Moshiru
記事一覧無料スキャン

セキュリティの手引き

乗っ取られた会社のメールから取引先に不審メールが送られたら｜連絡の順番と例文

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑 悠太

結論：まずアカウントを止めてから、取引先に知らせます。止める前に知らせても、同じアカウントから偽メールが続きます。連絡は①振込や請求の話をしている相手に電話 ②送られた相手に個別のお知らせ ③必要なら全体へのお知らせの順です。一斉に送るときはBCCを使います。

連絡の順番
  1. 1止めるアカウントを取り戻す
  2. 2洗い出す誰に何が送られたか
  3. 3電話振込の話をしている相手
  4. 4お知らせ送られた相手に個別に

本当に乗っ取りか、名前をかたられただけか

「御社から変なメールが来た」と言われても、自社のアカウントが乗っ取られたとは限りません。外から自社の名前やアドレスを偽って送られただけのこともあります。対応が変わるので、最初に見分けます。

最初に見分ける
自社の送信記録に、そのメールがある？
ある乗っ取り。止めてから連絡
ない偽装の疑い。それでも注意喚起

送信済みフォルダは、乗っ取った側に消されていることがあります。管理者が送信の記録で確かめます。Microsoft 365は「メッセージ追跡」、Google Workspaceは管理コンソールの「レポート」→「メールログ検索」です。メールの本文までは見られませんが、送り先と日時は分かります。

送信の記録を見る場所

Microsoft 365

  • 1Exchange 管理センター
  • 1メッセージ追跡

Google

  • 2管理コンソール
  • 2メールログ検索

アカウントを止める手順は、Microsoft 365の場合とGmailを含めた場合にまとめています。

知らせる順番

送り先の一覧ができたら、急ぐ相手から知らせます。いちばん急ぐのは、請求や振込先の話をしている相手です。乗っ取ったメールで偽の振込先を送る手口があるためです。

急ぐ順
1振込の話をしている相手電話ですぐ
2不審メールが届いた相手個別にお知らせ
3それ以外の取引先必要ならまとめて
相手にお願いすること
  • 届いたメールの添付やリンクを開かない
  • 振込先の変更には応じない
  • 届いたメールは消さずに保存
  • 開いてしまったら知らせてほしい

多くの相手にまとめて送るときは、宛先をBCCにして、相手どうしのアドレスが見えないようにします。お詫びのメールで新しい事故を起こさないためです。BCCを間違えたときの対応は誤送信の手引きにあります。

まとめて送るとき

やらない

  • ×全員をTOかCCに入れる

やる

  • ○宛先はBCC
  • ○送る前に2人で見る

例文（電話・メール・Webのお知らせ）

分かっていないことを、分かったように書かないのが大事です。実態と違う内容をそのまま写さず、日付や範囲は自社の事実に直してください。

（電話で）
△△株式会社の□□です。いつもお世話になっております。
弊社のメールアカウントが第三者に不正に使われ、
弊社の名前で不審なメールが送られたことが分かりました。
御社にも届いているおそれがあります。
添付やリンクは開かず、振込先の変更などのご依頼があっても
応じないでください。詳しくは、あらためてご連絡いたします。
件名：弊社を名乗る不審なメールについて（お詫び）

○○株式会社　○○様

いつもお世話になっております。△△株式会社の□□です。
○月○日から○月○日の間、弊社社員のメールアカウントが
第三者に不正に使われ、弊社を名乗る不審なメールが
御社に送られたことが分かりました。

■送られたメール：件名「○○○○」（○月○日○時ごろ）
■お願い：添付ファイル・リンクは開かず、削除せずに保管してください。
　弊社がメールだけで振込先の変更をお願いすることはありません。
■もし開いてしまった場合：お手数ですが、下記までお知らせください。

現在、アカウントは停止し、原因を調べています。
ご迷惑をおかけし、申し訳ございません。
お問い合わせ：電話 ○○-○○○○-○○○○（担当 □□）

送り先が多く、全員に個別に連絡できないときは、自社のWebサイトにもお知らせを出します。

【弊社を名乗る不審なメールにご注意ください】

○月○日から○月○日の間、弊社社員のメールアカウントが
第三者に不正に使われ、弊社を名乗る不審なメールが送られました。
該当するメールを受け取った場合は、添付ファイルやリンクを開かず、
削除してください。現在、アカウントは停止し、調査を進めています。
お問い合わせ：（窓口・電話番号・受付時間）

個人情報保護委員会への報告が要るか

メールソフトのアドレス帳のように、氏名とメールアドレスを組み合わせて入れたものは、個人情報保護法の「個人情報データベース等」に当たります。乗っ取りで、これを見られたおそれがあるかが分かれ目です。

報告が要りうる流れ
不正アクセスメールが乗っ取られた
見られたおそれアドレス帳・メール本文
その結果人数によらず報告対象に

不正アクセスのように不正の目的で行われたおそれがある漏えいは、人数にかかわらず報告の対象です。「おそれ」の段階でも対象になります。速報は知った時点から概ね3〜5日以内です。

報告の期限
3〜5日速報知った時点から
60日確報不正目的のおそれ

どこまでを「見られたおそれ」とするかは、事実によって変わります。迷うときは弁護士に相談してください。手順は漏えいの報告と通知にまとめています。

よくある質問

取引先に知らせると、信用を失いませんか？
黙っているあいだに取引先がだまされるほうが、影響は大きくなります。IPAも、自社がかたられた場合は社内外に注意を呼びかけるよう案内しています。早く、事実だけを伝えるのがいちばんです。
送信済みに何もなければ、知らせなくていいですか？
送信済みは消されていることがあるので、管理者が送信の記録で確かめます。記録にもないなら、外から名前をかたられた可能性が高く、その場合も取引先への注意の呼びかけは役に立ちます。

連絡文を、事実に合わせて一緒に直します

Moshiruの代表は、大手自動車メーカーでセキュリティインシデント対応のチームリーダーを務めました。止める順番の確認から、取引先へのお知らせ文の手直しまで、打合せなし・テキストのやり取りだけでお手伝いします。

事故が起きたら相談する24時間受付・30分以内に返信振込先変更メールの見分け方乗っ取りのあとに多い手口

参考にした資料

  1. IPA「ビジネスメール詐欺 もし被害に遭ってしまったら」
  2. 警察庁「ビジネスメール詐欺」
  3. Microsoft Learn「侵害されたクラウド メール アカウントに応答する」
  4. Microsoft Learn「Exchange 管理センターのメッセージ追跡」
  5. Google Workspace 管理者ヘルプ「メールログ検索でメールを探す」
  6. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」2-4、3-5
  7. 個人情報保護委員会「漏えい等の対応とお役立ち資料」