朝、出社してメールを開くと、同僚が画面を指さして寄ってきます。「ちょっといいですか、これ……詐欺ですか?」。差出人は有名な宅配会社らしき名前。本文には「お荷物のお届けにあがりましたが不在でした。こちらからご確認ください」。情シスのあなたは、リンクの上にそっとマウスを乗せ、表示されたURLを見て、静かにうなずきます。「うん、これは偽物ですね。開かなくて正解です」。
こうした「このメール、詐欺ですか?」という問い合わせは、どの会社の情シスにも日々届きます。本人は不安で聞きに来ているので、無下にはできません。ただ、一通ずつ判定していると、それだけで午前中が終わってしまうこともあります。今回は、公開されている体験談と公的な数字をもとに、この「あるある」とのつきあい方を考えます。
よくある場面:「知識がある人でも、一瞬で押してしまう」
まず押さえておきたいのは、「引っかかる人は注意不足」という単純な話ではない、ということです。セキュリティに詳しい人でも、忙しい一瞬の判断で、うっかり押してしまうことがあります。標的型メールの訓練を受けた当事者の記録が、それを率直に伝えています。
先日、会社の標的型メール訓練に見事に引っかかってしまいまして……
私も「知識はあるつもり」でしたが、一瞬の判断でリンクを開いてしまいました。
出典: Qiita「標的型メール訓練は"絶対"やったほうがいい！！」(@Kerdy)
「知識はあるつもり」でも、一瞬で開いてしまう。だからこそ、個人の判断力だけに頼る守りには限界があります。社員が「これ詐欺ですか?」と聞きに来てくれるのは、むしろありがたいこと。開く前に立ち止まって確認している、という良い兆候なのです。
一方で、社員が自発的に気づいて周囲へ知らせる、という動きも起こります。フィッシング訓練を自前で実施した記録には、こんな場面が出てきます。
このメールはフィッシングの可能性があります！リンクを踏まないように！
出典: Qiita「AIにフィッシングメールを書かせて訓練してみた」(@gibom)
訓練と知らない社員が、社内チャットで仲間に注意を呼びかけた一幕です。報告や注意喚起が自然に回る職場は、強い職場です。情シスの仕事は、この「気づいて知らせる」流れを止めないことにあります。
数字で見る:報告は増えている
「このメール詐欺ですか?」が増えるのには、背景があります。フィッシング対策協議会が9月18日に出した2026年8月の報告状況によると、フィッシングの報告件数は82,338件で、前月より16,219件増えました。悪用されたブランド(なりすまされた企業など)は96件に上ります。
2026 年 8 月にフィッシング対策協議会に寄せられたフィッシング報告件数は、前月より 16,219 件増加し、82,338 件となりました。
出典: フィッシング対策協議会「フィッシング報告状況(2026年8月)」
数が増えれば、社員が「これは本物?」と迷う機会も増えます。IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの10項目に「機密情報を狙った標的型攻撃」(5位)と「ビジネスメール詐欺」(10位)が入っています。つまり、問い合わせが多いのは、世の中の攻撃が増えていることの裏返しでもあります。
なぜ判定が難しいのか
「よく見れば分かる」と言われがちですが、実際の偽メールは、年々見分けにくくなっています。理由はいくつかあります。
- 本物そっくりに作られている: ロゴや文面、偽サイトの見た目が、本物と区別しにくくなっています。送信元の表示名も、正規の企業名をそのまま使ってきます。
- 急かして考えさせない: 「アカウントが停止されます」「24時間以内に」など、不安や焦りをあおって、冷静な確認をさせないのが常とう手段です。
- 誰もが使うサービスを装う: 宅配の不在通知、決済や銀行、社内の経費精算や人事の連絡など、「自分に関係ありそう」と思わせる題材が選ばれます。
- メール以外にも広がる: SMS(ショートメッセージ)やチャットを使う手口(スミッシング)も増えています。URLが短縮されていて、リンク先が分かりにくいこともあります。
だからこそ、「引っかかる人が悪い」ではなく、「誰でも一瞬は迷う」を前提に、組織として確認の仕組みを持っておくことが大切です。社員が迷って情シスに聞きに来るのは、その仕組みが働いている証拠とも言えます。
今日からできること
「個別に判定し続ける」のをやめ、「型」で回す。情シスと社員の双方で、次の準備をしておくと、同じ問い合わせが減ります。
- 報告を定型化する(情シス): メールソフトの「報告」ボタンや、専用の報告先(メールアドレス・チャットの窓口)を用意し、「迷ったらここへ転送」を社内の合言葉にします。個別に口頭で聞かれるより、記録が残り、対応がそろいます。
- 判定の型を共有する(社員向け): 「①差出人の実際のアドレス ②リンクの実際のURL ③急かし・不安をあおる言い回し」の3点を見る、という簡単な型を、1枚の案内にして配ります。判断を社員にも少し渡すことで、明らかな偽物は自己判断で捨てられます。
- 「開いてしまった後」の連絡先を決める(全社): 一番避けたいのは、開いた社員が怖くて黙ることです。「開いてしまったら、まずここへ」という連絡先と、その後の流れ(パスワード変更・アカウント停止・端末確認)を、ふだんから周知します。
- たまに訓練する(情シス): 抜き打ちの訓練は、社員に「自分も引っかかりうる」と体感させ、報告の練習にもなります。引っかかった人を責めず、報告した人をねぎらう運用にすると、文化として根づきます。
- 「ありがとう」を基本にする(情シス): 報告への第一声を「それ偽物ですよ(なんで分からないの)」ではなく「報告ありがとうございます、助かります」にします。これだけで、次の報告が途切れにくくなります。
「このメール、詐欺ですか?」は、情シスにとっては手間ですが、会社にとっては危機を止めるセンサーが働いている証拠です。一通ずつの判定に疲れる前に、報告しやすさと判定の型を整え、センサーを鈍らせないことが、いちばんの近道になります。
「報告してくれてありがとう」という一言は、小さいようで大きな意味を持ちます。叱られると思えば、人は次から黙ります。黙られていちばん困るのは、「開いてしまったのに、言い出せない」ケースです。被害が広がるかどうかは、最初の数十分の初動で決まります。報告が早く上がる職場を作ることが、結局は情シス自身を守ります。
むずかしく考えず、まずは「報告先を1つ決める」「判定の3点を1枚にする」「開いた後の連絡先を周知する」。この3つから始めるだけでも、問い合わせの手触りは変わります。攻撃は増え続けますが、受け止める型を持っていれば、落ち着いて向き合えます。
(この記事は、公開されている体験談2件と、フィッシング対策協議会・IPAの公開情報をもとに、編集部が整理しました。)
