始める前に
- 疑わしい連絡で自分が行った操作の整理
- メールのリンクを使わず開ける、既知の公式入口
- 業務アカウントなら管理担当者への連絡経路
用語が分からないとき
- ホスト
- URLでアクセス先を示す部分です。後ろのパスに公式名があっても、ホストが同じとは限りません。
- 復旧経路
- ログインできなくなったときに使う、本人の連絡先や予備の認証方法です。
- 未確認
- まだ調べていない、または判断に必要な結果を得られていない状態です。「問題なし」とは分けて記録します。
受信した人と対応担当の確認範囲
受信した人は、実際に行った操作を整理し、既知の連絡先へ引き継ぎます。契約の照合は契約担当、組織の端末調査は対応担当の仕事です。再現のためにリンクや添付を開き直す必要はありません。
設定を変えずに確認すること
- 受信時刻と、リンクを開いた・情報を入力した・ファイルを実行した、のどこまで行ったかを分ける。メッセージに書かれた番号やリンクを相談先にせず、普段の連絡先を使う。
- 契約の通知なら、以前から分かっている公式入口で契約先と対象を照合する。認証情報の入力やファイル実行がある場合は、単なる真偽の照合で終わらせず、本文の操作別対応へ進む。
この手順で使う用語
- 表示名とホスト
- 表示名はメッセージに見える名前、ホストはURLの接続先。名前やパスにブランド名があるだけでは正規の接続先と判断できません。
- 契約の照合
- 自分の契約先と通知の対象を確認する作業。管理画面に同じ通知がないことだけで偽物と断定しません。
- 操作の記録
- 実際に何を開き、入力し、実行したかの記録。被害の有無を診断した結果とは分けて扱います。
契約担当・組織の対応担当へ渡す情報
受信時刻、対象サービス、行った操作、公式入口で照合した結果、今も起きている症状を渡します。秘密の値や危険な添付を転送して説明せず、組織の連絡・証拠保全の手順に従ってください。
確認済みと未確認の境界
リンクを閉じても、入力した情報や実行したファイルの影響は確認済みになりません。実行や端末の異常がある場合は担当者の調査へ引き継ぎます。照合だけで端末の安全や被害なしを保証しません。
説明用メールで、表示と行き先の違いを見る
架空のドメイン更新通知を使った例です。「期限切れでサイトを停止」と急がせる文面でも、表示名や本文に契約サービスの名前があるだけでは本物と判断できません。ホストがhosting.example.invalidなら、その後のパスにofficial-brandと書かれていても、契約サービスのドメインとは別です。
リンクをクリックして確認する手順ではありません。PCでは行き先の表示ができる場合がありますが、スマホの長押し等は誤操作の可能性もあります。判断に迷う場合はメールを操作せず、自分のブックマークや既知の公式入口を開く方法へ切り替えます。
架空の説明用URLです。クリックして確認するものではありません。
https://hosting.example.invalid/official-brand/login
- https://
- 通信方式。契約先であることの証明にはならない。
- hosting.example.invalid
- この例のホスト。契約先の既知の入口と照合する部分。
- /official-brand/login
- ホストの後ろのパス。ブランドらしい文字があっても契約先とは判断できない。
実際の連絡では、疑わしいリンクを開かず、自分が把握している契約先の管理画面を使って確認します。
表示名: ドメイン更新窓口
件名: 本日中の確認がない場合、サイトを停止
内容: 更新のため下記ページでログインしてください
行き先の例: https://hosting.example.invalid/official-brand/login
→ ホストは hosting.example.invalid。パスのブランド名では判断しない。未操作なら、既知の入口で事実を確認する
未操作の場合は、メール内のリンク・返信・添付を使わず、既知の公式入口で事実を確認します。表示名・ロゴ・HTTPSの鍵表示だけでは、送信者の正当性を証明できません。
通知に対応する契約先を選ぶ
ドメイン更新なら自分が把握するドメインの契約先、サーバー停止ならサーバーの契約先を確認します。メールが届いたという理由だけでパスワードや支払い情報を入力しません。
既知の入口で対象と状態を照合する
自分のブックマークや既知の公式入口を開き、対象・期限・通知を管理画面で照合します。同じ通知が見つからないことだけで偽物と断定せず、契約担当または既知の正規窓口へ照会します。
必要な報告を秘密の値なしで行う
業務アカウントなら管理担当へ件名・時刻・行った操作を伝えます。Gmailでフィッシングと判断した場合は公式の報告方法を使います。認証コードを添えたり、危険な添付を別の人へそのまま転送したりしないでください。
リンクを開いた場合は、入力やダウンロードを止める
開いた場合は、それ以上入力や添付の実行をせず、ページを閉じます。入力したか、ファイルが保存されたか、ブラウザの許可を与えたかを分けて記録します。「開いただけだから必ず安全」と判断することも、状況を見ず全て同じ対応にすることも避けます。
不審なダウンロードや警告、端末の異常があれば管理担当者へ連絡し、端末側の確認手順に従います。再現のために同じリンクを開き直しません。本文の記録を残す場合も、秘密情報と不必要な個人情報は除きます。
入力した場合と、添付を実行した場合を分けて対応する
パスワード等を入力した場合は、安全な端末で正規サービスの入口を開き、変更、復旧先、不審なログインやセッションの確認を進めます。同じ値を他でも使っている場合は、関連するサービスも対象になります。 ログインできなくなっていれば、変更画面へ入ろうと繰り返さず正規の復旧手順へ進みます。認証コードや支払い情報を渡した場合は、その対象の管理者や事業者への連絡も必要です。
添付を実行・インストールした場合や端末の挙動がおかしい場合は、メール側の変更だけで終えません。業務端末なら組織の事故対応手順に従って管理者へ連絡し、端末の確認を依頼します。具体的な対処は対象の端末と行った操作により異なるため、独断でログやファイルを削除しません。
管理担当へ渡す情報を、行った操作で分ける
未入力と確認できない場合は未確認のまま伝えます。端末の安全をこの表だけで診断するものではありません。
| 行った操作 | 次にすること | 担当者へ残す情報 |
|---|---|---|
| リンク・添付は未操作 | 既知の契約管理画面で照合。不明なら契約担当へ確認 | 件名・受信時刻・対象契約・照合結果。パスワードやコードは添えない |
| リンクを開いた | 入力・ダウンロード・許可を止め、操作内容を整理 | 開いた時刻、入力・保存・許可の有無。再現のために開き直さない |
| 認証情報を入力した | 安全な端末から正規サービスで変更・ログイン状況の確認を進める | 対象アカウントと入力した情報の種類、対応時刻。値そのものは渡さない |
| 添付を実行・インストールした | 組織の事故対応手順に従い、端末管理者へ連絡 | 端末、実行時刻、ファイルの種類、見えた異常。独断で証跡を削除しない |
行った操作と対応結果を、時刻と一緒に残す
管理者へ伝えるのは、受信時刻、疑った理由、開いた・入力した・実行した操作、行った対応です。秘密の値は添えず、確認できないことは未確認と書きます。メッセージを削除しただけでは、アカウントや端末まで確認したことにはなりません。
このガイドは公式資料と架空の説明例を整理したものです。実際の攻撃サイトへアクセスした検証や、端末の安全を診断するものではありません。正規入口の確認、操作に応じた対応、必要な管理者連絡まで進め、残る確認を記録してください。
受信日時／件名（個人情報や秘密は除く）:
疑った理由:
行った操作（未操作・開いた・入力・実行・許可）:
対象サービスや端末:
既知の公式入口や相談先で照合した内容:
確認した日時／本人・契約担当・組織の対応担当の区別:
実施した対応と結果:
端末の安全等、今回確認できていないこと:
次の対応と確認条件:
連絡・確認する担当／確認予定日（入力・実行した場合は対応を先送りしない）:完了の確認
- メールのリンクを使わず既知の公式入口や窓口で対象を照合し、表示名・HTTPSだけで真偽を決めない
- 開いた・入力・実行・許可した操作を分け、必要なアカウント・端末・管理者への対応を先に行う
- 時刻・操作・対応結果と未確認を秘密なしで記録し、メッセージ削除だけを端末の安全確認にしない
確認できなかった項目は、未確認として次の作業に残してください。