当社に届いた1通目：「パスワードの有効期限切れ」を装うメール

当社に届いたメールには、次のような件名が付けられていました。
【重要】メールボックスサービス期限切れのお知らせ（再有効化が必要です）
本文には、当社で実際に使用しているメールアドレスが記載され、そのうえで次のような説明が続いていました。
お客様のパスワードは指定日に有効期限が切れます。
現在のパスワードを引き続き利用するには、以下の内容をご確認ください。
そして、「アカウントを確認する」と書かれたリンクをクリックするよう誘導していました。

一見すると、会社のメールサーバーから届いた正式な通知のように見えます。
しかし、確認したところ、リンク先は当社のメールサーバーや契約中のメールサービスとは無関係な海外ドメインでした。
リンク先でメールアドレスとパスワードを入力すると、その情報が第三者へ送信され、メールアカウントを乗っ取られる可能性があります。

当社に届いた2通目：「Outlookから不審な接続があった」と不安をあおるメール

もう1通は、次のような件名でした。
【警告】システムエラー発生のご連絡
本文には、次のような情報が記載されていました。

• Windowsアプリケーションからメールへのアクセスが確立された
• IMAPプロトコルでOutlookが利用された
• 海外のIPアドレスからログインされた
• 心当たりがなければアカウントの状態を確認してほしい

「Windows」「Outlook」「IMAP」といった具体的な名称が使われているため、実際のセキュリティ通知のように感じられます。
しかし、こちらも確認用として設定されていたリンクは、Microsoftや当社のメールサービスとは関係のないドメインでした。
専門用語が書かれているからといって、正規の通知とは限りません。

このメールが不審だと判断できるポイント

今回確認した2通には、いくつかの共通点がありました。
1．不安をあおり、すぐに操作させようとする
フィッシングメールでは、受信者に冷静に考える時間を与えないため、次のような表現がよく使われます。

• パスワードが期限切れになる
• メールが利用できなくなる
• 不審なログインが確認された
• アカウントを再有効化する必要がある
• すぐに本人確認を行ってほしい

今回のメールでは、リンク先がMicrosoft、当社ドメイン、契約中のメールサービスのいずれとも異なっていました。 パソコンでは、ボタンやリンクにマウスポインターを合わせると、実際のリンク先が画面下部などに表示されます。 ただし、確認のためであってもリンクをクリックする必要はありません。
スマートフォンでは誤操作しやすいため、長押しでリンク先を確認する方法も、慣れていない場合はおすすめしません。

今回のメールには、当社で実際に使用しているメールアドレスが記載されていました。 しかし、メールアドレスはホームページ、過去の情報漏えい、名簿、機械的な推測など、さまざまな方法で取得される可能性があります。
「自分のメールアドレスが正しく書かれているから本物」とは判断できません。

Outlookは多くの企業で使われているため、フィッシングメールでも頻繁に名前を悪用されます。 「Outlookから接続された」「Microsoftのセキュリティ確認が必要」と書かれていても、実際の送信元やリンク先がMicrosoftとは限りません。
Microsoftも、Microsoft 365のパスワード期限切れを装い、偽サイトへ誘導するフィッシング攻撃を確認しています。

本物かどうか確認する安全な方法

メールが本物か判断できない場合は、メール内のリンクを使わず、次の方法で確認してください。

Microsoft 365を利用している場合

ブラウザのお気に入りや、普段使用しているMicrosoft 365の公式画面から直接ログインします。 公式画面へ正常にログインでき、セキュリティ警告も表示されていなければ、届いたメールが偽物である可能性が高くなります。

レンタルサーバーや独自ドメインのメールを利用している場合

契約中のサーバー会社の管理画面やWebメールへ、普段使用しているURLから直接アクセスします。 メールに記載されたURLではなく、契約書、社内手順書、ブラウザのお気に入りなど、信頼できる方法で確認してください。

判断できない場合

社内のIT担当者、メールサーバーの管理会社、保守会社へメールを転送せず、まず件名や画面のスクリーンショットを共有して確認します。 転送によって不審なリンクを別の人へ広げてしまう場合があるため、取り扱いには注意が必要です。 「このメール、本物でしょうか？」という段階でもご相談いただけます。 アルファパートナーズ株式会社では、メールの真偽確認や、Outlook・Microsoft 365・メールサーバーに関するご相談を承っています。
【よろずITおまかせサポートの内容を見る】

リンクをクリックしてしまった場合

リンクをクリックしただけで、必ずメールアカウントが乗っ取られるわけではありません。
ただし、その後に何をしたかによって、必要な対応が変わります。
リンクを開いただけの場合

• ファイルがダウンロードされていないか確認する
• ブラウザから通知の許可を求められても許可しない
• 不審な画面を閉じる
• セキュリティソフトでスキャンする
• 社内のIT担当者へ報告する

• 正規の管理画面から直ちにパスワードを変更する
• 同じパスワードを使用している他サービスも変更する
• 多要素認証を設定する
• 不審なログイン履歴を確認する
• 勝手なメール転送ルールが追加されていないか確認する
• 送信済みメールや削除済みメールを確認する
• 社内の管理者や保守会社へ連絡する

特に注意したいのが、メールの自動転送設定です。 攻撃者がログインに成功すると、受信メールを外部へ自動転送するルールを設定し、取引先とのやり取りを長期間盗み見る場合があります。 その情報が、請求書の差し替えや振込先変更を依頼する「ビジネスメール詐欺」に悪用される可能性もあります。

会社として決めておきたいメール確認ルール

従業員個人の注意だけでは、フィッシングメールを完全に防ぐことは困難です。 会社として、少なくとも次のルールを決めておくことをおすすめします。

• パスワード変更はメール内のリンクから行わない
• 不審なメールは社内の決められた窓口へ報告する
• メールで届いた依頼は、必要に応じて別の方法で本人確認する
• 全社員のメールアカウントで多要素認証を利用する
• 不審ログインがあった場合の連絡先を決めておく
• 退職者や未使用アカウントを放置しない
• SPF・DKIM・DMARCなどのメール認証設定を確認する
• メールの自動転送ルールを定期的に点検する

「不審なメールが届いたら各自で気をつける」という運用だけでは、担当者によって判断が分かれてしまいます。
判断に迷ったときに相談できる窓口を決めておくことが、被害防止につながります。

IT担当者がいない会社でも対策できます

中小企業では、メール、パソコン、Microsoft 365、ネットワーク、セキュリティを、総務担当者や経営者が兼任していることも珍しくありません。
そのため、不審なメールが届いても、

• 本物かどうか判断できない
• 誰に相談すればよいか分からない
• パスワード変更後に何を確認すべきか分からない
• メールサーバー会社とMicrosoftのどちらへ聞くべきか分からない

という状況が起こります。
アルファパートナーズ株式会社の「よろずITおまかせサポート」は、IT担当者が不在または兼任している中小企業向けのIT相談・運用支援サービスです。
不審メールの確認だけでなく、Microsoft 365、Outlook、メール設定、パソコントラブル、セキュリティ、バックアップ、ホームページ運用などを継続してご相談いただけます。
【よろずITおまかせサポートについて詳しく見る】

まとめ

「パスワードが期限切れになる」「Outlookから不審なログインがあった」と書かれたメールが届いても、慌ててリンクを押してはいけません。
今回、当社で実際に確認したメールも、正規のメール管理画面やMicrosoftとは無関係なサイトへ誘導するものでした。
確認するときは、メール内のリンクではなく、普段使用している公式サイトや管理画面から直接アクセスしてください。
少しでも判断に迷った場合や、すでにパスワードを入力してしまった場合は、早めの確認が重要です。

メールが本物か判断できない方へ

• 「不審なメールかもしれないが、自分では判断できない」
• 「リンクを押して、パスワードを入力してしまった」
• 「社内に相談できるIT担当者がいない」

このような場合は、被害が広がる前にご相談ください。
メールの件名、届いた日時、画面のスクリーンショットなどを確認し、必要な対応を一緒に整理します。