Office 365やMicrosoft 365を名乗るメールで少しでも迷ったら、本文のリンク、添付ファイル、電話番号、QRコードを使わず、新しいブラウザータブからMicrosoft 365またはMicrosoftアカウントの公式ページを直接開いて状況を確認してください。差出人名やロゴがMicrosoftらしいこと、本文に自分の名前があること、送信元アドレスに「microsoft365」が含まれることだけでは本物と判定できません。
フィッシングは、パスワード、確認コード、支払い情報、機密ファイルを入力させることが目的です。「アカウントを本日停止」「容量超過」「不審なログイン」「請求に失敗」と不安をあおり、考える時間を奪います。本当に問題があるかは、メールから離れて正規の管理画面で確認します。
受信直後の判断表
| 現在の状態 | 今すぐ行うこと | 避けること |
|---|---|---|
| まだ何も開いていない | 別タブから公式サイトを確認し、Outlookでフィッシング報告 | リンク、添付、QR、返信、記載番号への電話 |
| リンクを開いたが入力していない | ページを閉じ、ダウンロード有無を確認し、セキュリティスキャン | 警告に従ってアプリを入れる、通知を許可する |
| パスワードを入力した | 端末をスキャンし、公式ページで直ちにパスワード変更、活動確認 | 同じパスワードを使う他サービスの放置 |
| 確認コードを渡した | アカウントを侵害済みとして扱い、IT管理者または公式回復窓口へ連絡 | 相手とのやり取り継続 |
| 添付を実行した | ネットワーク利用を最小限にし、組織ITへ緊急連絡、フルスキャン | 証拠や警告を消して通常業務を続ける |
| 送金・カード入力をした | 金融機関やカード会社の公式窓口へ連絡し、取引を説明 | メール記載の返金窓口へ連絡 |
差出人アドレスだけで判定しない
たとえば [email protected] のように製品名と「secure」を組み合わせたアドレスでも、それだけでMicrosoft公式とは確認できません。表示名の「Microsoft 365」は送信者が自由に設定でき、見えているFromと実際の返信先が違う場合もあります。逆に、組織が使う正規の通知サービスはMicrosoft以外の独自ドメインを使うことがあります。そのため、単純な「公式ドメイン一覧」との一致だけで最終判断しません。
確認するなら、差出人の完全なアドレス、返信先、リンク先の実際のホスト名、メール認証結果、組織で予定されている通知かを組み合わせます。ただし、一般利用者がヘッダーを完全に解析する必要はありません。判断できないメールは開かずに報告し、会社や学校では原本を保ったままIT担当へ転送方法を確認する方が安全です。
見破るための7つの観点
- 予定された通知か：自分がパスワード変更、請求、共有、サインインを行った直後かを考えます。心当たりがなくても、メール内から確認しません。
- 行動を急かしていないか：数時間以内の停止、罰金、データ消失など、確認時間を与えない文章は警戒します。
- 秘密情報を求めていないか：Microsoftのパスワード、MFA確認コード、回復コード、カード情報を返信や電話で求める内容は信用しません。
- リンク先が一致するか：PCではリンクにマウスポインターを置き、表示先を見ます。短縮URL、綴り違い、別ドメインなら開きません。表示が正しく見えても直接アクセスで確認します。
- 添付の目的が自然か：請求書、留守電、共有文書を装ったHTML、圧縮ファイル、実行形式、マクロ付き文書は、期待していなければ開きません。
- 支払い方法が不自然でないか：ギフトカード、暗号資産、個人口座、遠隔操作アプリを使わせる要求は、通常のMicrosoft 365管理とは切り離して疑います。
- 別経路で確認できるか：知人からの共有通知なら、メールへ返信せず、普段のチャットや電話で本人へ確認します。
何もしていない場合の安全な対処
- メールを選択したまま、Outlookの「報告」から「フィッシングを報告」を選びます。利用しているOutlookの版により配置は異なります。
- 会社または学校の手順がある場合は、それを優先します。独自の報告ボタンやセキュリティ窓口が用意されていることがあります。
- Outlook以外のメールクライアントからMicrosoftへ報告する場合、Microsoftの公式案内では、不審メールを新規メールへ「添付」して
[email protected]へ送る方法があります。単純転送ではヘッダー情報が失われるため、添付として扱います。 - 報告後に削除します。同じ件名のメールが複数あるなら、組織ITへ範囲を伝えます。
本物かもしれない請求やセキュリティ通知を確認するときは、保存済みのお気に入りや自分で入力した公式URLからアカウントへサインインします。メールに書かれたサポート番号は使わず、公式サイトで公開されている窓口を探します。
リンクを開いた後の対処
リンクを開いただけで、必ずアカウントが侵害されたとは限りません。ただし、ページがファイルをダウンロードした、ブラウザー通知を許可した、拡張機能やアプリを入れた、サインイン情報を入力したかを確認します。タブを閉じ、ダウンロードした不明なファイルは実行せず、Windows Securityまたは組織指定のセキュリティ製品を最新状態にしてスキャンします。
ブラウザーが「ウイルスを検出」「サポートへ電話」と全画面表示しても、記載先へ電話したり遠隔操作を許可したりしません。タブを閉じられない場合はブラウザーを終了し、再起動後に同じページを復元しないよう注意します。セキュリティ保護を無効にするよう求める指示には従いません。
パスワードや確認コードを入力した場合
- 組織へ連絡する：仕事・学校アカウントなら、時刻、入力した情報、開いた端末、メール件名をIT担当へ直ちに伝えます。自分で証拠を削除しません。
- 端末をスキャンする：Microsoftの個人アカウント回復案内は、マルウェアを除去した後にパスワードを変更する順序を示しています。信頼できる別端末がある場合は、そこから公式ページを開いて緊急のアカウント保護を進めます。
- パスワードを変更する：公式のMicrosoftアカウントまたは組織のパスワード変更ページを直接開きます。同じパスワードを使い回している他サービスも、それぞれ異なる新しいパスワードへ変更します。
- サインイン活動を確認する：個人アカウントはMicrosoftアカウントの「最近のアクティビティ」、仕事・学校アカウントは「マイ サインイン」で、身に覚えのない成功したサインインや変更を確認します。
- セッションを無効にする：個人Microsoftアカウントでは高度なセキュリティオプションの「すべての場所からサインアウト」を利用できます。反映に時間がかかる場合があります。組織アカウントは管理者に全セッションのサインアウトを依頼します。
- MFAを確認する：多要素認証を有効にし、登録済みの認証方法に見覚えのない電話、アプリ、セキュリティキーが追加されていないか確認します。身に覚えのない承認通知は拒否します。
- メール設定を確認する：転送、受信トレイルール、自動応答、接続済みアプリなど、攻撃者が残しやすい設定を確認します。組織では管理者の監査を受けます。
平常時にできる予防
- Microsoft 365と他サービスでパスワードを使い回さない
- MFAを有効にし、認証アプリやセキュリティキーなど組織が認める方法を使う
- 確認コードを、サポート担当者を名乗る相手にも伝えない
- Windows、Edge、Outlook、セキュリティ製品を更新する
- 管理画面はお気に入りへ登録し、メールのリンクを入口にしない
- 会社では不審メールの報告先と緊急連絡先を事前に確認する
- 支払い・パスワード変更・MFA変更は、別の担当者または別経路で確認する
検証と復旧の完了条件
未クリックなら、正規の管理画面に問題がないことを確認し、不審メールを報告・削除できれば対応完了です。認証情報を入力した場合は、端末スキャン、パスワード変更、MFA確認、不審セッションの無効化、サインイン履歴とメール設定の確認まで行います。金融情報を渡した場合は、Microsoft側の対応だけでなく金融機関の公式窓口への連絡も必要です。
フィッシング操作に「元へ戻す」ボタンはありません。早く事実を記録し、正規の窓口で資格情報とセッションを無効化することが復旧になります。誤って正常メールを報告した可能性がある場合も、内容を再度開く前にIT担当または送信元へ別経路で確認してください。
公式情報
- Microsoft Support：Protect yourself from phishing
- Microsoft Support：Phishing and suspicious behavior in Outlook
- Microsoft Support：Recent Microsoft account activity
- Microsoft Support：Sign out everywhere
- Microsoft Support：Recover a compromised Microsoft account
- Microsoft Support：View work or school sign-in activity
コメント