--- id: "phishing-020" title: "社内フィッシング対策 : 同僚の正規メールアドレスから不審メールが届いた場合の初動対応" description: "同僚の正規アカウントから不審なメールが届いたらどうすべきか。アカウント乗っ取りや社内フィッシング、ラテラルムーブメントの兆候と、情シス・セキュリティ担当者が直ちにとるべきインシデント初動対応をCISO視点で解説します。" canonical: https://startbrain.io/ja/cybersecurity/internal-phishing-compromised-account-ciso-response/ slug: "internal-phishing-compromised-account-ciso-response" date: "2026-09-24" category: "phishing" product: "superphisher" lang: ja author: "Brain Security · サイバー＆ヒューマンリスク研究開発部門" frameworks: "IPA · 経済産業省(METI) · 個人情報保護法(APPI) · JPCERT/CC · ISO 27001" --- # 社内フィッシング対策 : 同僚の正規メールアドレスから不審メールが届いた場合の初動対応 CISOや情報システム部門にとって、最も背筋が凍るシナリオの一つがあります。ある朝、社内の複数メンバー宛てに、不審なリンクや緊急の添付ファイルを含むメールが一斉に届きます。送信元のアドレスに不自然な打ち間違いはなく、ドメインも自社の完全な正規ドメイン、SPFやDKIM、DMARCの認証結果もすべてパスしています。当然です。この攻撃は外部から直接届いたのではなく、認証情報を盗まれて乗っ取られた社内の同僚の正規メールボックスから直接送信されているからです。 攻撃者がMicrosoft 365やGoogle Workspaceの環境に侵入した際、直ちにデータを持ち出すとは限りません。多くの場合、社内コミュニケーションが持つ無条件の信頼関係を悪用し、社内でのラテラルムーブメント（水平移動）を試みます。境界防御をすり抜けるこの攻撃に対して、従来の技術的フィルターだけでは太刀打ちできません。検知と阻止の鍵を握るのは、従業員の違和感に対する感度と、確立されたインシデント初動対応です。 --- ## 社内の正規アドレスから不審なメールを受信した場合、どのように対応すべきか？ > **要点まとめ : 真偽を確認するためにメールへ直接返信することは絶対に避けてください。内線電話や対面など別経路（アウトオブバンド）で本人へ直接確認を取り、同時に情シスやCSIRTなどのセキュリティ担当へ速やかに通報して、侵害されたアカウントを即座に隔離します。** 不審メールを受け取った従業員がやってしまいがちな最大の過ちは、「これ本当にあなたが送ったものですか？」とメールに返信してしまうことです。アカウントがすでに攻撃者に掌握されている場合、受信トレイも監視されており、攻撃者自身がわずか数秒で「そうです、急ぎで確認をお願いします」と返信して安心させようとします。場合によっては、従業員からの確認メールが本人に見えないよう、自動転送や削除ルールが仕組まれていることもあります。 攻撃の連鎖を断ち切るため、現場では次の2つの行動を徹底する必要があります : - **別経路での確認（アウトオブバンド検証） :** メール以外の手段で本人にコンタクトを取ります。社用の直通電話にかけるか、同じオフィス内であれば本人の席まで直接足を運んで口頭で確認します。 - **セキュリティ担当への即時通報 :** メーラーのフィッシング報告ボタンを使用するか、メールヘッダー情報を保持するために該当メールを添付ファイル（.emlまたは.msg形式）として情報システム部門やCSIRTの専用窓口へ転送します。 --- ## 送信元が正規アドレスであっても乗っ取りを見抜く兆候とは？ > **要点まとめ : 見抜くポイントは文脈と行動パターンの違和感にあります。普段と異なる口調、不自然な緊急性の強調、予期しない外部クラウドへのログイン要求、既存のスレッドへの脈絡のない割り込みなどに注目します。** 社内なりすましは信頼を悪用しますが、攻撃者が社内の人間関係や文脈まで完全に模倣することは困難です。セッションを乗っ取った攻撃者は、組織特有のカルチャーや過去のやり取りのニュアンスまでは把握していません。 以下のような微細な兆候に注意を払う必要があります : - **普段のトーンや口調との乖離 :** 普段チャットやメールでフランクに会話している同僚が、急に不自然に硬い敬語を使ったり、日本語の言い回しが機械翻訳調であったりする場合です。 - **不自然な緊急性と心理的プレッシャー :** 「本日中に処理しないとアカウントが停止する」「大至急サインが必要な極秘NDA」「未払いの緊急請求書」など、受信者を焦らせて確認作業を省略させようとします。 - **不審な認証情報の入力要求 :** SharePoint、OneDrive、Google Driveのファイルを閲覧するためと称して、偽のログイン画面へ誘導し、IDやパスワード、ワンタイムパスワードの入力を求める手口です。 - **既存スレッドの乗っ取り（スレッドハイジャック） :** 数週間前の過去の業務メールスレッドを再利用し、直前の文脈とは無関係に悪意あるリンクやマクロ付きファイルを送りつけてくる手法です。 --- ## なぜ社内フィッシングはラテラルムーブメントを急速に加速させるのか？ アカウント間の社内フィッシングは、組織内において極めて危険な感染拡大経路となります。AiTM（Adversary-in-the-Middle）攻撃などでセッションクッキーが奪われ、最初のアカウントが侵害されると、攻撃者は社内のグローバルアドレス帳（連絡先）へ容易にアクセスできるようになります。 攻撃者はそこから、経理部門、人事部門、情シス管理者など、特権を持つ戦略的なターゲットを特定します。社内ネットワーク内からの通信であるため、受信者側の警戒心は外部からの不審メールに比べて大幅に低下します。その結果、わずか数分で高権限アカウントへと侵害が広がっていきます。 IPA（情報処理推進機構）の「情報セキュリティ10大脅威」や経済産業省の「サイバーセキュリティ経営ガイドライン」でも指摘されている通り、形骸化した座学研修だけではこの心理的盲点を突く攻撃を防ぎきれません。実際の攻撃シナリオを模した実践的な訓練が不可欠です。Brain Securityの [Super Phisher](/en-us/catalog/super-phisher/) を活用すれば、高度化する社内なりすましやアカウント悪用のメカニズムを再現し、インシデントを未然に防ぐ実践的な対応力を組織全体に定着させることができます。 --- ## 社内フィッシングのアラートを受けた情報システム部門・CSIRTが直ちにとるべき緊急手順 社内発信のフィッシング報告を受けた場合、被害の連鎖を食い止めるために分単位の初動対応が求められます : - **セッションの即時失効とパスワードリセット :** 対象アカウントのパスワードを即座に変更し、Microsoft Entra ID（旧Azure AD）やGoogle Workspace上でアクティブなすべてのセッションおよび認証トークンを強制失効させます。 - **メールボックステストと転送ルールの監査 :** 攻撃者は検知を免れるため、受信トレイに転送ルールや、特定の単語（「パスワード」「フィッシング」「不正」など）を含むメールを即座に削除・隔離するルールを作成しているケースが多々あります。これらを徹底的に洗い出して削除します。 - **社内へ送信された悪意あるメールの一斉パージ :** テナント管理者の検索・パージ機能（Microsoft Defenderの脅威エクスプローラー等）を使用し、当該アカウントから全社宛てに送信された不正メールを受信トレイから即座に抽出・物理削除します。 - **サインインログとアクセス履歴のフォレンジック調査 :** IPアドレス、アクセス元の国・地域、ユーザーエージェントを確認し、侵害が発生した初動の特定と、社内データやSharePoint等への不正アクセスの痕跡範囲を特定します。 社内アカウントを起点とする攻撃から組織を守るには、最新の技術的対策と、現場従業員による迅速な一次エスカレーションの連携が不可欠です。自社の業務環境に合わせた実践的な訓練計画については、専門チームに [ご相談](/en-us/book-a-demo/) ください。 ### Operational Review Checklist: 社内フィッシング対策 : 同僚の正規メールアドレスから不審メールが届いた場合の初動対応 | Ref. | Operational Control Point | Expected Outcome & Verification | | --- | --- | --- | | **CTRL-01** | 別経路での確認（アウトオブバンド検証） | メール以外の手段で本人にコンタクトを取ります。社用の直通電話にかけるか、同じオフィス内であれば本人の席まで直接足を運んで口頭で確認します。 | | **CTRL-02** | 普段のトーンや口調との乖離 | 普段チャットやメールでフランクに会話している同僚が、急に不自然に硬い敬語を使ったり、日本語の言い回しが機械翻訳調であったりする場合です。 | | **CTRL-03** | セッションの即時失効とパスワードリセット | 対象アカウントのパスワードを即座に変更し、Microsoft Entra ID（旧Azure AD）やGoogle Workspace上でアクティブなすべてのセッションおよび認証トークンを強制失効させます。 | | **CTRL-04** | セキュリティ担当への即時通報 | メーラーのフィッシング報告ボタンを使用するか、メールヘッダー情報を保持するために該当メールを添付ファイル（.emlまたは.msg形式）として情報システム部門やCSIRTの専用窓口へ転送します。 | | **CTRL-05** | 不自然な緊急性と心理的プレッシャー | 「本日中に処理しないとアカウントが停止する」「大至急サインが必要な極秘NDA」「未払いの緊急請求書」など、受信者を焦らせて確認作業を省略させようとします。 | --- ## 関連コラムおよびBrain Securityのソリューション ### このテーマに関連するおすすめ記事 - **[テレワーク・新幹線・出張先ホテル：モバイルワークで企業情報を危険に晒す6つのセキュリティ不備](/ja/cybersecurity/mobile-work-telework-cybersecurity-ciso-japan/)** (Phishing & Social Engineering) : 新幹線や出張先ホテル、カフェでのテレワークに潜むサイバーリスクを解説。公衆Wi-Fiの危険性、ショルダーハッキング対策、VPN運用など、情シスやCISOが今すぐ従業員へ浸透させるべき実践的セキュリティ習慣をまとめました。 - **[インフォスティーラーの脅威: 未管理ブラウザへの業務パスワード保存が企業侵害を招く理由](/ja/cybersecurity/infostealer-browser-password-theft-ciso-security/)** (Phishing & Social Engineering) : インフォスティーラー（情報窃取マルウェア）が未管理ブラウザから認証情報やセッションCookieを盗み出す手口を解説。私用端末との同期による情報漏洩リスクと、CISOや情シスが講じるべき実践的なセキュリティ対策を提示します。 - **[スケアウェアとブラウザ偽警告の脅威: 従業員の心理的隙を突く最新Webトラップと情シスの防衛策](/ja/cybersecurity/scareware-browser-fake-alert-clickfix-ciso/)** (Phishing & Social Engineering) : ブラウザの偽セキュリティ警告やClickFix攻撃を遮断。IPAガイドラインを踏まえ、従業員がスケアウェアや偽サポート詐欺の罠を見抜き、企業の端末とネットワークを保護するための実践的セキュリティ教育を解説します。 - **[法律事務所・コンサルティングファームの標的型攻撃対策: 守秘義務と機密情報を守るセキュリティ](/ja/cybersecurity/law-firm-consulting-spear-phishing-ciso-japan/)** (Industries & Roles) : 法律事務所や戦略コンサルティングファームがサイバー攻撃者に狙われる理由と、パートナーやアソシエイトを標的型スピアフィッシングから守る実践的なセキュリティ対策をCISO・情シス向けに解説します。 ### Brain Securityの製品・ソリューション一覧 - **関連ソリューション : [Super Phisher](/en-us/catalog/super-phisher/)** : 実践的な標的型攻撃メール訓練（Super Phisher）：リアルなフィッシング演習と即時フィードバックで不審メール報告率を向上。 - **[課題・業界別のユースケースを見る](/en-us/use-cases/)** - **[サイバーセキュリティ＆AI意識向上フォーマットを比較する](/en-us/compare/)** - **[Brain Securityの製品カタログをすべて見る](/en-us/catalog/)** - **[導入のご相談・デモ予約はこちら（担当チームへのお問い合わせ）](/en-us/book-a-demo/)** --- - https://startbrain.io/ja/cybersecurity/internal-phishing-compromised-account-ciso-response/ - [Français](https://startbrain.io/fr/cybersecurite/phishing-interne-boite-mail-collegue-piratee/) - [Deutsch](https://startbrain.io/de/cybersecurity/internes-phishing-gekapertes-mitarbeiterkonto-reaktion/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/internal-phishing-compromised-colleague-email-response/) - [English (US)](https://startbrain.io/en-us/cybersecurity/internal-phishing-compromised-colleague-email-response/) - [Español](https://startbrain.io/es/cyberseguridad/phishing-interno-cuenta-correo-comprometida-empleado/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/phishing-interno-email-compromessa-collega-cosa-fare/) - [Nederlands](https://startbrain.io/nl/cybersecurity/interne-phishing-gehackt-account-collega-aanpak/) - [Português](https://startbrain.io/pt/ciberseguranca/phishing-interno-email-conta-colega-seguranca/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/wewnetrzny-phishing-przejete-konto-pracownika-reakcja/) - [Svenska](https://startbrain.io/sv/cybersakerhet/internt-natfiske-kapat-konto-atgarder-ciso/) - [Dansk](https://startbrain.io/da/cybersikkerhed/intern-phishing-angreb-kompromitteret-mailkonto/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/sisainen-kalastelu-kollegan-sahkoposti-tilimurto-ciso/) - [Norsk](https://startbrain.io/no/cybersikkerhet/internt-phishing-kompromittert-konto-tiltak/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/internal-phishing-compromised-account-incident-response/) - [llms.txt](https://startbrain.io/llms.txt)