標的型攻撃メール 受信時の正しい対応手順｜クリック後はどうする？
secure標的型攻撃メール 受信時の正しい対応手順｜クリック後はどうする？
疑わしいメールを受け取った場合
まずやることリスト
- クリック・添付ファイル開封をしない
- メール本体はそのままにして、IT部門・セキュリティ担当者に報告する
- メールの送信者アドレス、件名、受信日時をスクリーンショットで記録
- 疑わしいと判断した根拠を簡潔に記録（例：「通常と異なる送信元」「文面が不自然」）
重要なのは「報告する」という行動です。従業員が個人判断で対応を完結させようとすると、実は正規のメールだったという誤判定、または本当に危険なメールを見過ごすリスクが生まれます。不確実な場合は、まずIT部門に相談するという文化を作ることが、組織全体のリスクを下げます。
メール確認の判断ポイント
| 確認項目 | 疑わしい特徴 | 確認方法 |
|---|---|---|
| 送信者アドレス | @記号の左右が似ているが異なる、ドメインが正規と微妙に異なる | 送信者のメールアドレスをマウスホバーして本当のアドレスを確認 |
| 件名の緊急性 | 「至急」「24時間以内」「停止予定」など強い表現 | 過去に同じ件名で届いたメールがあるか確認 |
| リンク先URL | URLが長い、日本語ドメイン、短縮URLが使われている | URLをマウスホバーして実際の遷移先を確認（クリック不可） |
| 本文の言葉遣い | 敬語が不自然、文法的におかしい、機械翻訳っぽい | 通常の社内メール・取引先メールと比較 |
| 添付ファイル | exe、scr、vbs など実行可能形式、またはマクロ付きOfficeファイル | IT部門に相談してから確認（開かない） |
既にクリック・添付ファイルを開いてしまった場合
直後の初動対応（最初の30分）
パニックに陥らず、段階的に対応することが重要です。いかなる対応の遅れも組織全体への被害拡大につながるため、「報告」「隔離」「検査」の3ステップを最優先とします。
- 直ちにIT部門・セキュリティ担当者に報告する
- そのコンピュータをネットワークから外す（ケーブルを抜くか、Wi-Fi接続を切断）
- パスワードを変更しない（変更操作中に悪意あるプログラムが横取りする可能性があるため）
- その後のシステム操作は最小限にする
「報告を遅らせたら、被害が広がってしまい、かえって責任が大きくなる」という恐怖心から、報告を躊躇する人もいます。しかし、報告の遅れが被害拡大の最大要因です。現実のインシデント対応では、報告が早い組織ほど被害が限定的という統計が出ています。
IT部門が実施する対応（報告後1～2時間）
| 段階 | 対応内容 |
|---|---|
| 初期調査 | 該当コンピュータのマルウェア検査、ネットワークトラフィック確認、ログ取得 |
| 隔離確認 | 該当コンピュータ以外へのマルウェア感染がないか確認 |
| 認証情報の見直し | 該当ユーザーのパスワードを強制変更、登録デバイスの確認 |
| 組織への通知 | 必要に応じて、組織全体への注意喚起、外部への報告判断 |
マルウェア感染が判明した場合
感染が確認されたら、被害の進行状況を把握することが次のステップです。感染してからどの程度の期間が経過しているか、その間にどのような活動がされたのかを調査します。
被害拡大の確認
- 社内ネットワーク内の他のコンピュータへの侵入の有無
- 機密情報へのアクセス痕跡
- ファイルサーバーやバックアップへのアクセス
- 外部への通信や情報送信の痕跡
初期段階ではマルウェアの種類を特定することも重要です。ランサムウェアであれば身代金要求が来る可能性が高く、スパイウェアであればデータ盗難のリスクが高いなど、後続対応が大きく変わります。
組織的な対応体制の構築
従業員個人の対応能力に依存するだけでなく、組織全体として対応フローを決めておくことが現実的です。
推奨される事前準備
- 報告窓口を明確にし、従業員全員が知っている状態にする
- 報告方法を複数用意する（メール、電話、Slack、直接会話など、何らかの方法が必ず機能する状態）
- 疑わしいメール、既に開いてしまったメールでも「報告したことで責任を問わない」という方針を明確にする
- インシデント対応の初期フロー（報告～初期調査）を文書化し、定期的に訓練する
- 外部専門家（フォレンジック企業、セキュリティ企業）の連絡先を事前に取得しておく
よくある質問
クリック後、パスワードを変更したほうがいいですか？
IT部門の指示を待ってください。変更操作中にマルウェアが横取りする可能性があります。IT部門が被害確認を済ませた後に、強制変更の指示が出ます。
報告後、自分のコンピュータを使い続けても大丈夫ですか？
IT部門が確認・初期対応を済ませるまでは、使用しないほうが安全です。使用した場合、マルウェアがさらに活動する可能性があります。
疑わしいメールか判断つかない場合、報告していいですか？
はい、むしろ報告すべきです。「確実に悪いと判断した場合のみ」報告する方針では、見逃しが増えます。「ちょっと疑わしい」程度でも報告することで、組織全体の検知精度が上がります。
クリック後、すぐに気づいて「戻る」を押してもマルウェアに感染しますか？
ページが表示される前に戻った場合は感染リスクが低い傾向ですが、確実ではありません。念のため報告し、IT部門の検査を受けることを推奨します。
過去にクリックしたことを、今頃報告しても大丈夫ですか？
はい。被害の範囲が既に確定している可能性がありますが、IT部門が状況を把握することで、今後の対策が変わります。過去のタイムリーでない報告でも、報告する価値があります。
まとめ
標的型攻撃メールへの対応は、個人の判断力に依存しない仕組みが必要です。「報告しづらい」という心理的障壁を組織的に取り除くことが、実際の被害を大きく減らします。
明確な報告フロー、報告後の処遇に関する明確な方針、IT部門への信頼関係があれば、従業員は安心して報告でき、組織全体のセキュリティは確実に向上します。
参考：JPCERT/CC、IPA「情報セキュリティ対策のしおり」、NIST Cybersecurity Incident Response
あわせて読みたい
本記事の内容を実際の訓練に落とし込むためのツールとして、クラウド型の訓練サービスもご検討ください。 中小企業向けの訓練サービスを見る本サイトの運営者は、上記サービスの提供に関わる立場にあります。
