フィッシングは見分けるのではなく、行動のルールで防ぎます。2026年10月、日経グループで社員のアドレスから届いたフィッシングで日経BPも被害を受けたと報じられました。メール内リンクからIDを入力しない、送金・変更依頼は電話で確認、二段階認証の3点を今日決めてください。
情報漏えいの発表が相次いでいます。2026年10月5日には日経グループで不正アクセスが相次ぎ、日経社員のアドレスから届いたフィッシングメールで日経BPも被害を受けたと報じられました。社内の本物のアドレスから届くメールまである以上、「怪しいメールを見分ける」という対策には限界があります。今日決めるべきは、メールの見た目ではなく自分たちの行動のルールです。
いま何が起きているのですか？
おたくま経済新聞は2026年10月5日、日経グループで不正アクセスが相次ぎ、日経社員のアドレスから届いたフィッシングで日経BPも被害を受けたと報じています。一度アカウントが乗っ取られると、そこから取引先や関連会社へ本物のアドレスでメールが送られます。差出人が見慣れた名前であることは、安全の根拠になりません。
さらにセキュリティ対策Labは2026年10月7日、MrMax・nimoca・焼肉きんぐ・タイムズカーなどの情報漏えいを受けて、「おわび」や「補償のご案内」をかたる二次的なフィッシングに注意するよう呼びかけています。漏えいのニュースが出た直後は、お詫びメールを装った偽メールが届きやすい時期だとみられます。
情報はどんな流れで抜かれるのですか？
流れはほぼ同じです。①取引先・上司・宅配業者・サーバー会社をかたるメールやSMSが届く → ②本物そっくりのログイン画面に誘導される → ③IDとパスワードを入力する → ④攻撃者がそのアカウントにログインする、という4段階です。
その後は、メール履歴を読まれて取引関係を把握され、請求書の振込先変更を装った送金依頼（ビジネスメール詐欺）につながったり、同じID・パスワードでWordPressの管理画面やレンタルサーバーに入られたりします。入口はメール1通でも、被害はサイトの改ざんや顧客情報の流出にまで広がります。
見分け方より先に決めるべきルールは？
偽サイトの作りは年々精巧になっており、日本語の不自然さで判別する方法は通用しなくなっています。社内で共有するのは、次の3つの行動ルールです。
- メールやSMSのリンクからIDとパスワードを入力しない。ログインは必ずブックマーク、または公式アプリから。「確認が必要です」と書かれていても、自分で開き直して確認してください。
- 送金・振込先変更・パスワード変更の依頼は、必ず電話で確認する。メールに書かれた番号ではなく、名刺や契約書にある既知の番号にかけ直してください。メール返信での確認は、乗っ取られていれば攻撃者が返信します。
- 二段階認証をかける。メール、サーバー管理画面、WordPressの管理者アカウントの3つを優先します。パスワードが抜かれても、ここで止まります。
IPAの「情報セキュリティ10大脅威 2026」でも、フィッシングやビジネスメール詐欺は組織・個人の双方で継続的な脅威として整理されています。特別な事情がある企業だけの問題ではありません。
WordPressサイトでは何を確認すればよいですか？
WordPressの運営者には「プラグインの更新に失敗しました」「サーバー容量が上限です」といった、もっともらしい件名のメールが届きます。リンク先は偽のログイン画面です。今日は管理画面で次の3点を確認してください。
- ユーザー → ユーザー一覧で、見覚えのない管理者がいないか。心当たりのないアカウントは権限を「購読者」に下げてから削除してください。
- 管理者全員のパスワードを、他サービスと使い回していないものに変更し、二段階認証プラグインを有効にしてください。
- 設定 → 一般の「管理者メールアドレス」が、現在使っている正しいアドレスか。退職者のアドレスが残っていると、パスワード再設定メールが届かないおそれがあります。
中小企業は今日何をすべきか
- 今日、朝礼やチャットで3つのルールを共有しましょう。「メールのリンクからIDを入力しない」「送金・口座変更の依頼は既知の番号に電話」「不審なメールは責めずに報告」。報告した人を叱らない方針も同時に伝えましょう。
- 経理と代表者のメール、サーバー管理画面、WordPress管理者の二段階認証を有効にしましょう。所要時間は1アカウント5分程度です。
- WordPressのユーザー一覧を開き、見覚えのない管理者と退職者のアカウントを削除しましょう。自社だけで判断が難しい場合は、無料のWordPress安全診断（https://wp-mamoru.com/diagnosis/）で設定を点検できます。
よくある質問
本物の取引先のアドレスから届いたメールは信用してよいですか？
差出人が本物でも安全とは限りません。2026年10月、日経社員のアドレスから届いたフィッシングで日経BPも被害を受けたと報じられています。送金や振込先変更の依頼は、差出人に関係なく既知の電話番号で確認してください。
偽のログイン画面にIDとパスワードを入力してしまいました。どうすればよいですか？
まず別の端末から、そのサービスと同じパスワードを使っている全サービスのパスワードを変更し、二段階認証を有効にしてください。次にメールの転送設定や自動返信が勝手に追加されていないか、WordPressは管理者ユーザーが増えていないかを確認します。被害が疑われる場合は取引先にも早めに連絡してください。
漏えいした企業からの「おわびメール」は開いてよいですか？
漏えい発表の直後は、お詫びや補償を装った偽メールが届きやすいと注意喚起されています。メール内のリンクは使わず、その企業の公式サイトを自分で検索して開き、発表内容を確認してください。
出典
