会社のメールが乗っ取られたら、どう動く？

1. 気づいたら、調査より先に利用を止めます

会社のメールが乗っ取られた疑いがあれば、まず対象アカウントの利用を止めます。自分で送っていないメールがある、取引先から「振込先を変えたの？」と電話が来た、知らないログイン通知が届いた。こうした異変があれば、被害の全容が分かるまで待たずに動きます。

創業直後は、社長のメールに請求書も顧客情報も集まりがちです。従業員がいれば「このアドレスからの依頼は電話で確認して」と伝え、一人会社ならメール管理会社への連絡を優先します。操作に使うのは、不審な添付ファイルを開いた端末を避けた、別の信頼できる端末です。

• 不審な送信や通知の画面、気づいた時刻を記録します。
• 管理画面から対象アカウントのログインを停止します。
• 操作できなければ、メールサービスや管理委託先に停止を依頼します。

画面の記録に時間をかけて、停止を遅らせないでください。依頼時には、会社名、対象アドレス、異変の内容、折り返し先の電話番号を伝えます。停止の方法や影響はサービスごとに違うため、分からない操作は窓口に確認します。

利用停止とアカウント削除は別です。 メールや操作履歴は、被害を調べる手がかりになります。慌ててアカウントを削除したり、端末を初期化したりしないでください。

2. パスワード変更だけで復旧を終えません

ログインを止めても、すでに開かれている接続や外部アプリからのアクセスが残る場合があります。管理者には、パスワードの変更と併せて、既存のログイン状態の解除や接続権限の取り消しを依頼します。

小さな会社では、ホームページ制作会社がメールも設定していることがあります。契約書や請求書から管理先を調べ、誰がどの操作を担当するか決めてください。社内に詳しい人がいないまま、複数人で設定を変えると経緯を追いにくくなります。

• パスワードを、ほかで使っていないものに変更します。
• ログイン中の接続と、外部アプリへの許可を確認・解除します。
• 知らない転送先、振り分けルール、代理アクセス権限を確認します。
• 本人確認用の電話番号や予備メールアドレスに変更がないか調べます。

パスワードに加えて別の方法で本人確認する仕組みを、多要素認証と呼びます。未設定なら導入し、設定済みでも知らない認証方法が追加されていないか確認します。同じパスワードを会計ソフトなどで使っていた場合は、そちらも変更が必要です。

不審な添付ファイルを開いた端末はネットワークから切り離し、点検を依頼します。原因が残った端末で新しいパスワードを入力すると、再び盗まれるおそれがあります。

3. 何が起きたかは、送信済み以外も調べます

停止の手配ができたら、管理者と影響を確認します。調べ始める範囲は、異変に気づいた時刻だけでなく、その前のログイン履歴も含めます。最初に見つかった不審な操作からさかのぼり、どこまで記録が残っているか確認してください。

送信済みフォルダが空でも、不正送信がなかったとは判断できません。送信後に消されていたり、別の経路で送られたりする場合があるためです。サービス側の送信記録や操作履歴も、管理者に調べてもらいます。

• いつ、どこから不審なログインや操作があったか確認します。
• 誰に、どの件名・内容のメールが送られたか調べます。
• 請求書、住所録、添付ファイルなどにアクセスされた可能性を調べます。
• メール経由で、ほかのサービスのパスワードが変更されていないか確認します。

調査メモは「確認できた事実」「可能性があること」「まだ分からないこと」に分けます。「顧客情報は漏れていません」と早い段階で言い切ると、後の説明が変わってしまいます。

記録の保存期間や取得方法はサービスによって異なります。管理先には早めに保存を依頼し、自分でも発覚時刻、停止時刻、実施した操作と担当者を一つのメモに残します。

4. 振込先変更のメールが出ていたら電話を優先

金銭被害につながる連絡は、調査の完了を待たずに止めます。 偽の請求書や振込先変更のメールが送られていたら、該当する取引先へ電話します。相手が振込手続きの途中なら、その場で中断を依頼してください。

連絡先は、不審なメールに書かれた番号を使わず、以前からの取引記録で確認します。請求担当者だけでなく、実際に振り込む経理担当者にも伝わったか確かめます。すでに送金していた場合は、送金元の金融機関へ至急連絡してもらい、警察への相談も進めます。

• 不審なメールの送信日時と件名を伝えます。
• 振り込み、リンクの操作、添付ファイルの開封を控えるよう依頼します。
• 開封や送金をしたか確認し、回答を記録します。
• 当面の連絡先と、次に状況を知らせる時期を伝えます。

最初の説明は「当社アドレスから不審なメールが送信されたことを確認しました。現在、利用を停止して調査しています」のように、確認した事実に絞ります。送信をまだ確認できていなければ、「不正利用の疑いを調べています」と伝えます。

乗っ取られたアドレスだけで注意喚起すると、相手が本物か判断しにくくなります。電話や安全を確認した別の連絡手段を使い、メールアドレスを一斉に宛先欄へ並べることも避けてください。

5. 再開は、侵入経路と残った設定を確認してから

仕事が止まると、すぐ元に戻したくなります。それでも、パスワードを変えただけで通常利用に戻すのは避けます。管理者と、残っている接続や転送設定、端末の状態を確認し、原因が未確定なら暫定の連絡手段で業務を続けます。

顧客や従業員の個人情報が含まれていた場合は、関係先への注意喚起とは別に、個人情報保護委員会への報告や本人への通知が必要か確認します。対象や期限は事案によって異なるため、全容が判明するまで待たず、同委員会の相談窓口などに相談してください。

• 再開の判断と、その根拠を管理者と記録します。
• 再開後も、不審なログインや送信が続いていないか確認します。
• 管理窓口と緊急連絡先を、メール以外でも見られる場所に残します。

取引先との振込先変更は、今後も登録済みの電話番号で確認する運用にします。一人会社でも、メールの指示をそのまま振込操作へつなげない手順を決めておけます。

6. 今日やること

発覚中なら最初の項目から着手してください。まだ被害がない会社も、停止を頼める連絡先だけは先に確保しておきます。

• メールの管理者と緊急窓口を調べ、発覚中なら利用停止と接続解除を依頼します。
• 不審な送信と影響を記録し、振込先変更を受け取った取引先へ電話します。
• 多要素認証と復旧用の連絡先を確認し、対応記録をメール以外の場所に保存します。