建設業の標的型メール訓練：現場と協力会社を含めた進め方

建設業界の現状

建設業は、1つの工事に発注者、元請、多くの協力会社、資材や設備のメーカーが関わる業界です。見積書、図面、工程表、請求書などを、社外の相手とメールでやりとりする場面が多くあります。

IPAの「情報セキュリティ10大脅威 2026［組織］」では、2位に「サプライチェーンや委託先を狙った攻撃」、10位に「ビジネスメール詐欺」が選ばれています。IPAは、攻撃者は対策の固い組織を直接狙わず、取引先や委託先など弱い部分を足がかりにすると説明しています。取引の相手が多い建設業では、自社が被害を受けるだけでなく、取引先への攻撃の足がかりにされるおそれもあります。

ガイドラインでの教育・訓練の位置づけ

建設業だけを対象にした国の教育・訓練の基準は、この記事では確認できませんでした。ここでは、業種を問わず使えるIPAの資料をもとに説明します。

• IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版：経営陣を含むすべての役職員や社外要員に、意識向上の教育・研修を定期的に行い、実施記録を保管して改善につなげることを勧めています
• IPA「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）：教育・研修や訓練を定期的に行い、その効果を確認する必要があるとしています。標的型メール訓練では、不審なメールの報告を手順どおりに行うところまで演習するよう求めています

「社外要員」も教育の対象に含めている点は、協力会社と一緒に働く建設業にとって大切なポイントです。

なぜ訓練が必要か

装われやすい相手

• 取引先・協力会社：IPAは、ビジネスメール詐欺（取引先や経営者を装って送金させる詐欺）の典型として、支払いに使う口座の変更依頼を挙げています。取引先のメールアカウントが乗っ取られ、正規のアドレスから偽のメールが届く場合もあります
• 経営者：社長などを装い、業務の指示としてSNSグループの作成を求めるメールがあります（IPA、警察庁）
• 社内のIT部門やメールサービス：パスワードの期限切れや保留中のメールを口実に、偽のログイン画面へ誘導します（IPA）

被害の例

警察庁によると、経営者になりすまして、インターネットなどで公開されている会社のメールアドレスあてにメールを送り、SNSグループに誘導して送金させる詐欺が、令和8年1〜6月に127件、被害額約38億8,000万円確認されています。実在する社長名や会社名が使われるため、気づきにくいとしています。

また警察庁は、犯罪グループが企業に電話をかけ、ネットバンキングの更新手続きなどを口実にメールアドレスを聞き出し、フィッシングメールを送る手口で、法人口座の不正送金被害が急増したとしています。電話とメールを組み合わせた手口も、教育で扱っておくと役立ちます。

訓練の進め方のポイント

対象者

• 本社・支店：経理・購買・営業は、請求書や見積のやりとりが多い部署です。重点的に対象にします
• 現場事務所：工事ごとに人が入れ替わり、期間も限られます。着任時の案内に、不審なメールの報告先を入れておきます
• 協力会社：自社のメールアドレスを貸与している人を訓練の対象にするかは、先に協力会社と合意しておきます。対象にしない場合も、報告先の周知や教育資料の共有はできます
• 日本語以外の言語を使う人：必要に応じて、教育資料や報告の手順を分かりやすい言葉や母語で用意します

頻度と時期

現場は繁忙期や工期の区切りで忙しさが大きく変わります。年間計画で実施月を決め、配信は数日〜1週間に分けます。現場の人が気づいたあとに問い合わせが集中しないよう、社内への伝え方も決めておきます。伝え方は「訓練は予告する？抜き打ちにする？」で解説しています。

文面の作り方

想定する相手	件名の型	本文の要素
協力会社・取引先（経理向け）	「お振込先口座変更のお願い」	実在しそうな社名、変更の理由、急ぎの期限
発注者（営業・設計向け）	「図面修正のご依頼」	工事名らしき記載、添付ファイルやダウンロードリンク
経営者	「現場の件で至急相談」	役員の名前、SNSグループの作成依頼
IT部門・メールサービス	「パスワード有効期限のお知らせ」	期限の日付、ログイン画面へのリンク

口座変更の依頼を受けたときは、メールではなく、前から知っている電話番号で相手に確かめることを、訓練後の教育でセットで伝えます。文面の型は「訓練メールの文例・件名の作り方」も参考にしてください。

予算を抑えたい場合の考え方は「予算が少ないときの標的型メール訓練」、サービスの違いは比較表で確認できます。

まとめ

• 建設業は取引先や協力会社が多く、IPAの10大脅威で2位のサプライチェーン攻撃や、10位のビジネスメール詐欺に備える必要があります
• IPAのガイドラインは、社外要員も含めた定期的な教育と、報告までを演習する訓練を勧めています
• 取引先・経営者・IT部門を装う文面を用意し、口座変更は電話で確かめる行動もあわせて教えましょう
• 本社・現場事務所・協力会社で条件が違うため、対象と伝え方を分けて計画します