標的型攻撃メールの見分け方は？設計事務所のメール事故対策

見分け方の基本は「中身ではなく経路で確かめる」

標的型攻撃メール（特定の組織を狙い、取引先などを装ってウイルス付きの添付ファイルや偽サイトへのリンクを送るメール）は、文面だけでは見分けられないことが前提です。見分け方の基本は、いつもと違う依頼が来たら、メールの中に書かれた連絡先ではなく、事務所が以前から知っている電話番号や公式サイトなど別の経路で確かめることです。

IPAの「情報セキュリティ6か条」は、取引先や関係者と偽ってウイルス付きのメールを送ってきたり、正規のウェブサイトに似せた偽サイトを立ち上げてIDやパスワードを盗もうとしたりする巧妙な手口が増えていると注意しています。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、フィッシング対策協議会への令和7年のフィッシング報告件数は245万4,297件で、右肩上がりの増加が続いています。設計事務所は、施主、外注先、施工者、申請先と毎日メールで図面をやり取りするため、なりすましの題材に事欠きません。

設計事務所に届きやすい「装ったメール」の型

次の表は、設計事務所の業務に当てはめた想定例です。実際の事例ではなく、注意する場面を示すためのものです。

IPAの「情報セキュリティ10大脅威 2026」では、組織向けに「機密情報を狙った標的型攻撃」が5位、「ビジネスメール詐欺」が10位に入っています。ビジネスメール詐欺は、取引先や経営者を装って送金させる手口です。設計料の請求や外注費の支払いがある設計事務所も無関係ではありません。

メールを開く前の見分け方チェック

警察庁の資料は、偽サイトで入力させた情報をその場で本物のサイトに使い、二段階認証を突破するリアルタイム型フィッシングの手口が横行しているとしています。多要素認証を設定していても、偽の画面に確認コードまで入力すれば防げません。ログインはメールのリンクからではなく、普段使っているブックマークや公式アプリから行う習慣が最も効きます。

電話でも来る：ボイスフィッシングへの備え

警察庁の同じ資料は、犯罪グループが企業に電話をかけ、ネットバンキングの更新手続などをかたってメールアドレスを聞き出し、フィッシングメールを送る「ボイスフィッシング」で、法人口座の不正送金被害が急増した時期があったと紹介しています。対策として、銀行から電話があった場合は営業店や代表電話に折り返して本物か確かめること、ネットバンキングは銀行の公式サイトやアプリからアクセスすることを社内で徹底する必要があるとしています。経理を代表者や一人の事務担当が兼ねる設計事務所では、この折り返し確認のルールを紙に書いて電話の近くに置いておきます。

PPAPをやめて、図面を安全に送る

PPAP（パスワード付きzipファイルをメールで送り、続けて同じメール経路でパスワードを送る方式）は、多くの組織で見直されています。2020年11月、当時の平井内閣府特命担当大臣は記者会見で、内閣府・内閣官房で採用していたzipファイルの送付と同じ経路でパスワードを自動で送る方式を、セキュリティ対策の観点からも受け取る側の利便性の観点からも適切ではないとして、同月26日に廃止すると述べました。個人情報など機密性の高い情報を含むファイルを送る場合は、例えばファイルにパスワードをかけるとともに、全く別の経路でパスワードを知らせることが適切だったのではないかとも述べています。

設計事務所で図面を送るときの選択肢を比べると次のようになります。

どの方法でも、送る前に宛先と中身を照合することは変わりません。共有の権限の付け方は共有権限の記事、PDF図面の送付前点検はPDF図面のチェックで扱っています。

誤送信は「送る前」と「送った後」に分けて決める

誤送信の防ぎ方の基本（自動補完に頼らない、作成者と確認者を分ける）はメール整理の記事で扱っています。ここでは、IPAの自社診断にある「電子メールやFAXの宛先の送信ミスを防ぐ取り組み」と「重要情報の受け渡しを暗号化など安全な手段で行う」の二項目に沿って、送った後の手順を加えます。

1. 誤送信に気づいたら、送信の取り消しや削除依頼を試すと同時に、管理者へ報告する。
2. 何を、誰に、いつ送ったかを記録する。共有リンクならアクセスを止める。
3. 施主の個人情報が含まれていれば、報告と本人への通知が必要かを確認する。判断の流れは情報漏洩の記事を参照する。

開いてしまった・入力してしまったときの初動

叱られることを恐れて報告が遅れるのが、被害を広げる最大の原因です。「開いてしまったらすぐ言う」を事務所のルールとして明文化し、報告した人を責めない運用にします。

よくある質問

日本語が自然なら本物と考えてよいですか

文面の自然さでは判断できません。送信者のアドレス、文脈、依頼の内容を確かめ、いつもと違えば別の経路で確認します。

迷惑メールのフィルターがあれば十分ですか

フィルターは役立ちますが、すり抜けるメールもあります。IPAの自社診断にも、添付ファイルや本文中のURLリンクを介したウイルス感染に気をつけているかを問う項目があります。人の確認とあわせて使います。

施主にもPPAPをやめると伝えるべきですか

送り方を変える場合は、受け取り方を事前に案内します。施主が共有フォルダの操作に慣れていない場合は、開き方を一緒に確認します。

出典・参考

• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」
• IPA「情報セキュリティ10大脅威 2026」
• 内閣府「平井内閣府特命担当大臣記者会見要旨 令和2年11月24日」
• IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（情報セキュリティ6か条、付録3 自社診断）

装ったメールの型、チェック表、初動の表は、上記の資料をもとに設計事務所向けに整理した例です。実在の事例を示すものではありません。

関連記事

• 設計事務所のメールはどう整理する？合意と添付を探せる管理法
• 二段階認証はどこから設定する？設計事務所の多要素認証の手順
• 情報漏洩の原因と対策は？設計事務所の図面と個人情報の守り方