経営・DX約14分で読めます

標的型攻撃メール・誤送信対策｜空調工事会社のメール事故

公開日：2026年10月14日最終更新日：2026年10月14日

結論: 「開く前に疑う」「送る前に確かめる」「お金はメールで決めない」

メールの事故は、届くメールに仕掛けられる攻撃と、自分が送るメールのミスの2つに分かれます。届くメールについては、IPA（情報処理推進機構）が、URLリンクをクリックしない、添付ファイルを開かない、取引先などを装い緊急性を煽るメールには特に注意する、少しでも不審なら電話などメール以外の方法で相手に直接確認する、と呼びかけています。送るメールについては、個人情報保護委員会が、送信の手続を定め、送信時に宛先を確認する工夫をすることが重要だとしています。

空調工事会社で特に注意したいのは、部品の仕入れ先や元請、ビルの管理会社を装って、振込先の変更や書類の確認を求めるメールです。振込先の変更はメールだけで受け付けない、という社内ルールを1つ決めるだけで、大きな被害を防げます。

届くメールの攻撃は3種類

種類	狙い	空調工事会社での見え方
標的型攻撃メール	特定の会社や人を狙い、業務を装ってウイルスを開かせる	元請からの「安全書類の再提出のお願い」、管理会社からの「点検報告書の確認依頼」を装う
フィッシングメール	偽のログイン画面に誘導し、IDやパスワード、カード情報を盗む	宅配業者・銀行・クラウドサービスを装い「ログインして確認」を求める
ビジネスメール詐欺（BEC）	取引先や社長になりすまし、偽の口座へ送金させる	部品商社やメーカーの代理店を装い「振込先口座が変わりました」と連絡してくる

IPAは標的型攻撃メールについて、標的の業務内容を調べ上げたうえで業務に関連した攻撃メールを送るため、知らない人物からのメールでも受信者が開かざるを得ない、または興味をそそる内容が書かれていると説明しています。「情報セキュリティ10大脅威 2026」でも、組織向けに「機密情報を狙った標的型攻撃」（5位）と「ビジネスメール詐欺」（10位）が選ばれています。

フィッシング対策協議会によると、2026年8月に同協議会に寄せられたフィッシングの報告件数は82,338件でした。同協議会は、パソコン向けに経理担当者を狙った書類の確認や提出をよそおう不審なメールが確認されているとして、受信した場合の相談先を組織内で周知するよう呼びかけています。

怪しいメールの見分け方（チェックリスト）

IPAの「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）とフィッシング対策協議会の呼びかけをもとに、空調工事会社の場面に当てはめました。

急がせていないか（「本日中に」「至急ご確認を」）
送信元のアドレスのドメイン（@の後ろ）が、いつもの取引先と1文字でも違わないか
振込先の変更、支払いの前倒しなど、お金の話が含まれていないか
いつもはFAXや電話で来る連絡が、急にメールで来ていないか
添付ファイルやリンクを開かせようとしていないか
ログインを求められたら、メールのリンクではなく、ブックマークや正規のアプリから開いているか
迷ったら、メールに書かれた番号ではなく、手元の名刺や取引先台帳の番号に電話して確かめたか
件名や本文の特徴的な言葉をネットで検索したか

開いてしまったら

IPAは、添付ファイルを開いた場合はパソコンをネットワークから切断し、社内のセキュリティ責任者などに通報するよう示しています。偽のログイン画面にパスワードを入力してしまった場合は、そのパスワードをすぐに変え、同じパスワードを使っていた他のサービスも変えます（パスワード管理の記事参照）。報告した人を責めない雰囲気を作ることが、早い報告につながります。

お金の連絡はメールで決めない

ビジネスメール詐欺の対策として、IPAは送金の承認ルールの整備を挙げています。空調工事会社では、機器や部材の仕入れで大きな金額を振り込む機会が多いため、次のルールを決めておきます。

振込先の変更は、メールだけでは受け付けない。登録済みの電話番号に折り返して、担当者本人に確認する
新しい振込先への初回の支払いは、経理担当と社長（または管理責任者）の2人で承認する
社長名で「至急振り込んで」というメールが来ても、口頭で確認してから動く

施工計画書の作成や配管の拾い出しに、毎回時間を取られていませんか？

施工計画書の作成や図面からの配管長の拾い出しにかかる時間を、PattoAI で大幅に短縮できます。

詳しく見る無料デモで確認する

送るメールの誤送信を防ぐ

個人情報保護委員会の「ヒヤリハット事例集」には、複数の顧客にイベントの案内をメールで送る際、BCC（他の受信者に宛先が見えない欄）に入れるべきアドレスをCC（宛先が全員に見える欄）に入れて送信しそうになった事例が載っています。委員会は、メールは宛先誤りや送信方法の誤りによる個人データの漏えいリスクが高いとして、送信者以外の人が宛先を確認する、送信前に確認のポップアップを出すなどの工夫を例に挙げています。

空調工事会社で起きやすいのは、次の場面です。

場面	起きやすいミス	防ぎ方
夏前の点検案内の一斉送信	保守契約先の全アドレスをCCに入れる	一斉送信は宛先を隠す方法か、配信の仕組みを使う。2人で確認する
点検報告書の送付	似た名前のビルの報告書を添付する	ファイル名に建物名を入れ、送信前に添付ファイル名と宛先を見比べる
アドレスの自動補完	同じ苗字の別会社の担当者に送る	社外宛てのメールは送信前の確認画面を出す設定にする
協力会社への図面送付	別現場の施工図を送る	現場ごとの共有フォルダで渡し、メール添付を減らす

一斉送信の誤りは、情報漏洩の原因と対策で見たとおり、件数の多い漏洩の原因の1つです。

PPAP（パスワード付きZIPの別送）を見直す

PPAPは、パスワードを付けたZIPファイルをメールに添付し、パスワードを別のメールで送る方式の通称です。2020年11月、内閣府・内閣官房は、ZIPファイルの送付と同じ経路でパスワードを自動で送る方式について、セキュリティ対策の観点からも受け取る側の利便性の観点からも適切ではないとして、廃止する方針を大臣会見で示しました。同じ会見では、機密性の高い情報を含むファイルを送る際は、パスワードを全く別の経路で知らせることにも触れています。

同じメールの経路でパスワードを送れば、メールを盗み見られたときに両方が渡ります。施工図や見積書を送る場合は、次の方法に切り替えていきます。

クラウドの共有フォルダで渡し、閲覧できる人を指定する。期限が来たら共有を止める
どうしてもファイルにパスワードを付ける場合は、パスワードを電話やショートメッセージなど別の経路で伝える
元請や顧客が受け取り方を指定している場合は、その方法に合わせる

社内ルールにまとめる

No	ルール
1	急がせるメール、お金の話のメールは、開く前に一度止まる
2	振込先の変更はメールで受け付けない。登録済みの番号に電話して確認する
3	怪しいメールを開いた・入力したときは、すぐ報告する。報告した人は責めない
4	一斉送信は宛先を隠す方法で行い、送る前に2人で確認する
5	図面・見積書は共有フォルダで渡す。パスワードを付ける場合は別の経路で伝える