IPA「企業組織を狙う攻撃メールの手口とその対策」の要点と、メール訓練への生かし方

この記事は2026年8月3日に公表された資料をもとにしています。

何が公表されたか

IPA（情報処理推進機構）セキュリティセンターは、2026年8月3日に「企業組織を狙う攻撃メールの手口とその対策」（PDF、22ページ）を公開しました。IPAの「企業組織向けサイバーセキュリティ相談窓口」には、メールを悪用した攻撃の被害についての相談が多く寄せられており、その手口と被害、対策をまとめたレポートです。

読者として想定されているのは、中小企業のシステム担当者や情報セキュリティ担当者です。ただしレポートは、メールを悪用した攻撃は組織の誰もが狙われうるため、組織全体に対策を広げる必要があるとしています。

要点

攻撃メールを6つの型に分けている

レポートは、企業組織を狙う攻撃メールを次の6つに分けて説明しています。

型	主な狙い
フィッシング	偽サイトに誘導し、IDやパスワードなどを入力させる
ビジネスメール詐欺（BEC）	取引先や経営者になりすまし、攻撃者の口座へ送金させる
標的型攻撃メール	相手の業務を調べたうえでマルウェアに感染させ、機密情報を盗む
組織を騙る「ばらまき型」のなりすましメール	社長や社内の部門などを装い、指示に従わせる
マルウェア感染を狙うメール	添付ファイルやリンクから不正なプログラムに感染させる
偽のセクストーションメール	うその脅迫で暗号資産を払わせようとする

出典：IPA「企業組織を狙う攻撃メールの手口とその対策」をもとに作成

フィッシングでは、偽サイトに入力させた情報をその場で悪用し、多要素認証を突破しようとする「リアルタイムフィッシング」が増えているとしています。BECについては、相談窓口に寄せられた相談では、海外の取引先になりすます型が多くを占めると書かれています。

ばらまき型のなりすましメールの例として、社長を名乗ってLINEグループの作成を求めるもの、人事部門を装って「人事評価や昇給の通知」を送るもの、IT部門を装って「パスワードの有効期限が切れている」と知らせるもの、メールサービスの通知を装って「保留中のメールがある」と知らせるものが挙げられています。

受け取った人の対応

不審なメールが届いたときの対応として、次の点が挙げられています。

• URLリンクをクリックしない、添付ファイルを開かない
• 取引先などを装い、緊急性をあおるメールには特に注意する
• 少しでも不審に感じたら、メール以外の方法で相手に直接確かめる
• 送信元のドメイン名が偽装されていないか確かめる
• 社内のセキュリティ責任者などに通報する

リンクをクリックした、添付ファイルを開いた場合は、組織が決めた初動対応をしたうえで、システム管理者やセキュリティ担当者に連絡して指示を受けます。初動の例として、偽サイトにパスワードを入力したらすぐに変更すること、添付ファイルを開いたらパソコンをネットワークから切り離すことが挙げられています。

報告の書式を決めておく

管理者側の準備として、不審なメールを受け取ったときの報告先と報告の書式を決めるよう求めています。書式に入れる項目として挙げられているのは、受信日時、送信元、URLリンク・添付ファイルの有無、URLリンクのクリック・添付ファイルの開封の有無です。

訓練は「報告まで」を演習する

レポートは、教育・研修や訓練を定期的に行い、その効果を確かめる必要があるとしています。標的型メール訓練では、不審なメールを受け取ったときの報告を、手順に従って行うところまで演習するよう書かれています。また、教育は特定の文面に注意させるだけでなく、不自然なメールに対して広く意識を高められる内容が望ましいとしています。フィルタリングをすり抜けたメールを利用者が報告することも「検知」の一つと位置づけ、人は第二の検知対策になりうると述べています。

メール訓練にどう生かすか

訓練の目的

このレポートにそって訓練の目的を決めるなら、開封やクリックの数を減らすことに加え、「報告の手順どおりに報告できたか」を確かめることになります。報告を重視する考え方は「報告率とは」で解説しています。

文面への反映

ばらまき型のなりすましとして挙げられた「社長からのSNSグループ作成の依頼」「人事評価の通知」「パスワードの期限切れ」「保留中のメールの通知」は、そのまま件名の型として使えます。同じ型ばかりにならないよう、回ごとに型を変えましょう。文面の作り方は「訓練メールの文例・件名の作り方」で解説しています。

教育への反映

報告の窓口やフォームに、レポートが挙げる4つの項目を入れておくと、訓練でも本番でも同じ手順で報告できます。開いてしまった人には、パスワードの変更やネットワークからの切り離しといった初動を、種明かしの画面や事後の教育で伝えましょう。準備から振り返りまでの流れは「標的型メール訓練のやり方」、サービスの違いは比較表で確認できます。

まとめ

• IPAは2026年8月3日に、企業組織を狙う攻撃メールを6つの型に分けて、手口と被害、対策をまとめたレポートを公開しました
• 受け取った人は、開かない・別の手段で確かめる・責任者に通報する、が基本の対応です
• 報告の書式には、受信日時、送信元、リンク・添付の有無、クリック・開封の有無を入れるよう求めています
• 訓練は報告まで演習し、なりすましの型を回ごとに変えながら、効果を確かめましょう