「怪しいメールを開いてしまった」「リンクを押してしまった」
従業員からこうした報告を受けたとき、最初に確認したいのは、どこまで操作したかです。
メール本文を表示しただけなのか、URLをクリックしたのか、ID・パスワードを入力したのか、添付ファイルを開いたのかによって、取るべき初動は変わります。
自社にインシデント対応や不審メール報告のルールがある場合は、必ずその手順を優先してください。
この記事では、初心者IT担当が最初の状況確認と報告を進めるための基本的な考え方を整理します。
最初に「どこまで操作したか」を確認する
「不審メールを開いた」という一言だけでは、状況を判断できません。
まず本人に、次のどこまで操作したかを確認します。
- メール本文を表示しただけ
- 本文中のURL・リンクをクリックした
- リンク先でID・パスワードなどを入力した
- 添付ファイルを開いた・実行した
複数に該当する場合は、もっとも進んだ操作だけを見るのではなく、何をしたかを順番に確認します。
たとえば「リンクをクリックしたあと、ログイン画面でパスワードを入力した」なら、URLクリックだけではなく、認証情報を入力したケースとして対応が必要です。
重要なのは、「不審メールを開いたら必ずPCを再起動する」といった一律の対応をしないことです。
状況を確認し、社内ルールに沿って必要な初動を選びます。
メールを開いただけの場合
メール本文を表示しただけで、URLをクリックしておらず、添付ファイルも開いておらず、情報も入力していない場合は、その事実を確認して記録します。
この段階では、URLをクリックした場合や添付ファイルを開いた場合と同じ対応を機械的に行う必要はありません。
ただし、「本当に表示しただけか」は本人と一緒に確認してください。
- URLや画像をクリックしていないか
- 添付ファイルを開いていないか
- 返信していないか
- 何らかの警告や不自然な画面が表示されなかったか
問題が見つからなければ、社内の報告ルールに従って記録・報告し、管理者から追加指示があれば対応します。
URLをクリックした場合
本文中のURLをクリックした場合は、まずクリックしたあとに何をしたかを確認します。
確認したいのは次の点です。
- 表示されたサイトでID・パスワードなどを入力したか
- ファイルがダウンロードされなかったか
- アプリやソフトをインストールしなかったか
- 「許可」「実行」「有効化」などの操作をしなかったか
- 不審な警告や普段と違う画面が表示されなかったか
URLをクリックしただけで、情報入力やファイルの実行をしていない場合でも、自己判断で「問題なし」と終了せず、アクセスした時刻やURL、表示された内容を記録して社内担当へ報告します。
ファイルがダウンロードされていても、確認のために開いたり実行したりしないでください。
端末のフルスキャンなど追加の確認が必要かどうかは、社内の手順や管理者の判断に従います。
ID・パスワードなどを入力した場合
フィッシングサイトなどでID・パスワードを入力してしまった場合は、認証情報が第三者に渡った可能性を考えて速やかに対応します。
まず管理者へ報告する
何のアカウントで、どの情報を入力したのかをすぐに管理者へ伝えます。
報告を遅らせないことが重要です。
パスワードを速やかに変更する
該当アカウントのパスワードを変更します。
同じパスワードをほかのサービスでも使っている場合は、それらのパスワードも変更します。
多要素認証の確認コードやワンタイムパスワードまで入力した場合も、その事実を必ず管理者へ伝えてください。
管理者側でアカウントの状況を確認する
利用しているサービスで確認できる場合は、管理者側で不審なサインイン履歴などを確認します。
その後のアカウント保護は、利用しているサービスの機能と社内の対応手順に従って進めます。
添付ファイルを開いた・実行した場合
不審メールの添付ファイルを開いた場合は、マルウェア感染の可能性を考えて対応します。
PCをネットワークから切断する
有線LANならLANケーブルを抜き、Wi-Fiなら接続を切るなど、PCをネットワークから切り離します。
感染していた場合に、外部との通信や社内ネットワークへの影響が広がる可能性を抑えるためです。
すぐに管理者へ報告する
次に、社内のシステム管理者やセキュリティ担当者へ連絡します。
利用者自身でさまざまな設定変更や駆除、初期化を進めるのではなく、その後の操作は社内手順や管理者の指示に従います。
管理者側では状況に応じて、端末のスキャン、不正通信の確認、影響範囲の調査などを行います。
IT担当が利用者から確認・記録する情報
不審メールの報告を受けたIT担当は、対応と並行して状況を記録します。
最低限、次の情報を確認しておくと、その後の調査や管理者への引き継ぎがしやすくなります。
- メールを受信した日時
- 送信元の表示名・メールアドレス
- 件名
- URLリンクの有無
- 添付ファイルの有無とファイル名
- URLをクリックしたか
- 添付ファイルを開いたか
- ID・パスワードなどを入力したか
- 操作したおおよその時刻
- 使用した端末
メールそのものが調査に必要になる場合もあるため、利用者の判断ですぐに削除せず、社内担当者の指示に従って扱います。
重要なのは、「たぶん大丈夫」「ウイルスだと思う」といった推測ではなく、何をしたか、何が起きたかを事実として記録することです。
IT担当側で追加して確認すること
利用者から状況を聞き取ったら、そのメールが1人だけに届いているのか、社内で広く届いているのかも確認します。
同じ不審メールが複数人に届いている場合は、ほかの利用者がURLや添付ファイルを開かないよう、社内への注意喚起を検討します。
また、組織の仕組みや権限に応じて、メールフィルタリングやURLフィルタリングの追加、セキュリティ製品の検知状況、不審な通信の有無などを確認します。
不審な通信を制御する仕組みについては「ファイアウォールとは？」も参考にしてください。
取引先への影響や情報漏えいなど被害拡大の可能性がある場合は、担当者だけで抱え込まず、社内のセキュリティ責任者などへ速やかにエスカレーションします。
不審メールを受け取っただけの場合
不審だと気づき、まだURLや添付ファイルを開いていない場合は、被害につながる操作をしないことが最優先です。
- 本文中のURLをクリックしない
- 添付ファイルを開かない
- メールに記載された電話番号へ連絡しない
- 不審なメールへ返信しない
- 必要ならメール以外の方法で送信元本人へ確認する
- 社内の報告先へ連絡する
「取引先の名前だから安全」「社長からだから本物」と、表示名だけで判断しないようにします。
社内の報告ルールとして決めておくこと
不審メール対応を毎回その場の判断にすると、報告が遅れたり対応がばらついたりします。
少なくとも次の項目は、社内ルールとして決めておくと対応しやすくなります。
- 誰に報告するか
- 電話・チャット・専用フォームなど、どの手段で報告するか
- 報告時に伝える項目
- URLをクリックした場合の初動
- 添付ファイルを開いた場合の初動
- パスワードを入力した場合の初動
- 管理者へエスカレーションする基準
「怪しいと思ったら相談してよい」というルールを明確にしておくことも重要です。
利用者が報告をためらう状態では、初動が遅れる可能性があります。
不審メール対応だけでなく、IT担当になった直後に確認しておきたい業務全体については「突然IT担当になったら最初にやること」でも整理しています。
まとめ
不審メールへの対応では、まずどこまで操作したかを確認します。
- メールを表示しただけ
- URLをクリックした
- ID・パスワードなどを入力した
- 添付ファイルを開いた・実行した
この違いによって必要な初動は変わります。
特に、認証情報を入力した場合は速やかなパスワード変更と管理者への報告、不審な添付ファイルを開いた場合はネットワークからの切断と管理者への連絡が重要です。
初心者IT担当がすべての原因をその場で特定する必要はありません。
まずは**「何をしたかを確認する → 必要な初動を行う → 事実を記録して管理者へつなぐ」**という流れを徹底することが、被害を広げないための基本です。
参考：IPA「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）