不審メールの対策｜社内で見分け方と報告の流れを決める

不審メールの対策を調べている人の多くは、社内で不審なメールが届いたときに「誰に、何を、どう伝えればよいか」が決まっていないことに困っています。迷惑メールのフィルターを入れていても、すり抜けてくるメールは必ずあります。最後に判断するのは、メールを受け取った一人ひとりです。

この記事では、不審メールの種類と見分け方を整理したうえで、社内で決めておく報告の流れ、報告メールと注意喚起の例文、開いてしまったときの初動、技術面の設定までを順に説明します。報告を受け付ける窓口を作り、届いた1件ごとに担当と対応の状況を残したい場合は、Halictのようなフォームの道具で受付を作る方法もあります。

不審メールとは：何が「不審」なのか

不審メールとは、送り主や内容を偽って、受け取った人に何かをさせようとするメールのことです。させようとすることは、主に次の3つです。

• 偽のサイトに誘導して、IDやパスワード、カード番号を入力させる
• 添付ファイルを開かせたり、リンクを押させたりして、パソコンに不正なプログラムを入れる
• 取引先や上司になりすまして、お金を振り込ませる

警察庁は、このうち1つ目の手口を「フィッシング」と呼び、次のように説明しています。

実在のサービスや企業をかたり、偽のメールやＳＭＳ（携帯電話のショートメッセージ）で偽サイトに誘導し、ＩＤやパスワードなどの情報を盗んだり、マルウェアに感染させたりする手口です。 出典: 警察庁「フィッシング対策」

マルウェアとは、パソコンやスマートフォンに入り込んで情報を盗んだり、ファイルを使えなくしたりする不正なプログラムのことです。

会社として不審メールに備える理由は、1人がだまされると、その人だけの被害で終わらないことにあります。社員のメールアカウントが乗っ取られると、その人の名前で取引先に偽のメールが送られます。1台のパソコンが不正なプログラムに感染すると、社内のネットワークを通じてほかのパソコンやサーバに広がることがあります。

情報処理推進機構（IPA）が毎年公表している「情報セキュリティ10大脅威」の2026年版でも、組織向けの脅威として、1位にランサム攻撃による被害、5位に機密情報を狙った標的型攻撃、10位にビジネスメール詐欺が挙げられています。ランサム攻撃とは、社内のファイルを暗号化して使えなくし、元に戻す代わりにお金を求める攻撃のことで、入り口の1つがメールです。詳しくはIPAの情報セキュリティ10大脅威 2026で確かめられます。

不審メールの主な種類

不審メールにはいくつかの型があります。型を知っておくと、届いたメールのどこを疑えばよいかが分かります。

フィッシングメール

銀行、カード会社、通販サイト、宅配業者、携帯電話会社などをかたって、偽のログイン画面に誘導するメールです。件名や本文で「不正なログインを確認しました」「お支払い方法を更新してください」「アカウントを停止します」と急がせ、リンクを押させます。

会社で多いのは、メールソフトやクラウドのサービスをかたるものです。「メールボックスの容量が上限に達しました」「パスワードの有効期限が切れます」といった文面で、会社のメールアカウントのIDとパスワードを入力させます。

標的型攻撃メール

特定の会社や部署を狙って送られるメールです。取引先や官公庁、社内の別の部署を名乗り、業務に関係がありそうな件名で添付ファイルを開かせます。「請求書の送付」「見積もりの件」「会議資料」「採用応募」など、普段の仕事で受け取るメールと見分けがつきにくいのが特徴です。

採用の担当者には履歴書を装ったファイルが、経理の担当者には請求書を装ったファイルが届く、というように、相手の仕事に合わせて文面が作られます。

ビジネスメール詐欺

取引先や自社の役員になりすまして、偽の口座にお金を振り込ませるメールです。「振込先の口座が変わりました」「至急、この口座に送金してほしい。ほかの人には伏せておいてほしい」といった内容が典型です。

ビジネスメール詐欺の怖さは、添付ファイルもリンクもないことが多い点です。文面だけなので、迷惑メールのフィルターに引っかかりにくく、受け取った人が普段の取引の延長だと思い込みやすくなります。実際の取引のやりとりを盗み見たうえで、途中から偽のメールを差し込む手口もあります。

添付ファイルやリンクで不正なプログラムを入れるメール

ファイルを開くと不正なプログラムが動く仕組みのメールです。表計算ソフトのファイルで「コンテンツの有効化」を押させるもの、圧縮ファイルにパスワードを付けて中身の検査をすり抜けるもの、リンク先からファイルを落とさせるものなどがあります。過去にはEmotet（エモテット）と呼ばれる不正なプログラムが、実在の人のメールの返信を装って広く出回りました。

不審メールの見分け方：社内で使う確認項目

見分け方は、社員全員が同じ項目で確かめられるように、短い一覧にして共有します。次の7項目が基本です。

1. 差出人の名前とメールアドレスが合っているか

差出人の表示名が取引先の会社名でも、アドレスのドメイン（@の後ろ）がまったく違う会社のものなら疑います。ただし、警察庁は、表示名やアドレスそのものも簡単に偽れると注意しています。アドレスが正しく見えても、それだけで本物とは決められません。

2. 普段の連絡の流れと違わないか

いつもは担当者から届く請求書が、知らない人から届いた。いつもは電話で連絡してくる取引先が、急にメールで口座の変更を伝えてきた。このように、普段と違う流れのメールは、内容が正しそうでも一度立ち止まります。

3. 急がせていないか

「本日中に」「24時間以内に」「対応しないとアカウントを停止します」と、考える時間を与えない文面は、不審メールでよく使われます。本物の会社でも急ぎの連絡はありますが、急がせる文面ほど、別の手段で確かめる価値があります。

4. リンク先のアドレスが正しいか

リンクの文字と、実際に飛ぶ先のアドレスが違うことがあります。パソコンならリンクの上にマウスを合わせると、飛ぶ先のアドレスが画面の下などに表示されます。正規のドメインに似せた、1文字違いのアドレスもあります。迷ったらリンクは押さず、ブックマークや公式アプリから開きます。

5. 添付ファイルの形式が不自然でないか

請求書なのに実行形式のファイルだった、パスワード付きの圧縮ファイルで、パスワードが同じメールに書いてある、といったものは疑います。表計算ソフトのファイルを開いたときに「編集を有効にする」「コンテンツの有効化」を求められたら、押さずに報告します。

6. お金や情報を求めていないか

振込先の変更、IDやパスワードの入力、個人情報の送付を求めるメールは、本物かどうかを必ず別の手段で確かめます。警察庁のページにも、金融機関がIDやパスワードをメールやSMSで問い合わせることはないと書かれています。

7. 日本語や宛名が不自然でないか

宛名が「お客様」だけで名前が入っていない、敬語の使い方がおかしい、漢字が中国語の字体になっている、といった特徴は、以前は見分ける手がかりになりました。ただし、最近は生成AIで自然な日本語の文面が作られることもあり、日本語が自然だから本物だとは言えません。この項目は「不自然なら疑う」ための目安で、「自然なら安全」の根拠にはしません。

この7項目は、紙1枚に印刷して席の近くに貼ったり、社内のチャットの固定の投稿にしたりして、いつでも見られるようにします。

部署ごとに狙われやすいメール

不審メールは、受け取る人の仕事に合わせて作られます。部署ごとに届きやすいメールを知っておくと、見分け方の一覧に部署別の注意を加えられます。

経理の担当者

経理の担当者に届きやすいのは、請求書や支払いの通知を装ったメールと、振込先の変更を求めるメールです。請求書の添付ファイルを開かせる型と、文面だけで振込先を変えさせる型の両方があります。振込先の変更は、メールだけで受け付けず、必ず登録済みの電話番号で取引先に確かめる、という決まりを経理の手順に書き込んでおきます。

採用の担当者

採用の担当者は、知らない人からのメールと添付ファイルを開くのが仕事です。履歴書や職務経歴書を装ったファイルは、普段の業務と見分けがつきません。応募はできるだけ求人サイトの画面や応募フォームで受け付け、メールでの添付ファイルの受け取りを減らすと、危ないファイルを開く機会そのものを減らせます。

営業とカスタマー対応の担当者

問い合わせ窓口のアドレスは公開されているため、不審メールが最も多く届く場所の1つです。「見積もりの依頼」「商品についての質問」を装い、詳細は添付ファイルを見てほしいと書くメールがあります。初めての相手からの添付ファイルは、本文で用件を確かめてから開く、と決めておきます。

総務と役員

総務には官公庁や取引先の名前を使ったメールが、役員には役員同士のやりとりを装ったメールが届きます。役員の名前で「至急、この件を内密に進めてほしい」と部下に送るビジネスメール詐欺もあります。役員の指示であっても、送金や情報の送付は、メール以外の手段で本人に確かめる決まりにします。

スマートフォンとSMSにも同じ決まりを当てはめる

不審な連絡はメールだけではありません。警察庁の相談事例でも、宅配業者の不在通知や、カード会社の確認を装ったSMSが取り上げられています。会社から支給したスマートフォンや、仕事に使っている自分のスマートフォンにも、同じ報告の流れを当てはめます。

スマートフォンでは、差出人の表示が少なく、リンクの飛ぶ先も確かめにくくなります。SMSのリンクは押さず、公式アプリやブックマークから開く、という決まりを、パソコンのメールと同じように伝えます。荷物追跡を装ってアプリを入れさせる手口では、入れたアプリがほかの人に同じSMSを送ることもあるので、入れてしまったら早く報告するよう伝えます。

社内の決まりを1枚の文書にする

ここまでの内容は、1枚の文書に整理して全員に配ると使いやすくなります。文書に書く項目は次のとおりです。

1. 見分け方の7項目
2. 報告先と、担当者が不在のときの代わりの人
3. 報告の手段と、件名の書き方
4. 報告に書くこと
5. 開いた、入力した、振り込んだときの初動
6. 取引先をかたるメールが届いたときの確かめ方
7. 振込先の変更はメールだけで受け付けないこと

文書は、新しいサービスを使い始めたときや、新しい手口が出たときに見直します。見直した日を文書の末尾に書いておくと、いつの版かが分かります。

開いてしまったとき、入力してしまったときの初動

見分け方を共有していても、だまされることはあります。大事なのは、だまされた後に早く報告できることです。報告が遅れるほど、被害は広がります。

リンクを押してIDやパスワードを入力してしまった

1. 入力したIDとパスワードを、すぐに正しいサイトから変更する
2. 同じパスワードを使っているほかのサービスも変更する
3. 社内の報告先に、入力した日時とサイトのアドレスを伝える

警察庁も、同じIDやパスワードを使っているすべてのサービスで、速やかに変更するよう呼びかけています。

添付ファイルを開いてしまった

1. パソコンのネットワークを切る（LANケーブルを抜く、Wi-Fiを切る）
2. 電源は切らずに、そのままの状態で報告先に連絡する
3. 報告先の指示があるまで、そのパソコンでほかの作業をしない

電源を切らない理由は、何が起きたかを調べる手がかりがパソコンの中に残っているためです。会社によって決まりが違うので、社内の手順がある場合はそちらに従います。

お金を振り込んでしまった

すぐに振込をした金融機関に連絡し、振込先の口座を止めてもらえないか相談します。あわせて警察に相談します。時間がたつほど、お金を取り戻せる見込みは小さくなります。

責めない仕組みを作る

初動で最も大切なのは、だまされた人が隠さずに報告できることです。報告した人を責める雰囲気があると、だまされたことを黙ってしまい、被害が広がってから発覚します。「報告してくれてありがとう」と受け止めることを、報告を受ける側の決まりにしておきます。

社内の報告の流れを決める

不審メールの対策で、会社として最初に決めるのは報告の流れです。決めることは4つです。

決めること1：報告先

報告先は1か所に決めます。情報システムの担当者がいる会社ならその担当、いない会社なら総務の担当者や代表者が受けます。担当者が休みのときの代わりの人も決めておきます。報告先が「上司」だけだと、上司が不在のときに報告が止まります。

決めること2：報告の手段

報告の手段は、メール、社内のチャット、フォームのどれかに決めます。不審メールを報告先に転送するやり方は手軽ですが、転送したメールを報告先がうっかり開くおそれがあります。転送する場合は、件名の先頭に「不審メール報告」と入れるなど、開く前に分かる決まりにしておきます。

決めること3：報告に書くこと

報告に書くことを決めておくと、報告先は聞き返さずに済みます。

• 受け取った日時
• 差出人の表示名とメールアドレス
• 件名
• 添付ファイルやリンクがあったか
• 開いたか、押したか、入力したか
• 気づいた点（普段と違う、急がせている、など）

決めること4：報告を受けた後の流れ

報告を受けた後は、次の順番で動きます。

1. 報告者に受け取ったことを返事する
2. 同じメールがほかの社員にも届いていないか確かめる
3. 必要なら全社に注意を呼びかける
4. 開いた人、入力した人がいれば、初動の手順を指示する
5. 対応が終わったら記録を残す

報告メールの例文

社員が報告先に送るメールの例です。

件名：【不審メール報告】請求書を名乗るメールが届きました

情報システム担当 田中様

お疲れさまです。営業部の山田です。 不審なメールが届いたため報告します。

受信日時：11月10日 9時15分 差出人：株式会社〇〇 経理部（billing@〇〇〇.com） 件名：【至急】請求書のご確認のお願い 添付：「請求書_1110.zip」（パスワードは本文に記載） 対応：添付ファイルは開いていません。リンクも押していません。

気づいた点： 〇〇社とは取引がありますが、普段の担当者とは別の名前で、 差出人のドメインも普段のものと違っていました。

メールは削除せず、受信箱に残しています。 ご確認をお願いします。

営業部 山田

開いてしまった場合は、「対応」の欄に「添付ファイルを開きました。開いた後、Wi-Fiを切っています」のように、したことをそのまま書きます。

報告を受けた側が送る注意喚起の例文

同じメールがほかの社員にも届いているおそれがあるときは、全社に注意を呼びかけます。文面は短く、何に気をつければよいかが一目で分かるようにします。

件名：【注意】請求書を装った不審メールが届いています

社員各位

お疲れさまです。情報システム担当の田中です。

本日、取引先の〇〇社を名乗る不審なメールが、 複数の社員に届いていることを確認しました。

件名：【至急】請求書のご確認のお願い 差出人のドメイン：〇〇〇.com（〇〇社の正規のドメインとは異なります） 添付：パスワード付きの圧縮ファイル

このメールを受け取った場合は、添付ファイルを開かず、 そのまま田中まで報告してください。 すでに開いてしまった場合は、パソコンのWi-Fiを切り、 電源は入れたまま、すぐに連絡してください。

開いてしまったことを責めることはありません。 早く知らせてもらうことが、被害を防ぐいちばんの手段です。

情報システム担当 田中

注意喚起では、偽のメールの本文やリンクをそのまま貼らないようにします。貼ったリンクを誰かが押してしまうおそれがあるためです。

取引先をかたるメールが届いたとき

取引先の名前で不審なメールが届いたときは、取引先にも知らせます。取引先のメールアカウントが乗っ取られている場合、ほかの会社にも同じメールが届いている可能性があります。

取引先に確かめるときは、届いたメールに返信しないことが大切です。返信先が偽のアドレスになっていることがあります。以前から知っている電話番号や、過去の正しいメールのアドレスに、新しいメールとして連絡します。

件名：貴社名義のメールについてのご確認

株式会社〇〇 経理部 佐藤様

いつもお世話になっております。 株式会社△△の山田です。

本日、貴社の経理部を名乗る方から、 請求書の確認を求めるメールが届きました。 差出人のアドレスが普段のものと異なっていたため、 念のためご確認させていただきたく、ご連絡いたしました。

差出人：〇〇〇@〇〇〇.com 件名：【至急】請求書のご確認のお願い

貴社からお送りいただいたものでなければ、 貴社のお名前をかたる不審なメールの可能性がございます。 お手数ですが、ご確認いただけますと幸いです。

（署名）

振込先の変更を伝えるメールが届いた場合は、メールではなく電話で、以前から登録している番号にかけて確かめます。メールに書かれた電話番号は偽物のことがあるので使いません。

技術面の対策：メールの設定と機器の更新

人の注意だけに頼らず、仕組みで不審メールを減らすことも欠かせません。

送信ドメイン認証の設定

送信ドメイン認証とは、メールが本当にそのドメインから送られたものかを、受け取った側が確かめられるようにする仕組みです。警察庁のページでは、事業者の対策として、主な方式にSPF、DKIM、DMARCの3つが挙げられています。

• SPF … メールを送ったサーバが、そのドメインから送ってよいサーバかを確かめる
• DKIM … メールに電子署名を付け、途中で書き換えられていないかを確かめる
• DMARC … SPFとDKIMの結果を使い、確かめられなかったメールをどう扱うかを決める

自社のドメインにこれらを設定すると、自社の名前をかたる偽のメールが、取引先の受信箱に届きにくくなります。設定はドメインを管理しているサービスとメールのサービスの両方で行うので、外部の業者に任せている場合は、設定済みかどうかを確かめます。

OSとソフトの更新

パソコンやスマートフォンのOS、メールソフト、ブラウザは、更新が出たら早めに当てます。古いままだと、不正なプログラムが入り込む穴が残ります。

多要素認証

多要素認証とは、パスワードに加えて、スマートフォンに届く番号や指紋などを組み合わせてログインする仕組みです。パスワードを盗まれても、もう1つの要素がなければログインできません。会社のメールアカウントやクラウドのサービスでは、多要素認証を必ず有効にします。

パスワードの使い回しをやめる

フィッシングで1つのパスワードを盗まれても、ほかのサービスで違うパスワードを使っていれば、被害はそのサービスだけで止まります。警察庁も、IDとパスワードはサイトごとに違うものを登録し、覚えられない場合はパスワード管理アプリなどを使うよう案内しています。会社で使うサービスが多い場合は、会社としてパスワード管理の道具を決め、社員に配ると、使い回しを減らせます。

迷惑メールのフィルター

メールのサービスに付いている迷惑メールのフィルターは、有効にしておきます。ただし、フィルターをすり抜けるメールは必ずあります。フィルターがあるから大丈夫、と社員に伝えないことが大切です。

訓練と教育：年に1回では足りない

見分け方の一覧を配るだけでは、時間がたつと忘れられます。不審メールの対策は、定期的に思い出す機会を作ることが大切です。

訓練メール

訓練メールとは、不審メールに見立てたメールを社員に送り、開いたか、報告したかを確かめる訓練のことです。訓練の目的は、開いた人を見つけることではなく、報告の流れが動くかを確かめることです。開いた人の数より、報告した人の数と、報告までにかかった時間を見ます。

事例の共有

実際に社内に届いた不審メールを、個人名を伏せて共有するのも効果があります。「先週、こういうメールが届いて、営業部の人が報告してくれた」と伝えると、ほかの社員も自分ごととして受け止めます。報告した人をほめる形で共有すると、報告しやすい雰囲気も作れます。

訓練の後にすること

訓練が終わったら、結果を全員に返します。返すのは、報告した人の割合、報告までにかかった時間、訓練メールのどこに気づけば見分けられたか、の3つです。開いた人の名前は出しません。名前を出すと、次の訓練で開いたことを隠す人が出て、報告の流れを確かめるという訓練の目的が崩れます。

訓練メールの文面は、毎回変えます。同じ型の訓練を続けると、社員は訓練メールの見た目を覚えてしまい、本物の不審メールへの備えになりません。請求書、宅配の通知、社内のお知らせ、取引先の担当者の交代など、実際に届きやすい型を順番に使います。

新しく入った人への説明

新しく入った社員や、業務委託で社内のメールを使う人には、初日に報告先と報告の手段を伝えます。入ったばかりの人ほど、取引先の名前や普段の連絡の流れを知らないため、偽のメールを見分けにくくなります。

情報が漏れたおそれがあるとき

不審メールがきっかけで、顧客の個人情報が漏れたおそれがある場合は、社内の対応だけでは済まないことがあります。個人情報保護法では、一定の場合に、個人情報保護委員会への報告と本人への通知が義務付けられています。

報告が要る場合として、要配慮個人情報（病歴など特に配慮が必要な情報）が含まれるとき、不正に使われるとお金の被害が出るおそれがあるとき、不正な目的の行為によるおそれがあるとき、本人の数が1,000人を超えるとき、などが挙げられています。個人情報保護委員会は、発覚したらまず速やかに報告するよう求め、不正な目的によるおそれがある場合の期限を発覚日から60日以内としています。

自社が報告の対象に当たるかどうかは、漏れた情報の種類や人数、経緯で変わります。判断に迷ったら、個人情報保護委員会の漏えい等の対応のページを確かめ、必要に応じて専門家に相談してください。

フィッシングメールを見つけた場合は、フィッシング対策協議会に報告することもできます。協議会のページでは、迷惑メールのフォルダに入ったメールはすでに検知されているので報告は要らないと案内されています。フィルターをすり抜けて受信箱に届いたメールを報告します。

報告の受付を表やフォームで管理する

報告の件数が少ないうちは、報告先の担当者がメールで受け、表計算ソフトに記録すれば十分です。記録の表は次の列で作ります。

列	書く内容
受付日時	報告が届いた日時
報告者	部署と氏名
メールの概要	差出人、件名、添付やリンクの有無
開いたか	開いていない／開いた／入力した
状況	確認中／注意喚起済み／対応完了
担当	対応した人
メモ	したこと、取引先への連絡の有無

社員が多い会社や、複数の担当者で報告を受ける会社では、メールで報告を受けると、誰がどの報告に返事をしたのかが分かりにくくなります。報告者への返事が漏れると、報告者は「報告しても反応がない」と感じ、次から報告しなくなります。

こうした場面では、報告をフォームで受け付ける方法があります。フォームなら、報告に書くことを入力欄として決めておけるので、報告の抜けが減ります。たとえばHalictは、フォームから届いた1件ごとに担当と状況（ステージ）を付けて管理でき、返信も同じ画面から送れて、開封まで記録されるフォームの道具です。報告者には送信の直後に自動返信で受付を知らせられるので、「届いたかどうか分からない」という不安を減らせます。公式の料金のページでは、無料のフリーのプランでもフォームの数と回答の数は無制限で、ステージの管理と自動返信、CSVの書き出しが使えると案内されています。メンバーが3人までのスターターは月額2,980円、10人までのチームは月額7,800円（いずれも税抜）です。Halictは、@SOHOを運営する株式会社ライフスケープが開発・提供しています。

なお、フォームの道具は報告を受け付けて対応を記録するためのもので、不審メールそのものを見分けたり止めたりする仕組みではありません。見分けるのは人と、メールのサービスのフィルターです。

小さな会社と、外部の人と働く会社で気をつけること

在宅ワークやフリーランスの仕事の仲介を2004年から続けてきた運営者として見てきた限りでは、不審メールの被害は、大きな会社より、担当者が1人で何役もこなしている小さな会社や個人事業で起きやすい傾向があります。経理も採用も営業も1人で受けていると、請求書を装ったメールも、応募を装ったメールも、すべて同じ人の受信箱に届きます。忙しい時期ほど確かめる余裕がなくなります。

業務委託で外部の人と一緒に働く場合は、相手にも報告の流れを伝えておきます。外部の人は社内のチャットに入っていないことが多く、不審なメールに気づいても、誰に知らせればよいか分かりません。契約のときに「不審なメールが届いたらこの連絡先へ」と1行伝えておくだけで、報告が届くようになります。

不審メールの対策を外から手伝う仕事も広がっています。社内の訓練の企画や、メールの設定の見直しを手伝う仕事は、AI・マーケティング・セキュリティのお仕事で紹介しています。生成AIを使った社内の問い合わせの仕組みづくりや、業務の見直しを手伝う仕事はAIコンサル・業務活用支援のお仕事にあります。報告のフォームや社内の仕組みを作る側に回りたい人は、アプリケーション開発のお仕事も参考になります。

不審メールの対策は、見分け方を覚えることより、報告の流れが動くことのほうが大切です。報告先、報告の手段、報告に書くこと、報告を受けた後の流れの4つを決め、全員に伝えるところから始めてください。

よくある質問

Q. 不審メールを開いてしまったら最初に何をすればよいですか？

添付ファイルを開いた場合は、パソコンのWi-Fiを切るかLANケーブルを抜いてネットワークから外し、電源は入れたまま社内の報告先に連絡します。リンク先でIDやパスワードを入力した場合は、正しいサイトからすぐにパスワードを変更し、同じパスワードを使っているほかのサービスも変更したうえで報告します。

Q. 不審メールは削除してから報告してもよいですか？

報告先の指示があるまでは削除せず、受信箱に残しておくのが一般的です。差出人の情報やメールの中身は、同じメールがほかの社員にも届いていないかを調べる手がかりになります。転送して報告する場合は、件名に不審メールの報告と分かる言葉を入れ、報告先がうっかり開かないようにします。

Q. 取引先の名前で不審なメールが届いたらどうしますか？

届いたメールには返信せず、以前から知っている電話番号や過去の正しいメールアドレスに新しく連絡して確かめます。取引先のアカウントが乗っ取られている可能性もあるので、取引先にも知らせます。振込先の変更を求める内容なら、必ず電話で確かめてから対応します。

Q. 小さな会社でも不審メールの対策は必要ですか？

必要です。小さな会社では1人の担当者に請求書や応募など多くのメールが集まるため、忙しい時期ほど確かめる余裕がなくなります。報告先と報告の手段を決める、パスワードの使い回しをやめる、多要素認証を有効にする、といった費用のかからない対策から始められます。