.png)
フィッシングは減ったように見えても危ない。中小企業が見直したいメールとアカウントの基本設定
- 2 日前
- 読了時間: 9分
フィッシングメールへの注意喚起は、多くの会社で行われるようになってきました。
「怪しいメールを開かない」
「メール内のリンクからログインしない」
「不審な通知は公式サイトや公式アプリから確認する」
こうした対策は、もちろん大切です。
しかし、フィッシング対策を社員の注意力だけに頼るのは限界があります。
最近のフィッシングは、文面や見た目が巧妙なだけでなく、正規サービスのドメインやクラウドサービス、短縮URLなどを悪用し、メールフィルターをすり抜けようとする手口も見られます。
中小企業が考えるべきなのは、社員に「気をつけて」と言うだけではなく、会社のメール環境とアカウント管理を基本から見直すことです。
フィッシング報告件数は減少。でも安心とは言えない
フィッシング対策協議会の月次報告によると、2026年6月に寄せられたフィッシング報告件数は72,370件で、前月より大きく減少しました。
この数字だけを見ると、「フィッシングが減ってきた」と感じるかもしれません。
しかし、同じ報告では、フィッシングサイトのURL件数は42,241件で、前月より増加しています。
つまり、報告件数は減っていても、誘導先となるフィッシングサイトのURLは増えている状況です。
これは、中小企業にとっても重要なポイントです。
表面的な報告件数だけを見て「最近は落ち着いている」と判断するのではなく、攻撃の手口や誘導方法は引き続き変化していると考えた方が安全です。
メールフィルターをすり抜ける手口も使われている
フィッシング対策協議会の報告では、キャッシュレス決済サービスの正規ドメイン名のURLを不正利用するケース、短縮URLサービスや sendgrid.net からのリダイレクト、amazonaws.com や windows.net のホスト名を使うケースなどが確認されています。
これらは、フィルター等で不正URLとして検知されにくい正規サービスのドメイン名を使う手口として説明されています。
ここで重要なのは、社員がURLを見ただけで危険かどうかを判断するのが難しくなっている、という点です。
昔のフィッシングメールは、日本語が不自然だったり、明らかに怪しいURLだったりするものも多くありました。
しかし現在は、正規サービスに見えるドメインや、普段から業務で使っているクラウドサービスに似たURLが使われることもあります。
そのため、会社としては「社員が見抜けるはず」という前提を置かない方がよいです。
メールフィルター、送信ドメイン認証、多要素認証、パスワード管理、報告ルールなどを組み合わせて、複数の層で守る必要があります。
メールアカウントの乗っ取りは「被害者」だけでなく「加害側」になるリスクもある
フィッシング対策というと、どうしても「自社の社員がだまされる」場面を想像しがちです。
しかし、もう一つ見落としてはいけないリスクがあります。
それは、自社のメールアカウントが乗っ取られ、フィッシングメールの送信元として悪用されることです。
2026年6月の報告では、国内ISP（インターネット・サービス・プロバイダ）のメールアカウントを不正利用して送信されたとみられるフィッシングメールの報告が急増した事象が確認されています。
また、漏えいした認証情報が他サービスへの不正ログイン等に利用される可能性にも触れられています。
これは、中小企業にとっても他人事ではありません。
もし会社のメールアカウントが乗っ取られると、取引先に不審なメールが送られる可能性があります。
しかも、差出人が実在する社員や会社のメールアドレスであれば、受け取った側は信じてしまうかもしれません。
その結果、取引先に迷惑をかけるだけでなく、会社の信用にも影響します。
フィッシング対策は、「怪しいメールを受け取らないための対策」だけではありません。
自社のメールアカウントを悪用されないための対策でもあります。
中小企業が見直したい5つの基本設定
ここからは、中小企業が現実的に見直したいポイントを整理します。
1. メールアカウントに多要素認証を設定する
まず確認したいのは、メールアカウントの多要素認証です。
メールは、多くの業務システムやクラウドサービスの入口になっています。
パスワード再設定メール、請求書、契約書、取引先との連絡、クラウドサービスの通知など、重要な情報が集まりやすい場所です。
そのため、メールアカウントが乗っ取られると、被害が広がりやすくなります。
特に、管理者アカウント、経営者、経理担当者、営業担当者など、外部とのやり取りが多いアカウントは優先的に多要素認証を設定すべきです。
可能であれば、SMS認証だけでなく、認証アプリやパスキーなど、より安全性の高い方式も検討します。
2. パスワードの使い回しをやめる
次に重要なのが、パスワードの使い回し対策です。
メールアドレスとパスワードがどこかのサービスから漏えいした場合、攻撃者は同じ組み合わせで他のサービスにもログインを試みます。
これを防ぐには、サービスごとに異なるパスワードを使う必要があります。
ただし、人間が多数の複雑なパスワードを記憶するのは現実的ではありません。
そこで、会社としてパスワードマネージャーの利用を検討する価値があります。
パスワードマネージャーを使えば、サービスごとに長く複雑なパスワードを設定しやすくなります。
また、正規サイトにだけIDとパスワードを自動入力する仕組みがあるため、偽サイトに気づく助けにもなります。
3. 退職者・不要アカウントを放置しない
意外と見落とされやすいのが、退職者や使っていないアカウントです。
退職者のメールアカウントが残ったままになっている。一時的に作った共有アカウントが放置されている。外部委託先に発行したアカウントが残っている。誰が使っているのか分からない管理者アカウントがある。
こうした状態は、攻撃者にとって狙いやすい入口になります。
使っていないアカウントは、本人が異常に気づくこともありません。
中小企業では、入退社時のアカウント管理が属人的になりがちです。
最低限、次のようなルールを決めておくことをおすすめします。
退職日までにメールとクラウドサービスのアカウントを停止する
共有アカウントは原則作らない
外部委託先に発行したアカウントは契約終了時に停止する
管理者アカウントは利用者と用途を台帳で管理する
年に1回はアカウント棚卸しを行う
4. SPF・DKIM・DMARCを確認する
自社ドメインでメールを送っている会社は、送信ドメイン認証の設定も確認しておきたいところです。
代表的な仕組みが、SPF、DKIM、DMARCです。
簡単に言えば、これらは「このメールは本当にそのドメインから送られたものか」を確認しやすくする仕組みです。
特にDMARCは、自社ドメインを悪用したなりすましメールへの対策として重要です。
中小企業の場合、いきなり厳しい設定に変更すると、正規のメール配信に影響が出ることもあります。
そのため、まずは現在の設定状況を確認し、メール配信サービス、問い合わせフォーム、請求書送信システム、メルマガ配信など、自社ドメインを使って送信している経路を整理することが重要です。
5. 迷惑メールフィルターと報告運用を見直す
最後に、迷惑メールフィルターと社内の報告運用です。
メールフィルターは重要ですが、万能ではありません。
実際、フィルターを回避するような配信や、モバイル回線でのみ表示可能なフィッシングサイトなど、対策側の確認や停止調整を回避しようとする試みも続いています。
そのため、会社としては次のような運用を整えておくとよいです。
不審メールの報告先を決める
報告を受けた人が確認する手順を決める
全社員へ注意喚起する基準を決める
同じメールが複数人に届いていないか確認する
必要に応じてメールサービス側へ迷惑メール報告する
ポイントは、社員に「怪しいメールに気をつけてください」と言うだけで終わらせないことです。
不審なメールが届いたときに、誰に、どのように、何を報告すればよいのか。
この流れを決めておくことで、初動が早くなります。
「社員教育だけ」では限界がある
社員教育は必要です。
しかし、社員教育だけでフィッシングを防ぐのは難しくなっています。
なぜなら、攻撃者は人間の注意力だけでなく、メールサービス、クラウドサービス、認証情報、送信ドメイン、スマートフォン環境など、さまざまな隙を突いてくるからです。
社員には、基本的な注意点を伝える。会社側では、メールとアカウントの設定を整える。不審なことがあれば、すぐ報告できる運用を作る。
この3つを組み合わせることが重要です。
中小企業では、専任のIT担当者がいないことも珍しくありません。
その場合でも、まずは次のような小さな点検から始められます。
メールアカウントに多要素認証が設定されているか
退職者のアカウントが残っていないか
管理者アカウントが誰のものか分かるか
自社ドメインのSPF、DKIM、DMARCが設定されているか
不審メールの報告先が決まっているか
この5つを確認するだけでも、フィッシング対策の土台はかなり整理できます。
フィッシング対策は「見抜く」から「仕組みで守る」へ
フィッシング報告件数が減っても、会社のメール環境が安全になったとは限りません。
2026年6月は、報告件数が減った一方で、フィッシングサイトのURL件数は増加しています。さらに、正規サービスのドメインやクラウドサービス、短縮URL、メールアカウントの不正利用など、対策をすり抜けるための手口も確認されています。
中小企業に必要なのは、社員に「気をつけて」と言い続けることだけではありません。
メールアカウントの多要素認証、パスワードの使い回し対策、不要アカウントの停止、送信ドメイン認証、不審メールの報告運用など、会社の仕組みとして守ることが重要です。
フィッシング対策は、受信者が毎回正しく見抜く前提ではなく、だまされにくく、乗っ取られにくく、被害が広がりにくい状態を作ることから考えていきましょう。
ITワークラボにご相談ください
ITワークラボでは、八王子・多摩エリアの中小企業向けに、IT管理やセキュリティ対策の支援を行っています。
メールアカウントの多要素認証、退職者アカウントの棚卸し、SPF・DKIM・DMARCの確認、不審メールの報告ルール整備など、専任のIT担当者がいない会社でも取り組みやすい形で支援します。
自社のメール環境が安全か分からない
フィッシング対策を何から始めればよいか分からない
社員への注意喚起だけでは不安がある
このような場合は、お気軽にご相談ください。初回相談は無料です。
📖 あわせて読みたい
関連ページ
IT・セキュリティ体制構築の支援内容は、「サービスページ」でご案内しています。
実際のご相談事例は、「導入事例」でもご紹介しています。
ITワークラボの考え方は、「ITワークラボについて」をご覧ください。
コメント