標的型攻撃メール・誤送信対策｜建設会社の見分け方とPPAP

標的型攻撃メールやフィッシングメールは、「差出人・件名・本文・添付ファイル・リンク先」の5か所に不自然な点がないかで見分け、少しでも迷ったらメール以外の手段で相手に確かめるのが基本です。 誤送信は個人の注意だけでは防げないため、送信前の確認や受け渡し方法を仕組みで決めます。パスワード付きZIPファイルを送り、同じメールの経路でパスワードを送る方式（PPAP）は、政府も2020年に内閣府・内閣官房での廃止を表明しており、共有の仕組みを使った受け渡しに切り替える流れにあります。

元請の建設会社には、協力会社からの請求書、設計事務所からの変更図、発注者からの指示、資材業者からの納期連絡と、毎日たくさんの添付ファイルつきのメールが届きます。攻撃者から見れば、「図面を開いてください」「請求書をご確認ください」が自然に通る相手です。この記事では、建設会社のメール事故を3つに分けて、見分け方と仕組みの両面から対策を整理します。

建設会社のメール事故は3種類

種類	起きること	建設会社での典型
標的型攻撃メール・フィッシングメール	添付ファイルやリンクからウイルスに感染する、偽のログイン画面でIDとパスワードを盗まれる	「修正図面の送付」「注文書の送付」を装った添付ファイル、クラウドストレージのログイン画面を装ったリンク
ビジネスメール詐欺	取引先や経営者になりすまし、攻撃者の口座に送金させる	協力会社を装った「振込先口座変更のお願い」、社長を装った至急の送金指示
誤送信	宛先や添付を間違え、情報を関係のない相手に送る	作業員名簿を別の協力会社へ、見積を競合する会社へ、近隣住民への一斉連絡で宛先が全員に見える

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」でも、組織向けに「機密情報を狙った標的型攻撃」が5位、「ビジネスメール詐欺」が10位に入っています。なお警察庁は、ランサムウェアについては近年、インターネットに露出した機器から侵入する手口が多くを占め、標的型攻撃メールの添付ファイルによる感染は少なくなっていると説明しています。メール対策だけでランサムウェアを防げるわけではない点にも注意してください。

見分け方：5か所の着眼点

見る場所	怪しいサインの例
差出人	表示名は取引先なのに、メールアドレスのドメイン（@の後ろ）が違う。フリーメールから届いている
件名	「至急」「本日中」など急がせる。過去のメールへの返信の形だが、その話題に心当たりがない
本文	いつもと言い回しや署名が違う。添付を開くこと、リンクを押すこと、ログインすることを強く求める
添付ファイル	心当たりのない圧縮ファイル、マクロ（自動で動く命令）の有効化を求める文書、拡張子が二重になっているファイル
リンク先	表示された文字と実際の行き先が違う。クラウドストレージやメールのログイン画面に誘導される

IPAは、Emotet（エモテット、メールを入口に感染を広げるウイルス）への感染を狙う攻撃の中には、正規のメールへの返信を装う手口があり、過去にメールのやり取りをしたことのある実在の相手の氏名、メールアドレス、メールの内容などの一部が流用されたと説明しています。いつもの協力会社からの返信に見えても、それだけでは安心できません。身に覚えのないメールであれば、添付ファイルを開いたり、本文中のリンクをクリックしたりしないことが基本です。

IPAの「情報セキュリティ6か条」も、取引先や関係者を装ってウイルスつきのメールを送ったり、正規のウェブサイトに似せた偽サイトでIDとパスワードを盗もうとしたりする手口が増えているとして、手口を知って対策を取るよう求めています。

ビジネスメール詐欺：「メール以外で確かめる」をルールにする

IPAは、ビジネスメール詐欺の典型として、取引先との請求のやり取りに攻撃者が入り込み、攻撃者の口座に差し替えた偽の請求書を送りつけるパターンと、経営者や役員になりすまして従業員に送金させるパターンを挙げています。対策として、急な振込先や決済手段の変更があった場合は取引先にメール以外の方法で確認すること、電信送金に関する社内規程とチェック体制を整えること、メールシステムでの多要素認証やアクセス制限を検討することを示しています。

元請の経理に当てはめると、次の3つのルールになります。

1. 協力会社・資材業者からの振込先変更は、メールだけでは受け付けない。登録済みの電話番号に折り返して確かめる（メールに書かれた番号にはかけない）
2. 振込先の変更は、受けた人と別の人が確認してから登録する
3. 社長や役員からのメールによる至急の送金指示は、口頭で確かめてから実行する

メールのアカウント自体の守りは二段階認証・多要素認証とはで解説しています。

誤送信を仕組みで防ぐ

IPAの「5分でできる！情報セキュリティ自社診断」には、電子メールやFAXの宛先の送信ミスを防ぐ取り組みをしているか、重要情報の受け渡しは暗号化など安全な手段で行っているか、という項目があります。誤送信は「気をつける」だけでは減らないので、次のような仕組みを選んで組み合わせます。

仕組み	防げる誤送信
送信前に宛先と添付の確認画面を出す、または送信を数分遅らせる	宛先の選び間違い、添付の付け間違い
複数の社外の相手への一斉送信はBCCを使う、または一斉送信の仕組みを使う	近隣住民や協力会社どうしのアドレスが見えてしまう
作業員名簿・見積・契約書はメールに添付しない。決めた共有の仕組みで受け渡す	名簿や見積の誤送信そのもの
宛先の自動補完に頼らず、取引先のアドレス帳を整理する	社名が似た別の会社に送る

建設会社で被害が大きいのは、作業員名簿と協力会社の見積の誤送信です。名簿には個人情報が、見積には他社の営業上の情報が含まれます。漏れたときの報告の考え方は情報漏洩の原因と対策で整理しています。

PPAPをやめた後の受け渡し方

2020年11月24日の記者会見で、平井内閣府特命担当大臣（当時）は、内閣府・内閣官房で採用していた、ZIPファイルの送付と同じ経路でパスワードを自動で送る方式について、セキュリティ対策の観点からも受け取る側の利便性の観点からも適切なものではないとして、11月26日に廃止すると表明しました。同じ経路で送れば、ファイルとパスワードを一度に盗み見られるおそれがあるからです。

建設会社で図面や名簿を送るときは、次の順で考えます。

1. 会社が管理する共有の仕組みを使う: クラウドストレージや施工管理アプリで、相手ごとに権限を付けて共有し、期限が来たら止める。誰がいつ取得したかの記録も残せる
2. どうしても添付するなら別の経路でパスワードを伝える: 会見でも、ファイルにパスワードをかけるとともに、まったく別の経路でパスワードを知らせることがまずは適切な対応だったとしています。電話や、事前に決めた別の手段で伝えます
3. 送らずに済ませる: 打合せで見せるだけでよい資料は、画面共有などで済ませる

共有の仕組みを使うなら、竣工後に協力会社の共有を止める手順もセットにしてください（パスワード管理のルール参照）。

【チェックリスト】メール事故を減らすための社内ルール

ルール	担当の例
身に覚えのない添付ファイルとリンクは開かず、情報システム担当に転送して相談する	全員
業務で使わない形式の添付ファイルは受信しない設定にする。文書のマクロは不要なら無効にする	情報システム担当
振込先の変更はメール以外の方法で確かめ、別の人が確認してから登録する	経理
作業員名簿・見積・契約書はメールに添付せず、決めた共有の仕組みで受け渡す	現場代理人、積算・購買担当
社外への一斉送信はBCCか一斉送信の仕組みを使う	全員
怪しいメールの事例を朝礼や社内の連絡で共有する	情報システム担当

2つ目の項目は、IPAがEmotet対策として組織向けに挙げている、用途のない添付ファイル形式の拒否と、不要なマクロの無効化にあたります。

よくある質問

Q. いつもの協力会社から届いたメールでも疑うべきですか。 A. 添付を開くこと、ログインすること、振込先を変えることを求められたときは、確かめる価値があります。IPAは、過去に実際にやり取りした相手の氏名やメールの内容を流用した返信型の攻撃メールがあると説明しています。

Q. パスワード付きZIPは、もう使ってはいけないのですか。 A. 法律で禁止されているわけではありません。ただ、同じ経路でパスワードを送る方式は、政府も適切ではないとして2020年に内閣府・内閣官房で廃止しています。会社が管理する共有の仕組みに切り替えるのが望ましく、どうしても使う場合はパスワードを別の経路で伝えます。

Q. 怪しいメールの添付ファイルを開いてしまいました。どうすればよいですか。 A. その端末をネットワークから切り離し、操作を続けずに、すぐ情報システム担当に連絡してください。ウイルスに感染した疑いがある場合の初動はランサムウェア対策と感染したらで整理しています。

まとめ

建設会社のメール事故は、取引先を装う攻撃メール、振込先を変えさせる詐欺、名簿や見積の誤送信の3つが中心です。見分け方を全員で共有し、振込先の変更はメール以外で確かめ、重要な書類は添付せずに共有の仕組みで受け渡す。人の注意と仕組みの両方で、取引の多い元請ならではの入口を守ってください。

出典・参考

• IPA（情報処理推進機構）「Emotet（エモテット）」: https://www.ipa.go.jp/security/emotet/index.html
• IPA「Emotetの対策」: https://www.ipa.go.jp/security/emotet/measures.html
• IPA「ビジネスメール詐欺のパターンとは」: https://www.ipa.go.jp/security/bec/bec_pattern.html
• IPA「ビジネスメール詐欺の対策について知る」: https://www.ipa.go.jp/security/bec/bec_measures.html
• IPA「情報セキュリティ10大脅威 2026」（2026年1月29日）: https://www.ipa.go.jp/security/10threats/10threats2026.html
• IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年3月27日）情報セキュリティ6か条、付録「5分でできる！情報セキュリティ自社診断」: https://www.ipa.go.jp/security/guide/sme/about.html
• 内閣府「平井内閣府特命担当大臣記者会見要旨 令和2年11月24日」: https://www.cao.go.jp/minister/2009_t_hirai/kaiken/20201124kaiken.html
• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」: https://www.npa.go.jp/publications/statistics/cybersecurity/index.html

※ 2026年10月14日時点で各資料を確認しています。