Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第2部 2-8

標的型攻撃・水飲み場型攻撃・APT｜特定の会社を狙う手口と、出来すぎたメールへの備え

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • 自社や取引先だけを狙ったような、出来すぎたメールが届いたとき
  • 大手の取引先から「標的型攻撃への対策」を聞かれたとき

読み終えたあと、社内でこう言えます

「出来すぎたメールは、別の経路で送り主に確かめる決まりにしました」

結論：標的型攻撃は、特定の会社や人を選び、その相手に合わせて作り込んだ手口で入り込む攻撃です。入口は主に3つで、業務を装ったメール、標的がよく見るWebサイトを改ざんして待ち伏せる水飲み場型攻撃、VPN機器などの脆弱性です。中でも長く潜んで情報を盗み続けるものをAPTと呼びます。出来すぎたメールが届いたら、開かずに、別の経路で送り主に確かめるのが基本です。

標的型攻撃の入口は業務を装ったメール、水飲み場型のWebサイト改ざん、VPN機器の脆弱性の3つ。届いたメールは開かず別経路で確かめる

標的型攻撃とは：ばらまき型との違い

迷惑メールの多くは、同じ文面を大勢に送る「ばらまき型」です。標的型攻撃は逆に、相手を決めてから下調べをし、その人が開きたくなる内容を作ります。

ばらまき型標的型
相手不特定多数特定の会社・部署・人
文面宅配や請求など、誰にでも当てはまる実在の取引先や上司を名乗る。業務の話題に合わせる
主な目的パスワードやカード情報、送金機密情報の窃取、取引先へ入る足がかり
気づきやすさ不自然な点が見つかることもある違和感が少なく、気づきにくい

IPAの「情報セキュリティ10大脅威 2026」組織編では、「機密情報を狙った標的型攻撃」が5位で、2016年から11年連続で選ばれています。解説書は、主な目的を機密情報の窃取とし、組織の中に長く潜む例もあるとしています。

入り込む3つの入口

1. 標的型攻撃メール

業務や取引に関係する内容を装い、実在する組織の名前で送られてきます。添付ファイルを開いたり、リンク先からファイルを落としたりすると、マルウェア（不正なプログラム）に感染します。最初は普通のやり取りを何往復かして信用させ、あとからウイルス付きのファイルを送る手口もあります。これをやり取り型攻撃と呼びます。

2. 水飲み場型攻撃

肉食動物が水飲み場で獲物を待つように、標的の社員がよく見るWebサイトを改ざんして待ち伏せる手口です。業界団体のサイトや、業界向けのニュースサイトなどが考えられます。閲覧した人に、マルウェアを仕込んだファイルを入れさせます。メールを使わないので、「怪しいメールは開かない」だけでは防げません。

3. VPN機器などの脆弱性

IPAの解説書は、クラウドサービス、Webサーバー、VPN装置の脆弱性や、流出したパスワードを使った侵入も挙げています。侵入したあとは、裏口（バックドア）や不正なアカウントを作り、いつでも戻れる状態にします。

入口先にやる対策
標的型攻撃メール違和感があれば別経路で確認する。マクロを安易に有効にしない
水飲み場型攻撃OS・ブラウザ・業務ソフトを最新にする。不要なソフトを消す
VPN機器など更新を当てる。多要素認証。使わないアカウントを止める

APTとは：長く潜んで目的を果たす

APTはAdvanced Persistent Threatの略で、「高度で執拗な脅威」と訳されます。米国のNISTは、高い技術と豊富な資源を持ち、組織に長く足場を築いて情報を盗むなどの目的を、時間をかけて追い続ける攻撃者と定義しています。守る側の対策に合わせて手口を変えるのも特徴です。

警察庁は、国家を背景とするこうしたグループを「APT攻撃グループ」と呼び、情報通信、先端技術・製造、学術研究などが主な標的だとしています（2026年3月）。攻撃者の種類は1-6 攻撃者は誰で、何が目的かで解説しています。

事例：MirrorFaceの手口

2025年1月、警察庁とNISCは、MirrorFaceと呼ばれるグループの攻撃について注意喚起しました。2019年ごろから日本の組織や個人を狙い、中国の関与が疑われると評価しています。手口は大きく3つに分けて説明されています。

時期手口
2019年12月ごろ〜元幹部や有識者を名乗るメール。「勉強会案内」「会合資料」などの件名。最初は添付せず、資料を送ると申し出てから送る例も
2023年2月ごろ〜半導体・製造・情報通信・学術・航空宇宙の分野で、VPN機器の脆弱性や外部公開サーバの不備を突いて侵入
2024年6月ごろ〜「取材のご依頼」などの件名。送り主が過去に第三者と交わしたメールを盗み、一部だけ変えて使うため、違和感が出にくい

本物のメールを下敷きにされると、文面だけで見破るのは難しくなります。だからこそ、文面より受け取り方のルールで守ります。

出来すぎたメールが届いたら

警察庁の注意喚起は、いつもの取引先からのメールでも、少しでも違和感があれば、添付を開かずリンクも押さず、送り主に別の経路で確かめるよう勧めています。次のようなメールは特に注意します。

たとえば、社員30人の部品メーカー（架空の例）に、大手取引先の購買担当を名乗るメールが届いたとします。来期の発注計画の資料で、件名も担当者名も実在します。この場合は次の順に動きます。

  1. 開かずに止める：添付もリンクも開かず、メールは消さずに残します。
  2. 別経路で確かめる：名刺や過去の契約書にある番号やアドレスで、本人に送ったかを確かめます。メール内の連絡先は使いません。
  3. 社内で共有する：同じメールがほかの社員にも届いていないか、担当者に知らせます。
  4. 外部に伝える：取引先にもなりすましを伝えます。国家の関与が疑われる標的型攻撃メールなら、IPAの標的型サイバー攻撃特別相談窓口（J-CRAT）に情報提供できます。

すでに開いてしまった場合は怪しいメールを開いてしまったら、パソコンの様子がおかしい場合は会社のパソコンが感染したらの手順へ進んでください。

中小企業の備え：入られても気づける状態に

標的型攻撃を入口だけで完全に止めるのは困難です。入られる前提で、気づける状態を作ります。警察庁の注意喚起も、ログを広く長く別の場所に残すことを勧めています。

  1. 更新を止めない：OS、ブラウザ、Office、VPN機器を最新にします。VPNはVPN機器の点検へ。
  2. 多要素認証：メールとVPNから入れます（多要素認証の手引き）。
  3. マクロを制限する：インターネットから来たファイルのマクロは動かない設定にします。
  4. ログを残す：メール、VPN、パソコンのログを、機器とは別の場所に長めに残します（ログの保存期間）。
  5. 報告しやすくする：「怪しいと思ったら、開く前に聞く」を全員のルールにします。聞いた人を責めません。

チェックシートではこう聞かれる

よくある設問答え方の例
標的型攻撃メールへの対策（訓練・教育等）を実施していますか。はい。年1回、不審なメールの見分け方と報告の手順を全社員に教育しています。
不審なメールを受信した際の報告手順を定めていますか。はい。開かずに管理担当へ転送し、送信者には別経路で確認する手順を定めています。
外部からの侵入を検知するため、ログを取得・保管していますか。はい。メール・VPN・端末のログを〇〇日間、別の場所に保管しています。

試験ではここが問われる

SG・支援士・Security+ 2・CISSP 7

  • 標的型攻撃：特定の組織を狙い、相手に合わせて作り込んだ攻撃。不特定多数を狙うばらまき型と区別します。
  • 水飲み場型攻撃：標的がよく見るWebサイトを改ざんして待ち伏せる。メールを使わない点がポイント。
  • やり取り型攻撃：普通の問い合わせで信用させてから、ウイルス付きのファイルを送る。
  • APT：高度な技術と資源を持ち、長く潜んで目的を果たすまで攻撃を続ける攻撃者・攻撃。
  • 特定の人を狙うフィッシングはスピアフィッシングとも呼ばれます。IPAの古い資料でも、標的型攻撃メールをこの名前で説明しています。

確認問題

問1 標的の組織の社員がよく閲覧するWebサイトを改ざんし、閲覧した人の端末をマルウェアに感染させる攻撃はどれですか。

  1. ア やり取り型攻撃
  2. イ 水飲み場型攻撃
  3. ウ DDoS攻撃
  4. エ ブルートフォース攻撃
答えと解説
正解：イ　水飲み場で獲物を待つように、よく見るサイトで待ち伏せます。アはメールのやり取りで信用させる手口、ウは大量の通信でサービスを止める攻撃、エはパスワードを総当たりで試す攻撃です。

問2 APTの説明として、最も適切なものはどれですか。

  1. ア 不特定多数に同じ文面のメールを送り、反応した人を狙う攻撃
  2. イ 公開されたツールを使い、弱いサイトを手当たり次第に攻撃する行為
  3. ウ 高度な技術と資源を持つ攻撃者が、特定の組織に長く潜んで目的を果たすまで攻撃を続けるもの
  4. エ 大量の通信を送りつけて、Webサイトを見られなくする攻撃
答えと解説
正解：ウ　APTは「高度」で「執拗」な脅威です。アはばらまき型、イはスクリプトキディに多い攻撃、エはDDoS攻撃の説明です。

問3 社員25人の機械メーカーに、取引先の担当者名で「先日の打ち合わせ資料です」というメールが届きました。添付はパスワード付きZipで、パスワードは別のメールで届いています。担当者として最も適切な行動はどれですか。

  1. ア 担当者名が正しいので、そのまま開く
  2. イ 届いたメールに返信して「本物ですか」と聞く
  3. ウ 開かずに、名刺にある連絡先で本人に送ったか確かめ、社内の担当者にも知らせる
  4. エ 念のためメールを削除し、誰にも言わない
答えと解説
正解：ウ　標的型攻撃は実在の名前を使うので、名前が正しいことは安全の根拠になりません。イは攻撃者に返信が届くおそれがあります。エは証拠が消え、ほかの社員への注意もできません。

よくある質問

うちのような小さな会社にも、標的型攻撃は来ますか。
自社の情報が目的でなくても、大手の取引先へ入るための足がかりとして狙われることがあります。IPAの10大脅威 2026でも「サプライチェーンや委託先を狙った攻撃」が2位です。大手と取引がある会社ほど、受け取り方のルールを決めておく価値があります。
不審なメールの訓練は、必ずやるべきですか。
訓練は手段の1つです。大事なのは、怪しいと思ったときに「開く前に聞ける」流れがあることです。まず報告先と手順を決め、そのうえで訓練をすると効果を確かめやすくなります。

開いてしまったときの手順を、一人で背負わない体制に

Moshiruは、打合せなしでテキストだけでお受けします。不審なメールを開いた、パソコンの様子がおかしいといったときに、受付から30分以内に、止めること・残すこと・伝えることを文面でお送りします。そのあとの時系列の整理や、取引先へのお知らせ文案もお手伝いします。

インシデントが起きたら相談する24時間受付・30分以内に返信メニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. IPA「情報セキュリティ10大脅威 2026」（2026年1月）
  2. IPA「情報セキュリティ10大脅威 2026」解説書［組織編］（2026年3月）
  3. 警察庁「MirrorFaceによるサイバー攻撃について（注意喚起）」（2025年1月）
  4. 警察庁・NISC「MirrorFaceによるサイバー攻撃について」注意喚起本文（PDF、2025年1月）
  5. 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）
  6. IPA「J-CRAT 標的型サイバー攻撃特別相談窓口」
  7. IPA「ICS-CERT モニター（2013年1月/2月/3月号）概要」（2013年4月）
  8. IPA「サイバー情報共有イニシアティブ（J-CSIP）運用状況［2016年10月～12月］」（2017年1月）
  9. NIST CSRC Glossary「advanced persistent threat (APT)」（NIST SP 800-39ほか）
  10. Lockheed Martin「The Cyber Kill Chain」