メール誤送信・標的型攻撃メール対策｜土木工事会社の防ぎ方
メールの事故は、①取引先や発注者を装って添付ファイルやリンクを開かせる「標的型攻撃メール」やフィッシングメール、②振込先の変更などでお金をだまし取る「ビジネスメール詐欺」、③宛先違いなどの「誤送信」の3つに分けると対策を立てやすくなります。 IPAは、不審なメールのURLをクリックしない、添付ファイルを開かない、少しでも不審に感じたらメール以外の方法で相手に直接確認する、送信元のドメイン名が偽装されていないかを確かめる、社内の責任者に通報する、といった対応を挙げています。土木工事会社は、入札・工事の協議・出来高の請求など、メールで書類をやり取りする相手が多いため、どの手口にも狙われやすい業種です。
この記事では、手口ごとの見分け方と対応、土木工事会社で特に気をつけたいメール、PPAP（パスワード付きZIPファイルと、そのパスワードを別メールで送る方式）をやめる理由と代わりの送り方、誤送信を防ぐルールをまとめます。
標的型攻撃メール・フィッシングメールの見分け方
IPAの「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）は、標的型攻撃メールは標的とする人物をあらかじめ定め、その業務内容を調べ上げたうえで業務に関連した攻撃メールを送るとし、受信者が開かざるを得ない、もしくは興味をそそる内容が書かれていると説明しています。
| 確認するところ | 怪しい兆候 |
|---|---|
| 緊急性 | 「至急」「本日中」など、急いでリンクをクリックさせたり添付ファイルを開かせたりする |
| 送信元のドメイン名 | 取引先や発注者のドメインに似ているが一字違う |
| 添付ファイル | 本文と関係のないファイル、拡張子がexeのような実行形式のファイル（圧縮ファイルの場合はその中身）、ファイル名が文字化けしている |
| リンク | 表示されている文字とリンク先のURLが違う。ログイン画面に誘導する |
| 心当たり | なぜ自分に送られてきたのか分からない |
フィッシング対策協議会の「利用者向けフィッシング詐欺対策ガイドライン」は、メールの差出人情報は簡単に詐称でき、差出人を頼りに真偽を見抜くことは不可能だとしています。ログインが必要なサービスは、メールのリンクからではなく、ブックマークや公式のアプリから開くのが基本です。
IPAの同じ資料は、偽のログイン画面でパスワードに続けてワンタイムパスワードまで入力させ、その場で悪用する「リアルタイムフィッシング」も紹介しています。二段階認証を設定していても、偽の画面に入力すれば破られることがあります。認証の設定は二段階認証の記事をご覧ください。
土木工事会社が特に気をつけたいメール
土木工事 業務改善Naviとして、IPAが示す「業務に関連した内容」を、土木工事会社の受け取るメールに当てはめた例です。
| 装われやすいもの | 例 | 確かめ方 |
|---|---|---|
| 発注者・入札 | 入札の公告や仕様書の変更、電子入札システムの更新の案内 | 発注者のホームページや電子入札システムに自分でアクセスして確かめる |
| 工事の協議 | 監督職員を名乗る「図面を差し替えました」 | 情報共有システムで確かめる。差出人のアドレスを過去のメールと比べる |
| 協力会社・資材会社 | 「請求書を送ります」「振込先が変わりました」 | 登録済みの電話番号に電話して確かめる |
| 求人・入場 | 応募者の履歴書、新規入場者の書類 | 添付ファイルを開く前に送り主と経路を確かめる |
| 社内・経営者 | 社長を名乗る「至急この口座に振り込んで」 | 本人に電話や対面で確かめる |
| 宅配・クラウド | 不在通知、ストレージの容量超過、パスワードの期限切れ | 公式のアプリやブックマークから確かめる |
ビジネスメール詐欺（振込先の変更）
IPAの資料は、ビジネスメール詐欺の典型として、取引先とのメールのやりとりを盗み見たうえで途中から取引先になりすまし、送金先口座の変更を依頼する手口と、経営者や役員になりすまして従業員に振込みをさせる手口を挙げています。攻撃者が取引先のメールアカウントを乗っ取って正規のアカウントから送ってくる場合もあり、アドレスを見ても見抜けないことがあります。IPAの「情報セキュリティ10大脅威 2026」でも、組織編の10位に「ビジネスメール詐欺」が入っています。
| ルール | 内容 |
|---|---|
| 振込先の変更は電話で確かめる | メールに書かれた番号ではなく、取引の開始時に登録した番号にかける |
| 急ぎの振込みは一人で処理しない | 経理担当と承認者の二人で確かめる |
| 経営者からの振込指示もメールだけで動かない | 本人に直接確かめる |
| 協力会社にもメールの多要素認証をお願いする | 乗っ取られにくくする |
協力会社とのやり取り全体の守り方はサプライチェーン攻撃の記事で扱います。
開いてしまったときの対応
IPAの資料は、添付ファイルを開いた場合はパソコンをネットワークから切断することを挙げています。
| 状況 | やること |
|---|---|
| 添付ファイルを開いた・リンク先でファイルを実行した | LANケーブルを抜く・無線LANを切る。責任者に報告する |
| 偽のログイン画面にパスワードを入力した | すぐにそのサービスのパスワードを変え、同じパスワードを使っている他のサービスも変える |
| 振り込んでしまった | すぐに振込先の金融機関と警察に連絡する |
総務省の「テレワークセキュリティガイドライン（第5版）」も、少しでも不審を感じたメールは開かず、必要に応じて送信者に送信状況を確かめ、管理者に速やかに報告すること、報告すべきか迷ったら報告することを求めています。感染が疑われるときの詳しい手順はランサムウェア対策の記事を参照してください。
PPAPをやめる理由と代わりの送り方
PPAPとは、パスワード付きのZIPファイルをメールで送り、パスワードを別のメールで送る方式のことです。総務省の「テレワークセキュリティガイドライン（第5版）」は、この方式について次の2点を指摘しています。
| 問題 | 内容 |
|---|---|
| 守りの効果が疑わしい | 通信経路上で暗号化ファイルを盗める攻撃者は、パスワードを書いたメールも盗めると推測されるため、効果が疑問視されている |
| ウイルスを見逃す | 暗号化されたファイルは、メールサーバや端末のウイルス対策ソフトで中身を検知できない |
令和2年11月には、当時の内閣府特命担当大臣が記者会見で、内閣府・内閣官房で暗号化ZIPファイルを廃止する方向で検討を進めていると述べています。
ガイドラインは、代わりの方法として、パスワードをあらかじめ取り決めたうえで暗号化する方法や、アクセスに認証が必要なクラウドストレージなどのファイル共有サービスを使う方法を挙げています。
| 送るもの | 送り方の例 |
|---|---|
| 図面・点群・写真など大きなデータ | 権限を絞ったクラウドストレージの共有。期限つきで共有し、工事完了で止める |
| 発注者への提出物 | 発注者が指定する情報共有システム |
| 作業員名簿など個人情報 | メール添付をやめ、権限を絞った共有の場所で受け渡す |
| 相手の都合でメールしか使えない場合 | パスワードをメール以外（電話など）で伝える、または事前に取り決める |
クラウドストレージの運用は建設業のクラウドストレージ活用術にまとめています。
誤送信を防ぐルール
個人情報保護委員会の「個人情報保護法 ヒヤリハット事例集」は、電子メールは宛先誤りや送信方法誤りによる漏えいのリスクが高いとして、送信の手続を定めることや、送信者以外の者が宛先を確認するといった工夫を挙げています。総務省のガイドラインも、外部に添付ファイルを送る際の二重チェックや、誤送信防止用のアプリケーションの活用を有効な対策としています。
| No. | ルール | 土木工事会社での例 |
|---|---|---|
| 1 | 外部へ個人情報や図面を送るときは、送信前にもう一人が宛先を確認する | 作業員名簿、未公表の図面 |
| 2 | 複数の協力会社へ一斉に送るときはBCCを使うか、一斉送信の仕組みを使う | 安全大会の案内、現場の連絡 |
| 3 | 宛先の自動補完に頼らない | 同じ苗字の担当者、似た社名の協力会社 |
| 4 | 添付ファイルではなく共有リンクで送る | 送った後でも共有を止められる |
| 5 | 送信を数分遅らせる機能があれば使う | 送った直後に気づいても取り消せる |
| 6 | 誤送信に気づいたらすぐ責任者に報告する | 隠さないほうが被害を小さくできる |
個人情報を誤送信したときの報告の要否は情報漏洩の原因と対策の記事で扱います。
よくある質問
Q. 取引先のアドレスから届いたメールなら安全ですか。 A. 安全とは限りません。IPAは、攻撃者が取引先のメールアカウントに不正ログインして正規のアカウントから送る場合があるとしています。振込先の変更など大事な依頼は、メール以外の方法で確かめます。
Q. 発注者からパスワード付きZIPで資料が届きます。どうすればよいですか。 A. 受け取る側では、相手の方式に合わせざるを得ない場合もあります。開く前に送り主と内容に心当たりがあるかを確かめ、展開したファイルはウイルス対策ソフトで検査します。
Q. 社員にどう教えればよいですか。 A. 安全大会や月例の会議で、実際に届いた怪しいメールを（個人情報を伏せて）見せるのが効果的です。IPAの「情報セキュリティ6か条」の6番目も「脅威や攻撃の手口を知ろう！」です。
まとめ
- メールの事故は、標的型攻撃・フィッシング、ビジネスメール詐欺、誤送信の3つに分けて防ぐ
- 不審なメールはリンクを開かず、メール以外の方法で相手に確かめ、迷ったら報告する
- 振込先の変更は、登録済みの電話番号で必ず確かめる
- PPAPは効果が疑問視されている。権限を絞ったクラウド共有に切り替える
出典・参考
- 独立行政法人情報処理推進機構（IPA）「企業組織を狙う攻撃メールの手口とその対策」2026年8月3日（標的型攻撃メール、リアルタイムフィッシング、ビジネスメール詐欺、利用者が行う対応）
https://www.ipa.go.jp/security/support/rcu1hd0000019vmo-att/20260803_1.pdf - IPA「情報セキュリティ10大脅威 2026」2026年1月29日（組織編）
https://www.ipa.go.jp/security/10threats/10threats2026.html - IPA「標的型攻撃／新しいタイプの攻撃の実態と対策」2011年（標的型攻撃メールの見分け方）
https://www.ipa.go.jp/files/000024542.pdf - フィッシング対策協議会「利用者向けフィッシング詐欺対策ガイドライン 2024年度版」
https://www.antiphishing.jp/report/consumer_antiphishing_guideline_2024.pdf - 総務省「テレワークセキュリティガイドライン（第5版）」令和3年5月（コラム ファイルの暗号化（PPAP方式）、誤送信対策、フィッシングメール）
https://www.soumu.go.jp/main_content/000752925.pdf - 内閣府「平井内閣府特命担当大臣記者会見要旨」令和2年11月17日（暗号化ZIPファイルの廃止）
https://www.cao.go.jp/minister/2009_t_hirai/kaiken/20201117kaiken.html - 個人情報保護委員会「個人情報保護法 ヒヤリハット事例集」（電子メールの誤送信）
https://www.ppc.go.jp/files/pdf/pd_hiyari01.pdf
いまの課題に近いものはどれですか？
選んだお悩みに最適なサービスのご案内ページへ移動します。
お使いの業務に合う機能と、無料体験の内容をご確認いただけます。
