CEOなりすましメールを受信トレイに届く前に止めた方法

社員をLINEグループへ誘導しようとする偽CEOメールが届きました。現在はMicrosoft 365の2つのメールフロールールで配信前に隔離しています。

LOGIQの社員宛てに、当社CEOになりすましたメールが送られてくる事案が発生しました。2026年11月12日、Microsoft 365にメールフロールールを設定し、こうしたメールは誰の受信トレイにも届く前に隔離されるようになりました。ここでは、何が起きたのか、どのような対策を設定したのか、そして他社でも取り入れられるポイントをご紹介します。

何が起きたのか

メールはLOGIQ外部のアドレスから送られていました。送信者の表示名には当社CEOの名前が使われており、一見すると本人からのメールに見えるものでした。要求は毎回同じで、メッセージアプリのLINEでグループを作成し、そのQRコードまたは招待リンクを返信するよう求めるものでした。

メール自体では、金銭やパスワードは一切要求されていません。そこがこの手口の巧妙な点です。メールの役割は、当社のメールセキュリティがやり取りを把握できないチャネルへ相手を誘導することだけです。本当の要求(多くの場合、送金、ギフトカードの購入、機密ファイルの送付)は、その後に来ます。

この詐欺が成功しやすい理由

この手口は、多くの人が持っている3つの習慣を突いています。

• アドレスではなく名前を見てしまう。多くのメールアプリは表示名を先に表示し、実際のアドレスは目立ちません。無料のメールアカウントであれば、誰でも好きな表示名を設定できます。
• 上司の指示には応じてしまう。CEOからの短く、やや急ぎの連絡には、疑問を挟みにくいものです。
• 最初の依頼が無害に見える。チャットグループを作るくらい、何でもないように感じます。しかし、会話が会社のメールから離れた瞬間、フィルターやログ、同僚の目はもう届きません。

設定した対策

Microsoft 365に2つのメールフロールール(トランスポートルールとも呼ばれます)を追加しました。これらはメッセージが受信トレイに届く前にサーバー側で動作するため、社員一人ひとりが詐欺を見抜く必要はありません。

ルール	検知する対象	処理内容
表示名によるなりすまし	LOGIQ外部から届き、送信者の表示名が当社経営陣を装っているメール(ローマ字表記・日本語表記の両方)	隔離し、検知のたびに経営陣へ報告
別チャネルへの誘導	LOGIQ外部から届き、LINEグループのQRコードや招待リンクを求めるなど、やり取りをチャットアプリへ移そうとするメール	隔離

1つ目のルールの考え方はシンプルです。当社の経営陣が指示を出すのは @logiqlinux.com のアドレスからだけです。したがって、外部のメールでCEOの名前が使われていれば、それは定義上なりすましであり、配信する理由はありません。

隔離されたメッセージは30日間保管されます。正規のメッセージが誤って隔離された場合でも、管理者が解放できます。

人による防御

フィルターはほとんどの攻撃を防ぎますが、すべてではありません。そのため、ルールとあわせて、LOGIQの全員が知っている明確な方針を定めています。

• 経営陣からの指示は社内のチャネルを通じてのみ行われ、外部のメールアドレスから届くことはありません。
• LOGIQが業務のやり取りを個人のチャットグループへ移すよう求めることはありません。
• 不審なメッセージが届いても、その指示には従わないでください。報告していただければ、ルールをさらに強化します。

このような方針があれば、社員の判断は簡単になります。メッセージが本物「らしく感じるか」を見極める必要はありません。ルールに反していれば、それは偽物です。

他社でもできること

この対策は半日ほどで設定できます。おすすめは次のとおりです。

1. 経営陣の名前を使った外部メールを隔離する。Microsoft 365で、送信者が組織外であり、かつ差出人の表示名に経営陣の名前が含まれる場合に適用するメールフロールールを作成します。社員が見て経営陣だと認識しうる、あらゆる表記や文字体系を含めてください。
2. メール以外への誘導を隔離する。チャットグループへの招待、QRコード、個人のメッセージアカウントを求める表現に一致させ、対象は外部の送信者に限定します。
3. 削除ではなく隔離にする。誤って検知したメッセージを解放でき、証拠も残せます。
4. 検知のたびに、対応する担当者へ通知する。検知件数の急増は、自社が標的にされている早期の警告サインです。
5. 経営陣の実際の連絡方法を明文化する。「指示は会社のアドレスから、社内のチャネルを通じてのみ届く」という一文があるだけで、社員はシンプルに判断できます。
6. 標準の保護機能も有効にする。外部送信者には警告タグを表示し、ライセンスに含まれている場合はフィッシング対策ポリシーのなりすまし保護を有効にしてください。
7. 例外は最小限にし、非公開にする。除外した送信者はすべて抜け穴になります。リストは定期的に見直し、決して公開しないでください。

まとめ

CEOなりすましにハッキングは必要ありません。もっともらしい表示名と、会話を別の場所へ移す口実さえあれば成立します。サーバー側のルールはその判断をメールを読む人から取り除き、ルールで防ぎきれないものは明確な方針がカバーします。

メールフロールールの設定やメールセキュリティの見直しについてサポートが必要ですか?LOGIQチームにお問い合わせください。

Photo: Anete Lusina / Pexels