フィッシングは怪しいリンクだけではない：カレンダーの招待、QR コード、添付されたメール

あからさまな誤字や奇妙なリンクがなくても、もう一度見直すべきメッセージはあります。カレンダーの招待として届くこともあれば、行き先を QR コードの裏に隠すことも、最初のメールに添付された別のメールを開くよう求めることもあります。

7月23日に公開された Microsoft の 2026年第2四半期のメール脅威レポートは、入れ子になった EML の添付ファイル、カレンダーの招待、Microsoft の認証へのリダイレクトを組み合わせたキャンペーンを取り上げています。実践的な教訓は、個々の手順が見慣れたものに見えても、やり取り全体を通して要求を評価することです。

カレンダーの招待も、誰かからのメッセージであることに変わりはない

カレンダーの予定は、実際に自分で設定した会議の横に表示されるため、メールより公式なものに感じられることがあります。予期しない招待は、未確認の内容として扱ってください。請求書、セキュリティの通知、契約更新に似たタイトルだからといって、誰が送ったかが確かになるわけではありません。

たとえば、契約が今日更新されると主張する招待に、「解約」のための電話番号が書かれていることがあります。招待に書かれた番号に電話する代わりに、いつものアプリか保存したブックマークからサービスを開き、そこでアカウントを確認してください。

必要に応じて、招待の報告や迷惑メールの機能を使ってください。明らかに一方的な要求が本物かどうかを尋ねるためだけに返信するのは避けましょう。予定していた会議に関するものなら、既存の連絡手段で主催者に確認してください。

QR コードが変えるのは経路で、信頼の判断ではない

コードを読み取ると、やり取りがコンピュータからスマートフォンへ移ることがよくあります。この切り替えで、元の差出人と要求を見失いやすくなります。「安全な文書」と書かれたコードも、行き先への経路にすぎません。

仕事のメッセージがサインインのために QR コードを読み取るよう求めてきたら、代わりに仕事のサービスを直接開いてください。予期していたコードでも、アクセスする前にスキャナーが表示する行き先を確認しましょう。見慣れたブランドのページだというだけで、認証情報を入力しないでください。

添付されたメールには、もう一段の説得が仕込まれていることがある

.eml ファイルは標準的なメールのファイルで、メッセージをそのまま転送したり、アーカイブを残したりするのに役立ちます。ただし、拡張子があるからといって中身が信頼できるわけではありません。添付されたメッセージにも、それを届けたメッセージと同じように、リンク、ファイル、主張が含まれていることがあります。

添付ファイルの中のでっち上げのやり取りは、同僚がすでに支払いや文書を承認したかのように見せかけることがあります。その主張は、わかっているアドレスや電話番号を使って、実際の同僚に確かめてください。次の添付に文書があると約束されるたびに、添付の連鎖をたどり続けるのは避けましょう。

メッセージがあなたに求めている行動を確かめる

サインイン、コードの共有、ファイルを開く、送金の前に、次の 4 つの質問で立ち止まってください。

• これは予期していたものか？ 要求を、実際の作業ややり取りと結びつけてください。
• 独立して確かめられるか？ 既存の連絡先を使うか、サービスを直接開いてください。
• 行き先は作業に合っているか？ 見慣れたページのデザインは、持ち主の証明にはなりません。
• なぜ急がせるのか？ 確認をためらわせる期限には、よく注意してください。

支払い先の情報の変更は、以前から確立している経路で確認してください。同じ怪しいメッセージに書かれた番号に電話しても、独立した確認にはなりません。

すでに反応してしまった場合

仕事の認証情報を入力した、予期しないサインインを承認した、怪しいファイルを開いた、といった場合は、すぐに組織のセキュリティチームに連絡してください。何が起きたかを説明し、調査のために元のメッセージを残しておきます。個人のアカウントなら、プロバイダーの公式の復旧ページとセキュリティページに直接アクセスして、アクセス状況を確認してください。

送金してしまった場合は、すぐに銀行や決済事業者の公式の窓口に連絡してください。メッセージと取引の詳細は残しておきます。早く報告するほど、対応する人が手を打てる機会が増えます。

アーカイブにできること、できないこと

保存された原本があれば、後から差出人、タイミング、指示をたどり直す助けになります。MailVault はアーカイブしたメールを標準的な .eml ファイルとして保存し、メッセージを見直せる状態に保ちます。これは記録を残すうえでの利点であり、メッセージが安全であることを保証するものではありません。 このファイル構成の説明は、標準のMaildir形式を対象としています。設定 → ストレージではJMAPストレージも選択でき、元のメッセージのバイト列をJSONレコードとともに保持し、同一メッセージの重複を排除します。

アーカイブしたメールにも、稼働中の受信トレイと同じ確認を行ってください。ローカルのコピーは、正規の領収書と同じくらい忠実に悪意のあるリンクも残します。記録を残し、要求を確かめ、何かおかしいと感じたらプロバイダーや組織の報告手順を使いましょう。

2026年10月1日執筆。プロバイダーの機能や提供状況は変わる可能性があります。設定を変える前に、リンク先の公式の案内を確認してください。