いつもの相手から届いたメール

そのメールは、知らない誰かから届いたものではなかった。

サイバー犯罪: 日常に侵入する悪意 第 1 回

狙われるのは、特別な誰かではない。

いつもの日常に、見えない侵入口がある。公開されている情報を手がかりに、その静かな進行と、日常に現れる結果をたどります。

いつもの相手から

その日の朝、イチカはいつものように会社のメールを確認していた。

小さな会社の事務担当。請求書の処理、取引先との連絡、社内のちょっとした調整。特別な仕事ではないけれど、彼女がいなければ回らない仕事がいくつもある。

届いていたメールの中に、取引先の担当者からのものがあった。

件名は「共有ファイルを更新しました」。

本文には、更新したファイルを確認してほしいという短い案内と、リンクがひとつ。

その担当者とは、もう何年も仕事をしている。請求書の確認や納期の相談で、何度もメールを交わしてきた相手だ。

イチカはリンクを開いた。

表示されたのは、普段使っているクラウドサービスのログイン画面だった。少なくとも、その時はそのように見えた。

―― ログインの有効期限が切れたのだろう。

そう思って、会社のメールアドレスとパスワードを入力した。

画面は少し読み込みを続けたあと、うまく表示されなかった。

「またシステムの調子が悪いのかな」

イチカはそう考え、別の仕事に取りかかった。

そのとき、何かがおかしいとは思わなかった。

届いていないはずのメール

数日後。

取引先から電話がかかってきた。

「先ほど、イチカさんのお名前でメールが届いたのですが。共有ファイルの確認をお願いするという内容で……」

イチカには心当たりがなかった。

送信済みメールを確認しても、そんなメールを送った覚えはない。ところが、メールの管理画面には、見覚えのない大量の送信履歴が残されていた。

システム管理を担当する社員に調べてもらうと、事態はさらに悪かった。

イチカのメールアカウントに、第三者が不正にログインしていた。

過去に送受信したメールも閲覧されていた。そこには取引先や顧客のメールアドレス、仕事上のやり取りが残っている。

そして、イチカのアカウントから、組織の内外に向けて 1,000 件を超えるフィッシングメールが送信されていた。

差出人は、イチカ本人。

メールアドレスも、正規のものだった。

受信した人たちにとっては、いつも仕事の連絡をくれる相手から届いた、いつものメールに見えたかもしれない。

被害は、彼女のところで止まらなかった

会社は、イチカのメールアカウントのパスワードを強制的に変更した。

情報が漏れた可能性のある相手には、お詫びと注意喚起の連絡を送った。多要素認証の導入も検討することになった。

だが、問題はそれだけではない。

イチカのメールボックスには、取引先との過去のやり取りが残っていた。そこからメールアドレスを集められ、今度はその人たちが攻撃の対象になっていた。

さらに、その人たちが受け取ったメールは、イチカのアカウントから正規のメールシステムを通じて送信されたものだった。

偽の差出人名を表示するだけの単純ななりすましとは違う。送信者の名前もメールアドレスも、実際に使われているアカウントのものだ。受信した人が、それを疑うのは簡単ではない。

イチカは誰かを騙そうとしたわけではない。

ただ、いつも仕事をしている相手から届いたメールを開き、いつものようにログインしただけだった。

それでも、彼女のメールアカウントは、見知らぬ誰かのための発信拠点になっていた。

これは、珍しい話なのだろうか

この事件は、情報処理推進機構 (IPA) が公表した実際の届出事例をもとにしている。

2020 年上半期に受理された事例のひとつで、関係者から届いたフィッシングメールのリンクを開き、偽のログイン画面に ID とパスワードを入力したことが発端だった。

攻撃者は、乗っ取ったメールアカウントを使って、組織内外に 1,000 件以上のフィッシングメールを送信。過去のメールから顧客や取引先のメールアドレスも取得していた。

IPA は、このように正規のアカウントを悪用し、組織内外へ攻撃を広げる手口を「ラテラルフィッシング」として解説している。

そして、フィッシングは過去の話でもない。

フィッシング対策協議会が 2026 年に公表したレポートによると、2025 年に同協議会が受け付けたフィッシング報告件数は 2,454,297 件。2024 年の約 1.43 倍に達した。

これは被害者の人数や、詐欺が成功した件数そのものではない。それでも、フィッシングが日常的に報告され続けていることは分かる。

何を信じればよかったのだろう

イチカは、怪しいメールを無差別に開くような人ではなかった。

知らない相手からのメールには気をつけていたし、不自然な添付ファイルを不用意に開くこともなかった。

けれど、今回の相手は知らない誰かではなかった。

しかも、攻撃者は単に取引先の名前を借りたのではない。先に関係者のアカウントを侵害し、実際に使われているメールアカウントから連絡してきたとみられている。

「知っている相手から届いたから大丈夫」

その判断は、どれほど慎重な人であっても、間違えることがある。

もちろん、届くメールのすべてを疑い、誰からの連絡にも毎回電話で確認するような生活は現実的ではない。

では、どこまで気をつければよかったのだろう。

そもそも、イチカひとりの注意だけで防げる問題だったのだろうか。

彼女のメールアカウントから送られた 1,000 件以上のメール。その中には、今も彼女を信頼している人たちがいたかもしれない。

そして、その人たちの受信箱にも、今日もまた、いつもの相手からメールが届いている。

参考資料

1. 独立行政法人情報処理推進機構 (IPA) 『コンピュータウイルス・不正アクセスの届出事例 [2020 年上半期]』(2020 年 8 月 6 日), 第 4 章「クラウド型メールサービスのアカウントへの不正アクセス」
   
   https://www.ipa.go.jp/security/todokede/crack-virus/ug65p9000000nnpa-att/000084707.pdf

2. フィッシング対策協議会 『フィッシングレポート 2026』(2026 年 6 月 1 日)
   
   https://www.antiphishing.jp/report/report/phishing_report2026.html

3. 警察庁 『フィッシング対策』
   
   https://www.npa.go.jp/bureau/cyber/countermeasures/phishing.html

本記事のストーリーは、IPA が公表した届出事例をもとに、人物、会社の設定、会話、時系列を読み物として再構成したものです。特定の企業や個人を描いたものではありません。