フィッシングとソーシャルエンジニアリングの違いは何ですか?
ソーシャルエンジニアリングとは、人を巧みに誘導し、情報、金銭、アクセス権を渡させようとする行為全般です。その最も一般的な形態が、メールや偽のウェブサイトを使ったフィッシングです。CISAは、音声を使うビッシングと、テキストメッセージを使うスミッシングも挙げています。
カロウェイ・パートナーズという架空の30人規模の建築設計事務所を想像してください。ある火曜日、経理補助担当のリアに三つの連絡が届きます。一つは「社長」から午前7.58に送られたメールです。「リア、今日は一日中会議です。添付の仕入先に今日中に支払ってください。振込先は新しい口座です。この件は内密にお願いします」。次はメッセージです。「荷物を保留しています。再配達料£1.45をこちらでお支払いください」。そして、事務所の情報システム委託先の担当者を名乗る人物から電話があり、「メールボックスを直すため」と言って、たった今送った六桁のコードを読み上げるよう求められます。見た目はそれぞれ違いますが、どれも同じ手口です。
フィッシングメッセージは、どのような手口で相手に圧力をかけますか?
フィッシングメッセージでは、相手に圧力をかける5つの手口がよく使われます。NCSCは、権威、緊急性、感情、希少性、時事的な話題を挙げています。誤字を探すよりも、こうした手口を見抜くほうが確実です。
権限
メッセージは上司、銀行、公的機関、取引先から届いたように装い、従わなければならないと感じさせます。
緊急性
短い期限や罰則をちらつかせ、確認する前に行動させます。
感情
恐怖、不安、好奇心、希望をあおり、考える前に反応させます。
希少性
返金を受け付ける期間や枚数限定のチケットなど、期限や数量が限られているものです。
時事情報
ニュース、税金の納付期限、広く知られた障害などと関連付け、届いても不自然ではないメッセージだと感じさせます。
AIによってフィッシングはどう変わりましたか？
AIによってフィッシングの文面が洗練されたため、誤字がなく文法が正しいだけでは、本物のメッセージである証拠にはなりません。CISAのガイダンスでも、現在はこの点が明記されています。攻撃者は、同僚の文体で書いたり、あなたの業務に合わせたメッセージを作ったり、電話で聞き慣れた声をまねたりすることもできます。そのため、誤字や不自然な挨拶を探す従来のチェックリストは以前ほど役に立たず、依頼そのものの真偽を確認することが重要になっています。送金、銀行口座情報の変更、コードの共有、通常の手順の省略を求められたら、どれほど本物らしく聞こえても、依頼が正当なものか確認してください。
不審なメッセージはどのような手順で確認しますか？
不審なメッセージを確認するときは、そのメッセージの外で確認します。記載されたリンク、電話番号、返信先アドレスは決して使わず、すでに信頼できると分かっている連絡先から、その人や組織に問い合わせます。
1. いったん立ち止まり、使われている手口を特定します
どのような圧力をかけられているかを確認してください。秘密にするよう求めること、急がせること、金銭を要求することが重なるのは、典型的な送金詐欺のパターンです。
2. 送信者だけでなく、依頼内容も確認します
表示名や発信者番号は偽装できます。誰からの連絡に見えても、振込先口座の変更やコードの提供依頼は警戒すべき兆候です。
3. 別の連絡経路で確認します
自社の記録にある電話番号で本人に電話するか、組織のウェブアドレスを自分で入力してください。CISAとNCSCはいずれも、この方法を勧めています。
4. コードやパスワードは決して共有しません
正規のIT部門や銀行が、ワンタイムコードやパスワードを読み上げるよう求めることはありません。
5. 報告する
メールの報告ボタンを使い、IT担当者にも知らせます。英国では、不審なメールを[email protected]に転送できます。米国では、CISAがサイバー問題報告サービスで報告を受け付けています。
不十分な対応と適切な対応は、それぞれどのようなものですか？
不十分な対応では、見た目を信用してしまいます。リアは社長の名前を見て、支払いが本当に急ぎなのか返信で確認します。同じ偽のアドレスからすぐに「はい、今すぐお願いします」と返事が来たため、支払います。ショートメッセージは無視しますが、役に立とうとして電話の相手にコードを読み上げてしまい、相手はそのコードでリアのメールボックスにサインインします。
適切な対応では、依頼が本物かを確認します。リアは、権威をかさに着ること、急がせること、秘密を求めることが重なっている点に気づき、社員名簿にある社長の携帯電話に連絡します。社長は何も送っていませんでした。荷物に関するショートメッセージは、リンクを押さずに削除します。電話の相手にはIT事業者へ折り返すと伝えて切り、会社の契約書にある番号へ電話します。事業者は電話をかけていませんでした。リアは3件すべてをIT担当に報告し、メールを通報用アドレスへ転送します。支払いは行わず、コードも共有していません。
すでにクリックや返信をしてしまった場合、どうすればよいですか?
すでにクリック、返信、情報共有をしてしまった場合は、すぐに情報システムの担当者に伝えてください。迅速な対応で被害を抑えられますし、報告したことを責められるべきではありません。認証情報を入力してしまったアカウントは、別の端末からパスワードを変更し、多要素認証を有効にしてください。金銭や銀行情報が関係している場合は、銀行のウェブサイトやカードに記載された電話番号を使い、直ちに銀行へ電話してください。
フィッシング対策でよくある間違いは何ですか？
最も多い間違いは、確認のために不審なメッセージへ返信することです。それでは攻撃者本人に確認を求めるだけです。ほかにも、表示名や発信者番号を信じる、誤字の有無だけを頼りにする、配信停止リンクをクリックする、ワンタイムコードを読み上げる、恥ずかしさから間違いを報告しない、といった間違いがあります。
このレッスンはTosheo.aiの中でどのように位置づけられていますか?
このレッスンは、サイバーセキュリティカテゴリーとサイバーセキュリティ講座に属します。Tosheo.aiの演習課題では、複数の架空のメッセージを読み、それぞれに使われている手口を挙げ、確認手順を書き、報告書の下書きを作成します。採点基準に基づいて、見落とした警告サインを確認できます。従業員や管理職のセキュリティ意識を高める研修であり、メールセキュリティの技術講座ではありません。
出典と対象範囲
NCSC：詐欺のメール、テキストメッセージ、電話の見分け方（19 October 2026確認） ↗
NCSC：詐欺メールの報告（19 October 2026確認） ↗