ツール・DX約13分で読めます

標的型攻撃メール・誤送信の対策｜電気工事会社のメール運用

2026年10月14日

メール経由の事故は、受け取る側の事故（標的型攻撃メール、フィッシング、ビジネスメール詐欺）と、送る側の事故（誤送信、パスワード付きZIPファイルの別送＝PPAP）に分かれます。受け取る側の基本は「リンクを押さない、添付を開かない、少しでも不審ならメール以外の方法で相手に確認する」、送る側の基本は「宛先と添付を送信前に確認し、図面などはアクセス権を設定したクラウドで渡す」です。

電気工事会社は、元請・発注者・協力会社・電材商社と毎日メールでやり取りし、図面や見積、請求書が飛び交います。攻撃者にとっては、取引先になりすましやすい環境です。

受け取る側の事故の種類

IPA（情報処理推進機構）の「企業組織を狙う攻撃メールの手口とその対策」（2026年8月3日）などをもとに整理します。

種類	手口	電気工事会社で想定される例
標的型攻撃メール	標的を定め、業務内容を調べたうえで業務に関係するメールを送り、添付ファイルやリンクでウイルスに感染させる	元請の現場担当を名乗り「図面の修正版です」と添付ファイルを送る
フィッシング	実在の会社やサービスを装い、偽サイトでID・パスワードを入力させる	図面共有サービスや宅配業者を装った「ファイルが届いています」の通知
ビジネスメール詐欺	取引先や社長になりすまし、偽の口座に送金させる	協力会社や電材商社を装った「振込先口座が変わりました」の連絡

IPAの「情報セキュリティ10大脅威 2026」組織編では、「機密情報を狙った標的型攻撃」が5位、「ビジネスメール詐欺」が10位でした。フィッシング対策協議会によると、2026年8月のフィッシングの報告件数は82,338件でした。

振込先変更の依頼に注意

IPAの資料は、ビジネスメール詐欺で使われる典型的な偽メールには支払いに使う送金先口座の変更依頼が書かれていると説明しています。電気工事会社では、協力会社への外注費や電材の仕入れの支払いで、毎月同じ相手に振り込むことが多いため、口座変更の連絡を疑わずに処理しがちです。

振込先の変更は、メールだけで受け付けない
変更の連絡を受けたら、登録済みの電話番号に経理担当から電話して確認する（メールに書かれた番号には掛けない）
送金の承認ルール（誰が確認し、誰が承認するか）を決めておく

IPAも、事前の対策として送金時の承認ルールの整備を挙げています。

差出人の表示は偽装できる

IPAの資料は、メールソフトに表示される差出人は、送信元の組織がSPFやDMARCなどの送信元詐称対策（メールが本当にそのドメインから送られたかを確かめる仕組み）を適切に行っていない場合は偽装が可能だとしています。取引先の正規のドメインに似せた偽ドメインが使われることもあるため、差出人の名前やアドレスが見慣れたものでも過信しないことが大切です。自社のドメインについても、SPF・DKIM・DMARCの設定を保守業者やメールサービスの管理画面で確認しておきましょう。

多要素認証を突破する手口も

IPAは、偽サイトに入力させたID・パスワードとワンタイムパスワードをその場で悪用する「リアルタイムフィッシング」が増えていると注意しています。メールのリンクからログイン画面を開かない習慣が、多要素認証と並んで重要です（多要素認証の記事参照）。

不審なメールが届いたら・開いてしまったら

IPAの資料が挙げる利用者の対応を、事務所に貼れる形にまとめます。

場面	対応
不審なメールが届いた	リンクを押さない／添付を開かない／緊急性をあおるメールに特に注意／メール以外の方法で相手に直接確認／社内の責任者に報告
偽サイトにパスワードを入れてしまった	すぐにパスワードを変更する。同じパスワードを他のサービスで使っていれば、それも変更する
添付ファイルを開いてしまった	パソコンをネットワークから切り離し、管理者に連絡する

報告を受ける側は、受信日時、送信元、リンクや添付の有無、クリック・開封したかどうかを記録する書式を決めておくと、対応が早くなります。

施工計画書や入札書類の作成に、毎回時間を取られていませんか？

施工計画書・入札書類・積算（実行予算/見積）の作成にかかる時間を、PattoAI で大幅に短縮できます。

詳しく見る無料デモで確認する

送る側の事故（誤送信）を防ぐ

総務省は、誤送信の主な原因として宛先の自動補完（オートコンプリート）の選び間違いと、CcとBccの取り違えを挙げ、次の対策を示しています。

自動補完で表示されたアドレスを確かめずに選ばない
To・Cc・Bccを使い分け、他の受信者のアドレスを伏せたいときはBccにする
送信前に宛先と送信欄を確認する
多数の宛先に一斉に送る場合は、専用の同報メールサービスの利用も考える

電気工事会社で特に気をつけたいのは次の場面です。

同じ名字の担当者が複数の元請にいて、別の会社に図面を送ってしまう
協力会社への一斉連絡で、各社のアドレスがCcで丸見えになる
別の現場の作業員名簿や見積書を添付してしまう

送信前の確認に加えて、メールソフトの「送信の取り消し」や「送信前の確認画面」機能を有効にしておくと防ぎやすくなります。

パスワード付きZIPの別送（PPAP）をやめる

PPAP（パスワード付きZIPファイルをメールで送り、パスワードを同じメールの経路で別送する方式）は、2020年11月に当時の平井内閣府特命担当大臣が、内閣府・内閣官房で廃止すると表明しました。会見では、ZIPファイルの送付と同じ経路でパスワードを自動で送る方式は「セキュリティ対策の観点からも、受け取る側の利便性の観点からも、適切なものではない」と述べています。

同じ経路で送ったパスワードは、メールが盗み見られていれば一緒に読まれます。また、JPCERT/CC（日本のセキュリティ事故の調整機関）は、メールで広がるウイルス「Emotet」について、パスワード付きZIPで包んだ添付ファイルで感染させる手口を含めて注意を呼びかけてきました。受け取る側も「パスワード付きZIPだから安全」とは考えないことが大切です。代わりの方法として、相手と範囲を指定し、期限を付けたクラウドの共有リンクで渡す方法があります（クラウドストレージの記事参照）。発注者や元請に指定の受け渡し方法がある場合は、それに従います。

【独自】電気工事会社のメール運用ルール（ひな形）

振込先・請求先の変更は、メールだけで受け付けず、登録済みの電話番号で確認する
「図面の修正」「請求書」「至急」などの添付ファイルは、送り主と内容に心当たりがあるか確かめてから開く
メールのリンクからログインしない。ブックマークや公式アプリから開く
図面・名簿・見積は、相手を指定したクラウドの共有で渡し、パスワード付きZIPの別送はしない
協力会社への一斉連絡はBccか同報サービスを使う
送信前に宛先・Cc/Bcc・添付ファイル名を確認する
不審なメールは削除する前に、決めた担当者に報告する
誤送信に気づいたら、すぐに相手に削除を依頼し、管理者に報告する

まとめ

メール経由の事故は、受け取る側（標的型攻撃メール、フィッシング、ビジネスメール詐欺）と送る側（誤送信、PPAP）に分かれます。取引先とのメールが多い電気工事会社では、振込先変更の依頼を電話で確かめるルールと、図面や名簿をクラウドの共有で渡す運用を先に決めておくことが、被害を防ぐ近道です。

出典・参考

独立行政法人情報処理推進機構（IPA）セキュリティセンター「企業組織を狙う攻撃メールの手口とその対策」（2026年8月3日）https://www.ipa.go.jp/security/support/rcu1hd0000019vmo-att/20260803_1.pdf
IPA「情報セキュリティ10大脅威 2026」（2026年1月29日）https://www.ipa.go.jp/security/10threats/10threats2026.html
フィッシング対策協議会「2026/08 フィッシング報告状況」（2026年9月18日）https://www.antiphishing.jp/report/monthly/202608.html
総務省「国民のためのサイバーセキュリティサイト電子メールの誤送信対策」https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/07/
JPCERT/CC「マルウェアEmotetの感染再拡大に関する注意喚起」https://www.jpcert.or.jp/at/2022/at220006.html
内閣府「平井内閣府特命担当大臣記者会見要旨」（令和2年11月24日）https://www.cao.go.jp/minister/2009_t_hirai/kaiken/20201124kaiken.html