#20「これ本物のメールだよね？」と聞かれて、間違えないフィッシングメールの見分け方を整理した話
対象読者: 入門層（情シス1〜3年目 / 非エンジニア）
1.はじめに：「本物か偽物か、どうやって判断するの？」
「これって本物のメールですか？」
ある日、同じ部署の先輩から一通のメールを見せられました。Amazon をかたった「異常なログインを検知しました。今すぐパスワードをリセットしてください」という内容でした。差出人アドレスを確認したら `service@amazon.co.jp.verify-account.com` とある。
「あ、これフィッシングですね」と答えた私に、先輩が続けました。「でもさ、正直どこで判断してるの？ なんとなく怪しいとは思ったけど、自信を持って『偽物だ』って言い切れなかったんだよね」
その瞬間、驚いたんです。先輩は社歴10年以上のベテランで、セキュリティ研修も毎年受けている。そういう人でも「確信を持って判断できない」という現実に。
フィッシングメールの見分け方は「なんとなく」ではなく、チェックポイントがあります。この記事では、私がその先輩に説明した「フィッシング見分け方の5つのチェックポイント」を整理します。
2.フィッシングメールとは何か――攻撃者の「目的」から理解する
フィッシング（Phishing）とは、銀行・EC サイト・行政機関などを装った偽メールやウェブページで、ユーザーの認証情報・クレジットカード番号・個人情報を騙し取るサイバー攻撃です。
「フィッシング」という名前は、ルアー（疑似餌）を使って魚を釣る「fishing」に由来します。攻撃者は偽のブランドや緊急メッセージを「餌」にして、ターゲットを偽サイトへ誘導します。
関連語・共起語として覚えておきたいのが「スピアフィッシング」「スミッシング」「ビジネスメール詐欺（BEC）」「なりすましメール」「ソーシャルエンジニアリング」の5つです。
スピアフィッシング: 特定の個人・組織を狙った標的型フィッシング
スミッシング: SMS を使ったフィッシング（宅配業者を装ったものが多い）
ビジネスメール詐欺（BEC）: 経営者や取引先を装い、振込先変更などを指示する
出典: フィッシング対策協議会「フィッシング報告状況」（2024年）
フィッシング対策協議会の報告によると、2023年のフィッシング報告件数は月平均9万件以上で推移し、過去最高水準を記録しています。フィッシングはPCだけでなくスマートフォン経由の報告も急増しており、「PCだから安全」という認識は既に通用しません。
3.チェックポイント①：送信元ドメインの確認方法
フィッシングメールの見分け方で最も重要なのが「送信元ドメインの確認」です。
差出人アドレスの表示名と実アドレスは別物
メールクライアントに表示される「差出人名」は誰でも自由に設定できます。`Amazon.co.jp service@amazon.co.jp.verify-account.com` のように、表示名を本物らしく見せながら、実際の送信元ドメインは全く別のものを使うケースがほとんどです。
確認ポイントは「@マーク以降のドメイン」です。
見分けのコツ: ドメインの「最後のドット以降＋その左側」が企業の正式ドメインかどうかを確認します。`amazon.co.jp.verify-account.com` の場合、実際のドメインは `verify-account.com` です。`amazon.co.jp` ではありません。
4.チェックポイント②〜④：URL・日本語・緊迫感の三点チェック
チェックポイント②：リンク先URLの確認
メール本文内のリンクは、表示テキストと実際のURLが異なる場合があります。リンクをクリックする前に、カーソルを重ねて（ホバーして）ステータスバーに表示されるURLを確認する習慣をつけましょう。
スマートフォンの場合はリンクを長押しすることで実際のURLを確認できます。フィッシングURLの特徴として多いのが以下のパターンです。
サブドメイン偽装: `amazon.login.verify.example.com`（本当のドメインは `example.com`）
typosquatting: `arnazon.co.jp`（m→rnに見せかけたアルファベット置換）
IPアドレス直打ち: `http://123.45.67.89/login`
短縮URL: 最終アクセス先が隠蔽される
チェックポイント③：不自然な日本語・句読点
フィッシングメールの文章は機械翻訳由来のものが多く、不自然な表現が含まれます。
「あなたのアカウントが一時的に停止されました。今すぐ確認してください。」（命令調が唐突）
「御連絡させて頂きます」（二重敬語の多用）
カタカナの「ー（長音符）」が「－（マイナス記号）」になっている
ただし最近のフィッシングメールは生成AIを活用した自然な日本語文章も増えています。日本語の不自然さだけで判断するのは危険です。
チェックポイント④：過度な緊急性・脅迫表現
「24時間以内に確認しないとアカウントが永久削除されます」「不審なログインが検知されました。至急対応してください」といった表現は、受信者を焦らせて冷静な判断力を奪うための手法です。
社会工学（ソーシャルエンジニアリング）の基本原理で、「緊急性・権威・恐怖」を組み合わせてターゲットの行動を誘導します。
5.ヘッダー情報を見れば「なりすまし」は一発でわかる
ドメイン確認に加えて、メールヘッダーの認証情報を確認する方法も覚えておきましょう。現在の主要な認証技術は以下の3つです。
Gmailでは「▼」→「メッセージのソースを表示」から確認できます。`Authentication-Results` 行で `dmarc=fail` や `spf=fail` と表示されている場合は、なりすましの可能性が高いです。
出典: JPCERT/CC「メール送信ドメイン認証技術の概要」（2023年）
6.フィッシング報告・対応フローを職場で整備する
個人が「見分けられる」だけでなく、組織として対応フローを整備することが重要です。
受信時の対応フロー（3ステップ）
クリックしない・返信しない: 不審なメールを受け取ったら、本文内のリンクや添付ファイルには触れずに情報セキュリティ担当へ転送する
報告: 社内フォームやチャットチャンネルでインシデントを報告する。「報告してよかったのか」を気にしなくていい環境作りが組織の底力になる
証跡保全: メールは削除せず保存しておく。ヘッダー情報が後の調査に役立つ
JPCERT/CC への報告
フィッシングサイトの URL を確認した場合は、
https://form.jpcert.or.jp/irform/input/phishing
から報告できます。組織的な対処により、フィッシングサイトの早期閉鎖につながります。
定期的な訓練メールの実施
社内でフィッシング訓練メールを実施している企業が増えています。訓練では「引っかかることを責めない」文化が大切です。むしろ「引っかかった人が気づいて報告した」を成功体験として共有しましょう。
[図: フィッシングメール受信から報告・対応完了までのフローチャート]
7.まとめ
フィッシングメールの見分け方を5つのポイントで整理しました。
送信元ドメインを確認する：表示名ではなく @以降の実ドメインを見る
リンク先URLをホバーで確認する：クリック前にステータスバーを確認
日本語の不自然さに注意する：ただし自然な文章のフィッシングも増加中
緊急性・脅迫表現は要注意：焦らせるのはソーシャルエンジニアリングの手法
ヘッダーの認証結果を確認する：SPF/DKIM/DMARC の fail は危険サイン
「なんとなく怪しい」という感覚は大切ですが、チェックポイントを持っていれば自信を持って判断できます。まず「差出人の実ドメインを見る」という習慣から始めてみてください。
最後に…ちょっとだけ宣伝です：一緒に働く仲間を探しています！
この記事を書いているアクシスNWチーム広報部をはじめ、当社では現在、新しいメンバーを積極的に採用しています。 最先端のAIをパートナーに、ワクワクするような挑戦ができる環境が整っています。まずはカジュアルにお話ししませんか？ 新卒の方も、キャリア採用の方も、ぜひお気軽にチェックしてください！
⇒株式会社アクシス人事採用担当(note)
⇒株式会社アクシス求人情報(私の仲間の取材がいっぱいあります)
⇒株式会社アクシス中途採用サイト
⇒株式会社アクシスホームページ
#アクシス #広報
#ゼロトラスト #サイバーセキュリティ #ネットワーク
#スキしてみて #IT
技術者相手なら「メールソースをまず見ろ」と言ってやるんですが、イマドキは隠蔽されててちゃんと見られないMUAも多いですね。 嘆かわしいことだと思います。 私は、本文がbase64だったらまず一段警戒上げます。 後はリンクは絶対にクリックしない。 とか、古いTipsなら色々ありますが、時代遅れ…