企業や組織を狙ったサイバー攻撃の手口のうち、巧妙に作られたメールによって攻撃を仕掛ける手口が「標的型攻撃メール」です。
「最近、変なメールがよく送られてくるけど何故？」
「自分は騙されないと思っているけど…ウチの他の社員は大丈夫かな？」
そんな疑問・不安を感じている方に向けて、本記事では標的型攻撃メールの種類と特徴、そして初心者でもできる見分け方についてご紹介します。
1. 標的型攻撃メールとは？
まずは基本から。
標的型攻撃メールとは、特定の企業や団体、個人を狙って作られた悪意のあるメールです。送信者は、業務を装ったり実在の人物になりすましたりして、メールの開封やリンクのクリックを誘い、ウイルス感染や情報の搾取といった目的を達成しようとします。
一見すると普通の業務メールに見えるため、気づかずに開いてしまうことが非常に多いのが特徴です。
2. よくある標的型攻撃メールのパターン5選
① 添付ファイル型
件名例：請求書送付の件
メールにWordやExcelなどのファイルが添付されていて、開くとウイルスに感染するパターン。社名や担当者名がリアルで、業務メールに見える点が厄介です。
② リンク型（偽サイトへの誘導型）
件名例：アカウント認証が必要です
本文にリンクがあり、クリックすると偽のログイン画面に誘導され、ID・パスワード、クレジットカード情報といった個人情報を盗もうとするものです。
フィッシング詐欺はこのパターンで、Office365やGoogleなど実在するサービスや、銀行やクレジットカード会社からのお知らせなどを装うことが多いです。
③ サポート詐欺型
件名例：あなたのPCはウイルスに感染しています！
メール内リンクや画像をクリックすると、「ウイルス感染した」と警告する偽画面が表示され、サポート窓口（実際は詐欺グループ）への連絡を促すタイプです。
詐欺グループはサポートを行うと称して、パソコンを乗っ取って遠隔操作できるようにするため、まんまと騙されてしまうと、二次被害、三次被害が発生する危険があります。
④ なりすまし型（社内人物を装う）
件名例：急ぎでこの振込をお願いします
社長や上司、経理担当などになりすまし、不正送金を指示する「ビジネスメール詐欺（BEC）」も手口が巧妙化しています。メールアドレスが似ているなど、一見して気づきにくいよう巧妙に偽装しているのが特徴です。
⑤ 偽の取引先を装う型
件名例：取引条件変更のお知らせ
取引先を騙って「口座が変わった」などと伝え、振込先を詐欺グループの口座に誘導する手口。過去のやり取りを知っているような内容もあり、非常に巧妙です。
3. 初心者でもできる見分け方のポイント
次に示すポイントは見分けるポイントの一例であり、以下のいずれでもなければ偽メールではないと判断することはできませんが、少なくとも、以下のいずれか一つにでも当てはまることがあれば、不審なメールである可能性を疑いましょう。
✔ 差出人のメールアドレスをよく見る
本物に似せた「○○@amaz0n.com」など、一文字違いの偽アドレスや、「○○@amazon.com.jjxyz.cn」など、本物のアドレスで使われている文字列を含んだそれっぽいアドレスが使われていることがありますので要注意です！
✔ 本文の日本語が不自然ではないか
翻訳ツールで作成された文章は、どこか言い回しがぎこちないことがあります。また、「親愛なるお客様へ」など、日本におけるビジネス文書では使わないような言葉や表現が使われていたら、不自然だと思うべきです。
✔ 急かす・不安を煽る内容ではないか
「今すぐ対応しないとアカウントが停止されます」など、焦らせる表現を使用していたら不審であると疑ってみましょう。「永久ロック」など、サービスとしてあり得ない言葉を使っていたら要注意です！
✔ 不審な添付ファイル・リンクは開かない
不必要にファイルが添付されているなど、少しでも怪しいと感じたら、上司や情報システム部門に相談するのが鉄則です。
4. まとめ：標的型攻撃メールは“誰でも引っかかる”可能性がある
標的型攻撃メールは、巧妙な心理操作と偽装技術を使って、私たちの判断を惑わせます。「自分は大丈夫」と思っていても、ほんの一瞬の油断が被害につながります。
例えば、海外からメールが送られてくる予定があるところに、たまたま海外から攻撃メールが送られてきたことで、待っていたメールが届いたと勘違いしてうっかり開いてしまい、被害に遭ってしまった。
といったケースは実際にあった事例であり、思い込みによる被害は意外と多いものです。
大切なのは、こうした攻撃のパターンを事前に知っておくこと。そして、もしものときには慌てず、冷静に対処することです。
攻撃者は新しい技術や既存の技術を常に研究し、次々と様々な手口で攻撃を仕掛けてきます。私たちは攻撃者の動向に常に目を配り、定期的な情報収集やメール訓練の実施によって備えを万全にしておくことが、被害を未然に防ぐ最大の防御策です。
