう1つ、隔離フォルダに何件たまっているかも見てみてください。想像より多いはずです。その件数が、いま社員の判断力に委ねずに済んでいる分量です。

本記事で紹介したツールの機能・料金は2026年9月時点のものです。各社の仕様変更により変わる場合があります。導入前に各社の公式サイトで最新情報をご確認ください。