【2025年最新】なりすましメールの巧妙化が止まらない！現役CSIRTが教える被害事例と対策法

みなさん、こんにちは。現役のCSIRTメンバーとして、日々サイバー攻撃の最前線で対応している私から、深刻化する「なりすましメール」の実態について、リアルな現場目線でお話しします。

正直に言うと、ここ数年でなりすましメールの精度は恐ろしいほど向上しています。特に生成AIの普及により、これまで「日本語がおかしい」という理由で見破れていたフィッシングメールが、もはや完璧な日本語で送られてくるようになりました。

なりすましメールの現在の脅威レベル

DMARC導入が推進される背景となった「なりすましメール」の脅威は、想像以上に身近で深刻です。私たちが日常的に利用しているサービスを狙い撃ちにした攻撃が激増しているのが現状です。

実際の被害パターン

フィッシングメールでよく狙われるのは以下のようなサービスです：

• オンラインバンキングサイト
• Amazon、楽天などのオンラインショッピングサイト
• ヤマト運輸、佐川急便などの宅配便
• 証券会社
• 電力会社などの公共料金の請求

これらのメールには、受信者が「すぐに対応しないと大変なことになる」と思わせる内容が書かれています。例えば：

• 「異常に高額な購入記録が発生しました」
• 「請求金額に誤りがありました」
• 「不在配達のお知らせ」
• 「情報漏えい事故が発生しました」

フィッシング攻撃の巧妙な手口

最近のフィッシングメールは、単純にログイン情報を盗むだけではありません。より巧妙な手口が使われています。

リアルタイム攻撃の恐怖

特に恐ろしいのは、被害者がフィッシングサイトでログイン情報を入力すると同時に、犯罪者が裏で正規のサイトにその情報を入力する手法です。この場合、多要素認証を使用していても、偽サイトを通じて多要素の情報まで正規サイトに入力されてしまいます。

つまり、被害者が「認証コードを入力してログイン完了」と思った瞬間、犯罪者は既にアカウントにログインしており、即座に送金などの処理を実行してしまうのです。

企業を狙った新たな脅威

コロナ禍とDXの進展により、クラウドメールを使用する企業が急増しました。これに伴い、企業ユーザーを標的としたフィッシングも激増しています。

実際の企業被害事例

私がフォレンジック調査で関わった中小企業の事例を紹介します（もちろん個人情報は伏せています）：

事例1：製造業A社（従業員50名）
Microsoft 365になりすましたフィッシングメールにより、経理担当者のアカウントが乗っ取られました。犯罪者は盗んだアカウントで顧客リストや財務データにアクセスし、さらに取引先に偽の請求書を送信。被害総額は約300万円に上りました。

事例2：IT企業B社（従業員30名）
Gmailのフィッシングメールに引っかかった営業担当者のアカウントから、顧客の個人情報が流出。GDPR違反による制裁金と信頼失墜により、最終的に事業継続が困難となりました。

Emotetの脅威と現在の状況

一時期猛威をふるったEmotetは、フィッシングとマルウェアを組み合わせた非常に巧妙な攻撃でした。

Emotetの攻撃手法

Emotetの攻撃パターンは以下の通りです：

1. フィッシングにより入手した業務メールを流用
2. 実在する取引先や同僚からのメールを装い、添付ファイルを送信
3. ExcelなどのOfficeファイルにマクロ機能を仕込む
4. マクロ有効化により、マルウェアがダウンロードされる
5. 攻撃者がマルウェアを遠隔操作し、企業の重要情報を窃取

この手法は、その後ランサムウェアの感染攻撃にも応用され、多くの企業が甚大な被害を受けました。

現在の攻撃トレンドと対策

現在、企業システムへの不正侵入は、メールからVPN機器の脆弱性悪用へと移行していますが、フィッシング攻撃も依然として継続しています。なぜなら、フィッシングメールの送信は攻撃者にとって「安価で効果が見込める手法」だからです。

生成AIがもたらした新たな脅威

生成AIの普及により、従来の「日本語の壁」が完全に突破されました。もはやフィッシングメールの文面に違和感はなく、日本語ネイティブが書いたとしか思えないレベルの精度となっています。

個人・企業が今すぐできる対策

個人レベルの対策

まず、個人でできる基本的な対策から始めましょう：

• メールの送信者を必ず確認：ドメイン名が正規のものか確認
• リンクをクリックする前に一呼吸：急かされても慌てない
• ブラウザのブックマークからアクセス：メール内のリンクは使わない
• 多要素認証の設定：すべての重要なアカウントで有効化
• 信頼性の高いアンチウイルスソフト の導入：フィッシングサイトの検知機能付き

企業レベルの対策

企業では、より包括的な対策が必要です：

• DMARC認証の導入：なりすましメールを根本から防ぐ
• 従業員教育の徹底：定期的なフィッシング訓練の実施
• メールセキュリティの強化：高度な脅威検知機能の導入
• ネットワーク分離：重要システムへのアクセス制限
• 定期的なWebサイト脆弱性診断サービス の実施：脆弱性の早期発見

リモートワーク時代の追加対策

リモートワークが常態化した現在、従来の境界型セキュリティだけでは不十分です。

VPN利用時の注意点

自宅からの業務アクセスが増える中、VPN の重要性が高まっています。ただし、VPN自体のセキュリティ設定も重要です：

• 企業グレードのVPNサービスの選択
• 定期的なVPNソフトウェアの更新
• ログ監視機能の活用
• 分割トンネリング設定の見直し

被害に遭ってしまった場合の対処法

もしフィッシング攻撃の被害に遭ってしまった場合、迅速な対応が被害拡大を防ぐカギとなります。

緊急対応手順

1. 即座にパスワード変更：被害を受けたアカウントだけでなく、同じパスワードを使用している他のアカウントも変更
2. 金融機関への連絡：不正利用の可能性がある場合は即座に連絡
3. 証拠保全：フィッシングメールやサイトのスクリーンショットを保存
4. 専門機関への相談：警察サイバー犯罪相談窓口やJPCERT/CCへの報告
5. 社内システムの緊急点検：企業の場合は、システム管理者による緊急点検

まとめ：多層防御の重要性

なりすましメールの脅威は、もはや「気をつけていれば大丈夫」というレベルを超えています。個人・企業を問わず、技術的対策と人的対策を組み合わせた多層防御が不可欠です。

特に重要なのは：

• 技術的対策：DMARC認証、高度な脅威検知システム、信頼性の高いセキュリティソフト
• 人的対策：定期的な教育訓練、インシデント対応手順の策定
• 組織的対策：セキュリティポリシーの策定、定期的な見直し

私たちCSIRTの経験から言えることは、完璧な対策は存在しないということです。しかし、適切な対策を積み重ねることで、攻撃の成功率を大幅に下げることは可能です。

今日から始められる対策もたくさんあります。まずは基本的なセキュリティ対策から始めて、段階的に強化していくことをお勧めします。

一次情報または関連リンク

ZDNET Japan – DMARC導入が推進される背景となった「なりすましメール」の脅威