二段階式フィッシングメールの手口と見抜き方 2026年最新対策

---

二段階式フィッシングメールとは

従来のフィッシングメールは直接ログイン情報を狙う手口が主流でした。二段階式フィッシングはこれを逆手に取り、1通目でわざと不審なメールを送って受信者の警戒心を高めます。2通目で「社内注意喚起」を装ったメールを送り、報告フォームやログインを促すことで情報を盗みます。

📑目次

1. 二段階式フィッシングメールとは
2. 具体的な攻撃手口
3. 見抜くためのチェックポイント
4. 効果的な対策と予防策
5. よくある質問 (FAQ)
6. まとめ

この記事で先に押さえること

JPAC一般社団法人日本プライバシー認証機構の資料と警視庁の情報によれば、この手口はフィッシング対策が進む中で増加しています。警戒心の強い人ほど2通目で油断しやすい点が特徴です。https://blog.jpac-privacy.jp/bewareofphishingemails_202606/ で公開された内容を基に、背景と具体例を整理します。フィッシング対策協議会「フィッシングレポート2026」でも、届け出件数の増加が指摘されており、送信元偽装の容易さとSMSとの組み合わせが新たなリスク要因となっています。

---

具体的な攻撃手口

攻撃者はまず1通目の不審メールを送ります。件名や本文に明らかな不自然さがあり、受信者が「怪しい」と判断しやすい内容です。これにより受信者は警戒態勢に入ります。件名に「重要なお知らせ」や「アカウント確認」といった表現を使いつつ、送信元ドメインに微妙な誤りを含めるケースが典型的です。

次に2通目として「社員に不審なメールが送信されています」などの社内通知を装ったメールが届きます。報告フォームへのリンクや、社内システムへのログインを促す内容が含まれます。1通目を見破った人が「今度は本物か」と判断してクリックしてしまうケースが狙いです。実際の流れは、1通目で警戒を誘発し、2通目で報告を装って認証情報を取得する二段構えです。

実務で確認すること

警視庁サイバーセキュリティ公式アカウントの投稿でもこのパターンが指摘されています。1通目で受信者の判断力を消費させ、2通目で心理的な隙を突く設計が巧妙です。

{{screenshot: security-7969-source-2-internet.watch.impress.co.jp-d971e2095eb0.png | alt=二段階式フィッシングメールの実際の事例を示すメール画面例 | caption=1通目の不審メールと2通目の社内注意喚起メールの流れを視覚的に示した例（出典: internet.watch.impress.co.jp）}}

---

見抜くためのチェックポイント

送信元アドレスを確認します。公式ドメインと一致しているか、微妙な表記違いがないかをチェックします。件名に緊急性や報告を促す表現が多い場合も注意が必要です。ドメインの綴り間違いや、似た文字の置き換え（例: 「l」と「1」の混同）を特に警戒してください。

URLはマウスオーバーで実際のリンク先を表示し、公式サイトと異なるドメインを検出します。報告フォームが外部サイトに誘導される場合は特に疑います。リンク先の証明書情報や、httpsの有無だけでは不十分です。

実務で確認すること

即時チェックリストとして、以下の6点を挙げます。 – 送信元ドメインの一致確認（微妙な綴り違いを含む） – 件名の緊急性表現や報告要求の有無 – URLのホバー確認と最終ドメインの照合 – 添付ファイルやリンクの有無と種類 – 社内システムからの公式通知との照合 – 報告フォームのURLが事前に周知されたものと一致するか

これらを順に確認することで、2通目の誘導を見抜きやすくなります。1通目を見破った直後こそ、油断せずに2通目も同じ基準で検証する習慣が重要です。

---

効果的な対策と予防策

URLを直接クリックせず、ブックマークや公式サイトからアクセスする習慣を身につけます。報告が必要な場合は、社内IT部門への直接連絡を優先します。メール内のリンクは一切使用せず、ブラウザのアドレスバーに手入力するか、ブックマークから移動してください。

社内システムでは、報告フォームのURLを事前に周知し、メール内のリンクを使わないルールを徹底します。定期的な社内訓練で、1通目を見破った後の2通目対応をシミュレーションすると効果的です。

項目	従来型フィッシング	二段階式フィッシング
1通目	直接ログイン誘導	わざと不審メールで警戒を誘発
2通目	なし	社内注意喚起を装って報告フォームへ誘導
狙い	即時クリック	警戒心の強い層を逆手に取る
対策のポイント	URL確認	2通目も疑う習慣
心理的弱点	無警戒	1通目突破後の油断

この比較から、二段階式では1通目を見破った後の油断が最大の弱点であることがわかります。警視庁の情報でも、対策が進むほどこの逆手を取った手口が増加している点が強調されています。

---

よくある質問 (FAQ)

Q: 二段階式は本当に増えているのか？

A: JPACと警視庁の情報では、フィッシング全体の届け出件数が増加傾向にあり、二段階式はその中でも警戒心の強い層を狙う新手口として注目されています。https://blog.jpac-privacy.jp/bewareofphishingemails_202606/ を参照してください。フィッシング対策協議会の2026年レポートでも、類似パターンの報告が増加しています。

Q: 報告メールが来た場合どうすればいい？

A: メール内のリンクは使わず、社内IT部門または公式の報告窓口に直接連絡します。メール本文をコピーして転送する形が安全です。報告フォームのURLが事前周知のものと一致しない場合は、一切操作せずにIT部門へ相談してください。

Q: スマホの場合も同じ手口か？

A: スマホでも同様の手口が使われます。SMS（スミッシング）との組み合わせも増えており、リンクタップ前にURL確認を徹底してください。モバイルブラウザでもホバー相当の長押しプレビュー機能を活用できます。

Q: 企業での社内教育のポイントは？

A: 1通目を見破った後の2通目への警戒を具体例で教えることが有効です。実際の事例を共有し、報告ルールを定期的に確認します。訓練では「1通目で怪しいと思った直後こそ2通目を疑う」シナリオを繰り返し練習してください。

Q: 被害に遭った場合の対応は？

A: 速やかにパスワード変更と社内ITへの報告を行います。取引先や関係者への注意喚起も検討してください。被害が確認された時点で、関連アカウントの監視を強化し、必要に応じて警察への相談も視野に入れます。

まとめ

二段階式フィッシングは警戒心を逆手に取る巧妙な手口です。1通目と2通目の流れを理解し、URL確認と報告ルールの徹底が有効な防御になります。日常のメール対応でこのチェックを習慣化してください。1通目を見破った後も、すぐに油断せず2通目も同じ基準で検証する姿勢が、被害防止の鍵となります。