最新の偽メールは「人事評価」「給与改定」を装う時代へ｜巧妙化するフィッシング攻撃から組織を守るために必要な対策とは

従来のフィッシングメールは、

• 宅配便の不在通知
• クレジットカードの未払い通知
• 金融機関からの本人確認依頼

などを装うものが一般的でした。

しかし最近のフィッシングメールでは、企業の業務連絡を装う手口が増えています。特に、

• 人事評価や昇進通知
• 給与改定や賞与に関する案内
• 交通費精算や経費申請ルールの変更
• 社内システムのメンテナンス通知

などを装ったメールが確認されており、実際の業務連絡との見分けが難しくなっています。受信者の関心や不安を利用して、偽のログインページへ誘導し、認証情報の窃取を狙うケースも報告されています。

企業の従業員が思わず開いてしまいそうな業務連絡を装うケースが増えていますが、ここでは代表的な事例を紹介します。

例1：人事評価・昇進通知を装ったメール

件名：【機密】人事評価および昇進対象者リストの先行公開について

本文例

昇進や評価は従業員の関心が高く、冷静な判断が難しくなりやすいテーマです。攻撃者はその心理を巧みに利用しています。

例2：給与改定を装ったメール

件名：【重要／全従業員共通】給与改定および評価フィードバックの確認について

本文例

「期限が迫っている」「給与に影響する」という表現は、不安をあおってリンクをクリックさせるための典型的な手口です。

例3：交通費精算システムの変更を装ったメール

件名：【大切なお知らせ】通勤交通費精算ルール変更および再申請手続きについて

本文例

経理・総務関連の手続きは日常的に行われるため、疑いを持たずにアクセスしてしまうケースがあります。

例4：システムメンテナンスを装ったメール

件名：【重要】社内システムメンテナンスに伴うログイン確認のお願い

本文例

情報システム部を装ったメールは、業務上違和感が少ないため特に注意が必要です。

今回報告されている偽メールの特徴として、「VPN経由でアクセスしてください」という指示も頻繁に登場します。

一般的な従業員からすると、

• VPN
• シングルサインオン（SSO）
• 社内ポータル
• 人事評価システム

などの単語は日常業務で見慣れています。

そのため、「会社のシステムだから大丈夫だろう」と考え、リンクをクリックしてしまう可能性があります。偽サイトでIDやパスワードを入力してしまうと、攻撃者に認証情報を窃取される恐れがあります。

さらに、取得した認証情報を利用して、

• Microsoft 365
• Google Workspace
• 社内ポータル
• グループウェア

などへ不正ログインされる危険性もあります。

多くの企業では、

• 情報セキュリティ研修
• 標的型攻撃メール訓練
• フィッシング対策教育

を実施しています。

もちろん教育は非常に重要です。しかし、近年の偽メールは非常にリアルです。

例えば、

• 実在する部署名を利用する
• 社内文書風のレイアウトにする
• 業務で使う用語を盛り込む
• 送信先企業のドメイン名を本文に記載する

など、受信者に「本物だ」と思わせる工夫が施されています。

人間が100％正確に見分けることは現実的ではありません。そのため、近年のセキュリティ対策では、「人に頼る対策」から「システムで防ぐ対策」へという考え方が重要になっています。

フィッシングメールによる被害は認証情報の窃取だけではありません。

攻撃メールには、

• マルウェア
• ランサムウェア
• 情報窃取型ウイルス

などが添付されている場合があります。

従業員が添付ファイルを開いてしまうことで、

• 社内ネットワークへの侵入
• 業務停止
• 情報漏えい
• 取引先への二次被害

といった深刻な事態につながる可能性があります。

特に近年は、メールを起点とした攻撃が多数報告されており、メールセキュリティの重要性はますます高まっています。

偽メールへの対策としては、以下のような多層防御が重要です。

対策	内容
従業員教育	不審メールを見分ける知識を習得
URLチェック	リンク先の安全性確認
多要素認証（MFA)	認証情報窃取時の被害軽減
メールフィルタリング	危険メールの隔離・検知
添付ファイル検査	マルウェアの検出
標的型攻撃対策製品	高度なメール攻撃への対策

特に近年は、「受信前に危険なメールを排除する仕組み」が重要視されています。

こうした背景の中で注目されているのが、クラウド型標的型メール攻撃対策サービス「Active! zone SS」です。Active! zone SSは、Microsoft 365やGoogle Workspaceと連携し、メール経由の脅威から組織を保護するクラウドサービスです。

主な特長として、

• 標的型メール攻撃対策
• パスワード付きZipファイルの解析
• 添付ファイルの画像化
• 添付ファイルの分離
• マクロ除去
• メール送信元国の可視化

などの機能を提供しています。

また、ユーザーがメールの危険性を直感的に判断しやすいよう、国旗表示や視覚的なアイコンによる注意喚起機能も備えています。

従業員の気付きとシステムによる自動防御を組み合わせることで、より強固なセキュリティ対策を実現できます。

最新のフィッシングメールは、「人事評価」「昇進」「給与改定」など従業員が関心を持つテーマを巧みに悪用し、本物の業務連絡に見せかけています。

企業が被害を防ぐためには、

• 従業員のセキュリティ意識向上
• 認証基盤の強化
• 高度なメールセキュリティ対策

を組み合わせた多層防御が不可欠です。

特にメールがサイバー攻撃の主要な侵入口となっている現在、受信段階で危険なメールを検知・隔離する仕組みの導入は重要な経営課題といえるでしょう。標的型攻撃メール対策を強化したい企業は、クラウド型メールセキュリティサービス 「Active! zone SS」の活用を検討してみてはいかがでしょうか。

Active! zone SSについてはこちら 資料請求はこちら お問い合わせはこちら