添付ファイル型の攻撃メールの手口と、訓練での備え方

添付ファイル型の攻撃メールとは

添付ファイル型の攻撃メールは、メールに付けたファイルを開かせて、パソコンをウイルス（マルウェア）に感染させる手口です。IPAの「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）は、マルウェア感染を狙うメールの代表的な手口として、添付ファイルの開封による感染を挙げています。

IPAの「情報セキュリティ10大脅威 2026」組織編でも、1位の「ランサム攻撃による被害」と5位の「機密情報を狙った標的型攻撃」の両方で、メールの添付ファイルが手口の一つとして挙げられています。IPAは、本文や件名、添付ファイル名が業務や取引に関係する内容に偽装され、実在する組織の差出人名が使われる場合もあると説明しています。

使われるファイルの形式

攻撃に使われるファイルの形式は、時期によって変わってきました。公表資料で確認できるものには、次のような形式があります。

形式	公表資料で確認できる内容
Office文書（Word・Excel）	悪意のあるマクロ（自動で動く小さなプログラム）が埋め込まれ、「コンテンツの有効化」などを押させる（IPA）
圧縮ファイル（ZIP）	パスワード付きZIPファイルにして添付する形が観測されている（JPCERT/CC）
ショートカットファイル	マクロを使わない感染の方法として、2022年4月ごろから観測されている（JPCERT/CC）
OneNote形式のファイル	ファイルの中のボタンを押させる形が、2023年3月に観測されている（JPCERT/CC）
HTMLファイル	2024年のメールを使った攻撃で、HTMLファイルの添付が使われた（Microsoft）

IPAは、Emotetの攻撃で使われたファイルとして、このほかにPDFファイルやアプリのインストーラーも挙げています。形式が変わっても、「業務に関係がありそうなファイルを開かせ、表示される指示に従わせる」という流れは共通しています。

被害の例

• Emotetの感染拡大：2019〜2023年にかけて国内で観測されたEmotetは、メールに添付されたOffice文書のマクロで感染させる手口の一例です（IPA）。詳しくは「Emotet（エモテット）の手口」で解説しています
• 情報を盗むウイルス：IPAは、添付ファイルやリンクから感染させる手口の中に、ブラウザやメールソフトに保存したID・パスワードを盗むウイルス（インフォスティーラー）を狙うものがあると説明しています。盗まれた認証情報は売買され、ランサムウェアや不正アクセスの被害につながるおそれがあります
• 詐欺メールにも付いてくる：IPAは、社長などを名乗ってLINEグループの作成を指示する詐欺メールについて、数は少ないものの、ウイルス感染を狙う添付ファイルが付いているケースもあると注意を呼びかけています

IPAの10大脅威 2026 組織編は、ランサムウェアの感染経路のうち「メール・添付ファイル」の割合を、2022年8.8%、2025年2.2%とする警察庁の資料も紹介しています。割合が小さくても、添付ファイルは攻撃の入口の一つとして残っています。

訓練での再現のしかた

添付ファイル型の訓練では、安全なダミーのファイルを使います。開いたことを記録するだけで、マクロやプログラムは動かないものにしてください。

件名と本文の要素

• 件名：「請求書送付の件」「見積書のご確認」「会議資料」「Re:」で始まる返信のような、業務でよく見る型
• 本文：取引先や社内の部署を名乗り、「添付をご確認ください」と開封を促す
• 添付ファイル名：業務に関係がありそうな名前にする

文面の型の考え方は「訓練メールの文例・件名の作り方」も参考にしてください。

訓練で身につけたい行動

IPAとJPCERT/CCの呼びかけをもとに、次の行動を訓練の目標にします。

• 身に覚えのないメールの添付ファイルは開かない。知っている相手からでも、少しでも不審なら、メール以外の方法で送信元に確かめる
• ファイルを開いたときに「マクロを有効にする」「コンテンツの有効化」「編集を有効にする」が表示されても、安易に押さない
• 開いてしまったときは、組織で決めた初動（IPAはパソコンをネットワークから切断する例を挙げています）をとり、すぐに担当部署へ報告する

IPAは、報告の書式に「添付ファイルの有無」「開封の有無」を含めるよう勧めています。報告の手順は「不審メールの報告が上がらない組織の対策」でも解説しています。

スマートフォンで受ける人がいる場合

スマートフォンでメールを読む場合、パソコンとはファイルの開き方や表示が違うため、添付ファイル型の訓練が受けにくい場合があります。スマートフォンでメールを読む社員が多い場合は、リンク型の訓練と組み合わせることも考えましょう。詳しくは「スマートフォンでの訓練」で解説しています。

選ぶときに見る点

添付ファイル型の訓練をしたい場合は、次の点を確認してサービスを選びます。

• 使えるファイルの形式：Office文書、圧縮ファイル、HTMLファイルなど、どの形式のダミーファイルを使えるか
• 開封の記録：誰がダミーのファイルを開いたかを記録できるか。開いたあとに解説を表示できるか
• 安全な作り：ダミーのファイルが、マクロやプログラムを動かさない作りになっているか
• 届くかどうか：自社のメールのフィルタで、添付ファイル付きの訓練メールが止められないように設定できるか
• 報告の集計：不審なメールを報告した人を記録・集計できるか

各サービスの対応状況は比較表で確認できます。

まとめ

• 添付ファイル型の攻撃メールは、業務に見せかけたファイルを開かせてウイルスに感染させる手口で、IPAの10大脅威 2026でもランサム攻撃と標的型攻撃の手口に挙げられています
• 使われる形式は、Office文書、圧縮ファイル、ショートカットファイル、OneNote、HTMLファイルなどに変わってきました
• 訓練では、安全なダミーのファイルを使い、「開かない」「有効化のボタンを押さない」「別の方法で確かめる」「すぐ報告する」を身につけます
• サービスは、使えるファイルの形式、開封の記録、安全な作り、届くかどうかで比べましょう