🏢

「取引先を装う」フィッシング攻撃の解説

に公開
Security
Cyber Security
idea

「取引先を装う」フィッシング攻撃の解説

この解説資料は、ANY.RUN Cybersecurity Blog (2026年1月28日公開記事より) [1] をもとに、日本企業の営業担当者向けの解説資料として作成しました。

社内教育・啓発目的でご活用ください。

■ 攻撃の手口（まず、これだけ知ってください）

「いつもの取引先との、本物のメールやり取りに紛れ込んで、偽のリンクを踏ませる」攻撃です。

【シナリオ】 あなたが取引先A社のB課長と見積書について何度もメールをやり取りしていたとします。

  1. 犯人はまず取引先のメールを乗っ取る
    取引先A社のB課長のメールアカウントが、何らかの方法で攻撃者に乗っ取られます

  2. 本物の会話に割り込んでくる
    攻撃者は取引先A社のB課長になりすまし、あなたとのメールのやり取りに「返信」します。件名も本文の流れも、これまでの会話の続きそのものです

  3. 「いつもの業務」を装う
    「最終版の書類を確認してください」「こちらから承認をお願いします」といった、普段の業務と変わらない文面でリンクを送ってきます

  4. リンクをクリックすると偽のログイン画面へ
    クリックすると、Microsoft 365などの見慣れたログイン画面に見える偽サイトに誘導されます

  5. IDとパスワードが盗まれる
    ここで入力した情報は、すべて攻撃者の手に渡ります

ポイント：差出人は「本物の取引先」、会話も「本物の続き」。だから見破るのが難しいです。

■ 3秒ルール（これだけ覚えてください）

すべてのメールを疑う必要はありません。以下の場面だけ、3秒立ち止まってください。

こういうメールが来たら 3秒で確認すること
「急ぎで確認してください」 → 本当に急ぐ必要があるか？
「リンクをクリックしてログイン」 → ブックマークからアクセスできないか？
「口座・振込先の変更」 → 電話で本人に確認したか？

「急がされたら、急がない」——これだけ覚えておいてください。

■ もし「やってしまった」と思ったら

パスワードを入力してしまった場合は、ただちに情報システム部門に連絡してください。時間との勝負になります。自分で何とかしようとせず、速やかにエスカレーションすることが最も重要です。

「見抜けなかったこと」は責められません。「報告が遅れたこと」が被害を拡大させます。

皆さんにお願いしたいのは、「完璧に見抜くこと」ではありません。

  • 「急ぎ」と言われたら、3秒だけ立ち止まる
  • 「変だな」と思ったら、情報システム部門に相談する
  • 「やってしまった」と思ったら、すぐに報告する

この3つだけで、会社全体のセキュリティは大きく向上します。

＜以下、詳細資料＞

時間のあるときにお読みください。

■ なぜ「見破れない」のか

従来のフィッシング 今回の攻撃
知らない差出人 いつもやり取りしている相手
不自然な日本語 本物の会話の流れに沿った文面
唐突な依頼 進行中の案件に関する依頼
怪しい添付ファイル 「確認してください」のリンク

「いつもの仕事」にしか見えないため、注意していても引っかかりやすいのです。

■ 営業部門として気をつけるべきこと

1. 「急ぎの承認依頼」には一呼吸置く

「今すぐ確認を」「本日中に承認を」という依頼が来たら、メール内のリンクは使わず、いつもの方法（社内システムやブックマーク）でアクセスしてください。

2. 少しでも違和感があれば電話で確認する

「いつもと文体が違う」「急に英語のリンクが来た」など、小さな違和感を見逃さないでください。別の連絡手段で相手に直接確認してください。

3. 取引先のセキュリティも「自社のリスク」と認識する

自社がいくら対策しても、取引先が侵害されれば攻撃経路になります。重要な取引先とはセキュリティ意識の共有も検討してください。

4. 「本物のメールだから安全」という思い込みを捨てる

差出人アドレスが正しくても、アカウントが乗っ取られていれば「本物の偽メール」が届きます。

■ 補足：「乗っ取られた本人」はなぜ気づかないのか

結論

気づきにくい仕組みになっています。 ただし、「絶対に気づけない」わけではありません。

攻撃者が「バレないようにする」主な手口

手口 何をしているか 本人から見ると
送信済みの削除 勝手に送ったメールを「送信済み」フォルダから消す 送った覚えのないメールの痕跡が残りません
受信ルールの設定 特定の相手からの返信を自動で削除・別フォルダに移動する 相手からの確認メールが届きません
深夜・休日に活動 本人がメールを見ていない時間帯に操作する リアルタイムで異変に気づく機会がありません
少数だけに送信 大量送信せず、狙った相手にだけ送る 問い合わせが殺到しません

気づけるケース

  1. 相手から「さっきのメール何？」と電話が来る
    →これが発覚のきっかけになることが多いです

  2. 「ログイン通知」や「新しい場所からのアクセス」警告に気づく
    →通知設定をオンにしていなければ届きません

  3. 見覚えのない受信ルールができていることに気づく
    →定期的に設定を確認する習慣がなければ見逃します

■ 営業部門への示唆

① 自分が「加害者側」になるリスクを認識する

自分のアカウントが乗っ取られれば、取引先に迷惑をかける立場になります。パスワード管理や多要素認証の設定は、自分を守るだけでなく、取引先を守ることでもあります。

② 「変だな」と言ってくれる相手に感謝する

もし取引先から「さっきのメール、本当にあなたが送りましたか？」と聞かれたら、それは早期発見のチャンスです。面倒がらず、すぐに確認しましょう。

■ Q&A：よくある質問

Q1. 日本なら大丈夫ですか？

残念ながら、むしろ日本は現在「世界で最も狙われている国」です。

衝撃的な数字 [2]

指標 数値
世界の新種メール攻撃のうち日本を標的にした割合（2025年1〜5月） 84%
同割合（2024年） 21%
増加率 約4倍
2025年5月の攻撃メール数（世界全体） 約7億7000万通（過去最大）

なぜ日本が狙われるようになったのか

以前 現在
日本語の複雑さが「天然の防御壁」になっていた 生成AIで自然な日本語が作れるようになった
海外の攻撃者は日本を避ける傾向があった 日本人を狙い撃ちするツール（CoGUI等）が登場している
フィッシングメールは不自然な日本語で見破りやすかった ネイティブと区別がつかないレベルの文面が作成可能になった

元闇サイト管理者のコメント [3]

「日本は言語の複雑さのおかげで守られていて、以前のフィッシング作成用のソフトでは独特の表現が再現できませんでした。それが生成AIの登場で状況が変わり、日本のセキュリティー意識の問題も相まって、標的になっています」

「日本だから大丈夫」「うちは大丈夫」という思い込みが、最大のリスクです。

Q2. 日常の業務で見落としてしまいます

おっしゃる通りです。見落とすのが普通です。

むしろ、この攻撃は**「見落とさせるために設計されている」**のです。

攻撃者の狙い だから…
忙しい時間帯を狙う 「急ぎの案件」と思わせて判断を急がせます
本物の会話に紛れ込む 「いつもの仕事」に見せかけて警戒心を下げます
信頼関係を悪用する 「この人なら大丈夫」という心理を利用します

「注意していれば防げる」という前提が、そもそも間違っています。

だからこそ、「常に注意する」のではなく、**「特定の場面だけ立ち止まる」**という考え方が必要です。→ 3秒ルールを実践してください。

Q3. 情報システム部門でどうにかするものではないのですか？

半分は正しく、半分は難しいのが現実です。

情報システム部門が「できること」

対策 効果
メールフィルタリング 明らかに怪しいメールは自動でブロックします
送信ドメイン認証（DMARC等） なりすましメールの一部を検知します
多要素認証の導入 アカウント乗っ取りを難しくします
ログ監視・異常検知 不審なログインを検知して対応します

これらは情報システム部門が実施しており、多くの攻撃はここで止まっています。

情報システム部門が「できないこと」

今回の攻撃は、これらの対策をすり抜けるように設計されています。

なぜ技術だけでは防げないのか
送信元が「本物」 → 取引先の正規アカウントから送られてくるため、フィルタリングで止められません
内容も「本物」 → 実際の業務の流れに沿っているため、AIでも「怪しい」と判定できません
リンク先も「一見正常」 → クリックするまで偽サイトだと分からない仕組みになっています

これは「鍵のかかった玄関を突破する泥棒」ではなく、**「合鍵を持って堂々と入ってくる泥棒」**です。技術的な壁をすり抜けた後に残るのは、受け取った人の判断だけです。

役割分担の考え方

守備範囲 担当
99%の攻撃を技術で止める 情報システム部門
すり抜けた1%を見抜く 現場の皆さん

情報システム部門は「城壁」を築いています。しかし、城壁を越えてきた敵に最初に気づけるのは、現場で実際にメールを受け取る人です。

皆さんにお願いしたいのは、「完璧に見抜くこと」ではありません。

  • 「急ぎ」と言われたら、3秒だけ立ち止まる
  • 「変だな」と思ったら、情報システム部門に相談する
  • 「やってしまった」と思ったら、すぐに報告する

この3つだけで、会社全体のセキュリティは大きく向上します。

■ まとめ

ポイント 内容
この攻撃の本質 信頼関係の悪用です
なぜ危険か 「いつもの仕事」にしか見えないため、注意していても引っかかりやすいです
最大の防御 「いつもと何か違う」という直感を大切にすることです
乗っ取られた本人は気づくか 気づきにくいです。 攻撃者は痕跡を消し、業務の忙しさに紛れます
自分がすべきこと 自分が乗っ取られない対策と、違和感を感じたら確認する文化の両方が大切です

脚注

脚注

  1. ANY.RUN Cybersecurity Blog「Attackers Are Taking Over Real Email Threads to Deliver Phishing」2026年1月28日 https://any.run/cybersecurity-blog/enterprise-email-thread-phishing/ ↩︎

  2. 日本プルーフポイント「日本が今、最も狙われている—急増するDDoS攻撃とメール攻撃の実態」2025年3月21日 https://www.proofpoint.com/jp/blog/email-and-cloud-threats/Japan-is-now-the-most-targeted-country-in-the-world ↩︎

  3. NHK「相次ぐ証券口座乗っ取り 被害者のパソコン解析で分かったこと」2025年5月20日 https://www3.nhk.or.jp/news/html/20250520/k10014808601000.html ↩︎

Discussion