怪しいメールの見分け方｜社員に配れる7つのチェックリスト

「うちの社員は、不審なメールを開いてしまわないか」

セキュリティのご相談をいただくとき、経営者やIT担当者の方から最初に出てくるのは、たいていこの不安です。ウイルス対策ソフトを入れていても、社員がメールのリンクを自分でクリックしてしまえば、そこから被害が始まります。

独立行政法人情報処理推進機構（IPA）が公表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威として「ランサム攻撃による被害」が1位、「機密情報を狙った標的型攻撃」が5位、「ビジネスメール詐欺」が10位に挙げられています。いずれも、入り口がメールであることの多い攻撃です。

この記事では、社員の方にそのまま配れる形で、怪しいメールを見分けるチェックリストをまとめました。あわせて、「気をつけよう」と呼びかけるだけでは足りない理由と、その先にどう進めばいいかもお伝えします。

その「日本語が不自然だから分かる」は、もう通用しません

本題の前に、一つだけ古い常識を更新しておきたいと思います。

かつては「怪しいメールは日本語がおかしいから見抜ける」と言われていました。しかし今は、生成AIを使えば自然な日本語の文面がいくらでも作れます。IPAの「情報セキュリティ10大脅威 2026」でも、「AIの利用をめぐるサイバーリスク」が3位に初めて選出されました。

つまり、文面の不自然さだけを頼りにする見分け方は、もう当てになりません。 以下のチェックリストで日本語の話を最後に置いているのは、そのためです。優先して見るべきは、文章のうまさではなく、差出人とリンク先です。

社員向け：怪しいメールの7つのチェックポイント

そのままコピーして、社内の掲示や朝礼資料、新入社員向けの資料にお使いいただけます。

1. 差出人のアドレスを、表示名ではなく実際のアドレスで確認する

メールソフトに表示される「〇〇銀行」「総務部」といった名前は、送る側が自由に設定できます。表示名を信用せず、実際のメールアドレスを開いて確認してください。正規のドメインに一文字足されていたり、似た別のドメインが使われていたりします。

2. リンクは、クリックする前にURLを確認する

リンクの上にマウスを乗せる（スマートフォンなら長押しする）と、実際の飛び先URLが表示されます。表示されている文字列と、実際の飛び先が違っていないかを見てください。正規サイトによく似た、少しだけ違うドメインが使われるのが典型的な手口です。

3. 「至急」「アカウントが停止されます」と急かしてくるものを疑う

期限を切って焦らせるのは、確認する時間を与えないための常套手段です。実際に当社がご支援した訓練でも、「アカウント凍結通知」を装ったメールを使いました。急かされたときほど、一度手を止めてください。

4. 添付ファイルは、拡張子と種類を確認する

実行ファイル（.exe など）はもちろん、マクロ付きのOfficeファイルや、パスワード付きのZIPファイルにも注意が必要です。特に、心当たりのない請求書や見積書を装った添付ファイルは、開く前に送信元へ別の手段で確認してください。

5. 振込先の変更依頼は、必ず電話など別の手段で確認する

取引先を装って振込先口座の変更を伝えてくる手口があります。ビジネスメール詐欺と呼ばれるもので、メールの返信で確認しても、相手が偽物であれば意味がありません。必ず、電話など、そのメール以外の手段で確認してください。

6. 「自分宛てである必然性」があるかを考える

心当たりのないサービスからの通知、担当外の業務に関する依頼、面識のない相手からの突然の添付ファイル。なぜこのメールが自分に届いているのかを説明できないときは、一度立ち止まる合図です。

7. 文面や見た目の違和感は、最後の確認材料として

日本語の不自然さ、ロゴの粗さ、署名の欠落なども手がかりにはなります。ただし前述のとおり、ここだけに頼るのは危険です。1〜6を確認したうえでの、補助的な材料と考えてください。

なお、攻撃の手口をもう少し詳しく知っておきたい方には、IPAが公開している「企業組織を狙うメールを悪用した攻撃の手口とその対策」が参考になります。フィッシング、ビジネスメール詐欺、標的型攻撃メール、ばらまき型なりすましメールなど、手口ごとの特徴が整理されています。

チェックリストを配っただけでは、たぶん足りません

ここまで書いておいて恐縮ですが、こうしたチェックリストを配布して終わりにすると、多くの場合それほど効果は出ません。理由は2つあります。

理由1：知っていることと、実際に気づけることは別だから

読んだ直後は意識していても、日々大量のメールを処理するなかで、その意識は薄れていきます。そして厄介なことに、社員が実際に見抜けるかどうかは、測らない限り分かりません。

実際、当社にメール訓練をご相談いただいた企業様の出発点も、まさにここでした。ご相談時の課題は「社員が実際に不審メールに気づけるかを客観的に把握できていなかった」というものです。対策をしていないのではなく、対策が効いているかどうかが分からない、という状態です。

理由2：「押してしまった後」のルールがないから

見分け方だけを教えると、社員は「押してはいけない」とだけ理解します。すると、うっかり押してしまったときに、報告をためらってしまいます。怒られるかもしれない、大ごとにしたくない、という心理が働くためです。

しかし被害を最小限に抑えられるかどうかは、押した後にどれだけ早く報告されるかでほぼ決まります。先ほどの企業様も、「誤クリック後の初動対応ルールが整備されておらず、インシデント対応に不安」という課題を挙げておられました。

前掲のIPAの資料でも、対策は「事前の対策」「攻撃等の検知」「事後の対応」の3段階で整理されています。見分け方は、このうち最初の段階にすぎません。検知したあと、どう動くかまでを決めておく必要があります。

チェックリストを配るときは、「押してしまったら、すぐに誰に、どう連絡するか」をセットで伝えてください。 そして、報告した人を責めない方針を明確にしておくことが、実際には何よりも効きます。

訓練で「測る」と、何が変わるか

IPAは、標的型攻撃メール訓練の目的について「不審なメールを実際に受信した場合、適切な対処が行えるかどうかを確認する目的で実施されるもの」としています。単に開封率を下げることだけでなく、受信者が適切に対処できるか、有事の際にきちんと機能する体制であるかを確認し、組織として改善・強化を図っていくことが重要だとされています。

先ほどの企業様（建設・住宅・不動産業、従業員約140名）では、研修、年間の訓練計画づくり、模擬フィッシングメールの配信、結果の分析までを一連のサイクルとして実施しました。

配信したのは、架空のサービスからの「アカウント凍結通知」を装ったメールです。誰がURLをクリックしたかを計測しました。

結果として、URLのクリック率は第1回の2.8%から、第2回では1.4%へと半減しました。

数字が半分になったこと自体もさることながら、意味が大きいのは、「うちの社員はどれくらい見抜けるのか」という問いに数字で答えられるようになった点です。感覚で不安を抱えている状態から、現状を把握したうえで次の手を打てる状態に変わります。現在は第3回の訓練を予定しており、「訓練をこなす組織」から「自走できる組織」への移行を目指しています。

事例の詳細はサイバー攻撃対策におけるメール訓練の事例でご紹介しています。