スピアフィッシングとは？ターゲットを絞った標的型メール攻撃の手口・見分け方・対策を解説

「うちの会社には関係ない」と思っていた矢先、取引先を名乗るメールでランサムウェアに感染した——そんな被害が中小企業でも急増しています。

その背景にあるのがスピアフィッシング（Spear Phishing）です。一般的なフィッシング詐欺と違い、特定の個人・組織をターゲットに絞り込んだ精巧な偽装メールを送りつける手口で、見破るのが格段に難しいのが特徴です。

この記事では、スピアフィッシングの仕組み・よくある攻撃手口・メール1通から侵害に至るプロセスを攻撃者視点で整理したうえで、情シス1人体制でも今日から実践できる対策を解説します。

スピアフィッシングとは？

スピアフィッシングとは、特定の人物・組織・部署を狙い澄ました標的型のフィッシング攻撃です。「スピア（槍）」という名が示すとおり、不特定多数に網を張る通常のフィッシングとは異なり、一点突破で標的を狙います。

攻撃者はSNS・LinkedIn・企業の公式サイト・過去の漏洩情報などを使って標的の情報を収集し、それをメール本文に織り込みます。

・氏名・役職・部署名
・取引先・上司の名前
・使用しているサービス（業務ツール・銀行）
・最近のプロジェクトや会議名

受信者が「本物だ」と信じるよう精巧に作り込まれているため、セキュリティ意識の高い担当者でも騙されることがあります。

一般的なフィッシングとの違い

攻撃の仕組み（敵を知る）

スピアフィッシング攻撃は大きく3つのフェーズに分かれます。防御側がこの流れを理解しておくことが、対策の第一歩です。

フェーズ1：偵察（OSINT）

攻撃者はまず、標的に関する情報をオープンソースから収集します（OSINTと呼ばれます）。

・LinkedIn・X（旧Twitter）: 氏名・役職・社内プロジェクトの情報収集
・企業の採用ページ・プレスリリース: 使用ツール・取引先・担当部署の把握
・過去の情報漏洩データベース: 流出したパスワード・メールアドレスの悪用
・WHOIS・DNS情報: ドメイン管理者や技術担当者の特定

このフェーズで収集された情報は、後続の偽装メールをより「本物らしく」するために使われます。

フェーズ2：偽装メールの送信

収集した情報をもとに、受信者が違和感を覚えにくいメールを作成します。よく使われる偽装パターンを知っておくだけで、現場での気づきが大きく変わります。

・上司・役員を名乗る「緊急送金依頼」（BEC：ビジネスメール詐欺と組み合わせることも）
・取引先や仕入先を装った「請求書変更の通知」
・ITサポートを装った「パスワードリセットのお願い」
・採用担当者を装った「履歴書のPDF添付」（マルウェア入りファイル）
・共有クラウドストレージの「ファイル共有通知」（偽装OneDrive・Googleドライブリンク）

メールの差出人アドレスは、本物のドメインに似たタイポスクワッティングドメイン（例: examp1e.com）や、正規のメールアカウントが侵害された「なりすまし」が使われることがあります。

フェーズ3：侵害の実行

受信者がリンクをクリックしたり添付ファイルを開いたりすると、次のいずれかが発生します。

・認証情報の窃取: 偽のログインページに誘導し、ID・パスワードを入力させる
・マルウェアの実行: 添付ファイル（PDF・Office文書・ISOイメージなど）経由でRATやランサムウェアを展開
・中間者攻撃（AiTM）: 正規サイトとの通信に割り込み、MFAコードも含めてセッションを乗っ取る

最近ではMicrosoft 365のOAuthトークンを盗む「AiTMフィッシング」が増えており、SMSやアプリのワンタイムパスワードを突破した侵害が報告されています。

具体的な防御手順

1. 不審メールの見分け方（受信者教育の基本）

全従業員が身につけておくべき確認ポイントです。チェックリストとして印刷・配布するだけでも、初段階の被害を大幅に防げます。

・送信元アドレスをドメインレベルで確認する: 表示名が正しくても、@ 以降のドメインが本物かを確認
・リンク先URLをクリック前に確認する: マウスオーバーで表示されるURLが正規ドメインかチェック
・緊急性・秘密主義を要求するメールは疑う: 「急いで」「他の人には言わないで」は詐欺の典型的な手口
・添付ファイルの拡張子を確認する: .exe・.iso・.lnk などの実行可能ファイルは原則開かない
・電話で折り返し確認する: 金銭・アカウント変更の依頼は、既知の電話番号で本人確認を取る

2. SPF・DKIM・DMARCで送信元を検証する

なりすましメールの多くは、メール認証技術で検知できます。自社ドメインに正しく設定することで、攻撃者がそのドメインを使ったメールを送りにくくなります。

# SPF レコードの確認（自社ドメインに設定済みかチェック）
dig TXT example.com | grep spf

# DMARC レコードの確認
dig TXT _dmarc.example.com

# DKIM セレクターの確認（mail はセレクター名の例）
dig TXT mail._domainkey.example.com

DMARC の p=reject まで設定できれば、自社ドメインを騙ったメールは相手の受信サーバーで拒否されます。まずは p=none（監視モード）から始め、レポートを確認しながら段階的に厳格化するのが安全です。

SPF・DKIM・DMARCの詳細な設定手順は、姉妹記事「中小企業のメールセキュリティ対策｜SPF・DKIM・DMARCの設定と運用ガイド」で解説しています。

3. フィッシング耐性のある多要素認証（MFA）を導入する

認証情報が窃取されても、MFAがあれば即座にアカウントを乗っ取られるリスクを大幅に下げられます。ただし、SMSやメールによる認証コードはAiTM攻撃で突破される可能性があるため、より強固な方式への移行を検討しましょう。

・FIDO2/パスキー（最も安全）: ハードウェアキーやデバイス認証を使い、フィッシングそのものを無効化する
・認証アプリ（TOTP）: Google Authenticator・Microsoft Authenticatorなど。SMS認証より安全
・条件付きアクセス: Microsoft 365・Google Workspaceで、登録デバイス以外からのログインを制限する

パスキー（FIDO2）の仕組みについては、姉妹記事「パスキー（Passkey）とは？FIDO2の仕組みとパスワードレス認証を現場目線で解説」も参考にしてください。

中小企業でも今日からできること

セキュリティ予算が限られている環境でも、次の対策は無料または低コストで実施できます。優先度の高い順から着手してください。

・DMARC「p=quarantine」設定: 認証失敗メールを隔離するだけで、ドメインなりすましを大幅に抑制（DNS設定のみ・無料）
・既存ライセンスのフィッシング対策機能を有効化: Microsoft 365 Defender・Google Workspaceに組み込みのフィッシングフィルターを確認する
・全従業員向けの「1枚物チェックリスト」配布: 不審メールの見分け方を社内で共有するだけでも意識が変わる
・管理者アカウントのMFA徹底: まず特権アカウントを最優先でパスキーまたはFIDO2キーに切り替える
・フィッシング訓練メールの実施: 無料ツール（GoPhish等）を使った疑似訓練でクリック率を測定し、教育の効果を数値化する

よくある誤解と注意点

スピアフィッシング対策で陥りやすい思い込みをまとめました。

・「URLがHTTPSだから安全」は間違い: 攻撃者も無料SSL証明書を取得できるため、HTTPSは通信の暗号化を示すものにすぎず、サイトの正当性を保証しない
・「社内アドレスからのメールだから本物」は間違い: アカウントが侵害されていれば、正規の社内アドレスから攻撃メールが届くことがある
・「自分には関係ない」は油断のもと: 攻撃者は経営者・経理・人事・IT担当者など、権限や情報を持つ人物を優先的に狙う
・「MFAがあれば完璧」は過信: SMSやTOTPはAiTM攻撃で突破されるケースがあるため、FIDO2への移行が理想的
・「訓練一回で十分」は誤解: フィッシング訓練は定期的に実施することで効果が持続する。年1回では記憶が薄れる

本記事のまとめ

スピアフィッシングは技術的な脆弱性を突くのではなく、人間の信頼・判断を悪用する攻撃です。どれだけシステムを堅牢にしても、メールを開くのは人間である以上、技術的対策と教育の両輪が欠かせません。

まず今日できることとして、自社ドメインのDMARCポリシーを確認し、管理者アカウントのMFAがSMSより強固な方式になっているかを点検してみましょう。