問い合わせ窓口の担当者は、社内で唯一「知らない相手からのメールを開くこと」が業務になっている人です。この記事では、その立場でフィッシングメールを見分ける手順と、踏んでしまったときの初動を、順序立ててまとめます。個人向けの一般的な注意喚起ではなく、企業の受信窓口としての判断基準に絞っています。
問い合わせ窓口が社内でいちばん狙われやすい理由
窓口担当者は「開く・リンクを見る・添付を確認する」ことが仕事なので、他の職種向けの防御策がそのまま使えません。
情シスは「知らない差出人のメールは開かない」と指導します。しかし info@ や recruit@ の担当者にとって、知らない差出人こそが顧客候補や応募者です。開かないという選択肢がありません。ここが窓口の構造的な弱点です。
加えて、窓口のアドレスは自社サイトに公開されているため、攻撃側から見れば「実在が確認済みのアドレス」です。フィッシング対策協議会の月次報告では、2026年6月の1か月だけでフィッシング報告が 72,370 件、悪用されたブランドは 98 件にのぼりました（フィッシング対策協議会 2026/06 フィッシング報告状況）。窓口はこの母数のなかに、常時置かれていることになります。
企業を狙う型としては、取引先や役員になりすまして送金や口座変更を促す「ビジネスメール詐欺（BEC）」もあります。IPA は BEC 対策の特設ページで、事例集・手口のパターン・被害時の対応を公開しています（IPA ビジネスメール詐欺（BEC）対策特設ページ）。窓口担当は経理や役員への取次ぎ役になることが多く、この経路の入口にも立っています。
見分ける順番をあらかじめ決めておく
判断は「怪しい雰囲気」ではなく、上から順に確認する手順に落とすと安定します。
| 順 | 確認すること | 見るところ | 判断の目安 |
|---|---|---|---|
| 1 | 送信元ドメイン | 表示名ではなく、From アドレスの @ より後ろ | 取引実績のあるドメインと1文字ずつ照合する |
| 2 | 送信ドメイン認証の結果 | メールソフトの詳細表示（元のメッセージ／インターネットヘッダー） | DMARC が fail・none なら以降を疑う |
| 3 | 用件と自社の関係 | 本文 | 心当たりのない請求・口座変更・アカウント停止は保留 |
| 4 | リンク先 | クリックせずに URL 自体 | 名乗っている組織のドメインと一致するか |
| 5 | 添付ファイル | 拡張子と形式 | 業務上ありえない形式は開かず情シスへ |
大切なのは、1つでも引っかかったときに「削除する」ではなく「保留して人に相談する」へ倒すことです。窓口業務では、本物の取引先や応募者のメールを誤って捨てる損失のほうが、多くの場合は大きいためです。
フィッシングに限らず、業務で届くメール全般を同じ順序で短時間に捌く手順は、迷惑メールの見分け方（5秒で判断する4ステップ）にまとめています。
送信元ドメインの見方：表示名は名乗り、ドメインが身元
表示名（差出人名）は自由に設定できるため、見るべきは @ より後ろのドメインだけです。
窓口担当が現場で確認できるのは、次の3点です。第一に、名乗っている組織の正規ドメインと完全に一致しているか。第二に、正規ドメインの後ろや前に別の語が足されていないか。第三に、過去のやり取りにある同じ相手のメールと、ドメインが同一か。取引先ごとの正規ドメインを一覧にしておくと、照合は数秒で終わります。
もう1つの手がかりが送信ドメイン認証です。フィッシング対策協議会は、SPF はメールソフトに表示されないエンベロープ From を検証するため単体ではすり抜けがあること、DKIM も署名に使うドメインを指定できるため単体では回避可能なこと、DMARC は SPF と DKIM の結果を使って「メールソフトで表示されるほうのアドレス」で検証することを説明しています（なりすまし送信メール対策について）。つまり窓口担当が見るべき認証結果は DMARC です。多くのメールソフトには受信メールの詳細を表示する機能があり、そこに認証結果が記録されています。
リンク・添付・急がせ方の3点だけ見る
本文では、リンク先のドメイン、添付ファイルの形式、そして「急がせ方」の3点を見れば足ります。
リンクは、表示されている文字列と実際の URL が別物である前提で扱います。クリックせずに URL を確認し、短縮 URL などで実体が見えないものはその時点で保留にします。心当たりのあるサービスなら、メール内のリンクではなく、ブックマークや自分で開いた公式サイトからログインして状況を確かめる。これがいちばん確実です。
添付ファイルは、窓口では「見積書」「請求書」「履歴書」を装う形が自然に見えてしまいます。だからこそ判断を個人に委ねず、業務上ありえない形式（実行ファイル、マクロ付き文書、パスワード付き書庫など）は開かず情シスに回す、と組織のルールとして固定しておきます。こうした個人の判断に頼らない手当てをアカウント・受信・送信・人・入口の層ごとに並べたものが、中小企業のメールセキュリティ対策（5つの層）です。
急がせ方も見分けの材料です。「本日中」「アカウント停止」「至急の振込先変更」といった文言は、確認の手順を飛ばさせるために置かれています。急ぐ用件ほど、メール以外の既知の連絡先で裏を取ってください。ここで使う電話番号は、名刺や契約書に書かれたものです。メール本文に書かれた番号は使いません。
踏んでしまったときの初動
初動のコツは「隠さないこと」と「時間順に潰すこと」の2つです。
- 通信を切り、それ以上の操作をやめる。
- 入力してしまった情報を特定する（ID・パスワード、カード番号、口座情報、認証コード）。
- パスワードを変更する。使い回している他サービスも同時に変える。
- サービス提供元へ連絡する（カード会社、銀行、該当サービスの管理者）。
- 社内へ報告する（情シス・上長）。窓口が個人で抱えると発見が遅れます。
- 金銭被害やその恐れがあれば警察へ相談する（警察庁 サイバー事案に関する相談窓口、都道府県警察の連絡先）。技術的な相談は IPA の情報セキュリティ安心相談窓口、フィッシングサイトの情報提供はフィッシング対策協議会が受け付けています。
フィッシング対策協議会の「利用者向けフィッシング詐欺対策ガイドライン 2026年度版」（2026年6月1日公開）にも「フィッシング詐欺に遭ってしまった時」の章があり、対処の流れを確認できます（ガイドライン一覧）。なお本記事は一般的な情報であり、法的助言ではありません。被害届や損害の負担といった個別の判断は、警察や弁護士などの専門家にご相談ください。運用面では、これに加えて「踏んだと報告した人を責めない」をチームで先に決めておくことが、実務上いちばん効きます。
フォームから届く詐欺的な送信も、同じ受信箱に流れ込む
問い合わせフォームは、外部の文面を窓口のメールボックスへそのまま流し込む装置です。そのためフィッシングや詐欺的な勧誘の入口にもなります。
自社サイトを含む複数の実サイトに Hajik を設置して運用していますが、フォームには「サイトを拝見しました」で始まる定型文が日常的に届きます。Hajik が分析した、美容商社（国内最大手・上場）の実フォームデータ（3種類のフォーム・合計 1,894 件・約20か月分）では、問い合わせフォームのうち 12.9% が確度の高い営業、32.2% が人の目でも判定が割れるものでした。業種・規模・フォームの性格によって比率は大きく変わるため、あくまで一社・一時点のサンプルです。
この「判定が割れる3割」が、窓口担当の時間をいちばん奪う帯です。営業メールとフィッシングは目的が違いますが、受信側の作業は同じ「本文とリンクを読んで判断する」であり、量が増えるほど確認は雑になります。窓口の防御力は、教育だけでなく「読む前に量を減らす」ことでも上がります。
Hajik はフォーム送信をその瞬間に判定して仕分けます。効果の目安は 99%+ の遮断で、残り約 1% は人が判断する前提です。保管はブラウザ内で暗号化するため、Hajik 側は保管したデータを復号できません。一方で、判定の瞬間だけは内容をそのまま AI に渡します（マスクすると本物の申込が誤判定されるためです）。クレジットカード番号・マイナンバー・銀行口座・パスポート番号・健康情報の5種は、ブラウザ内で除去してから送ります。詳細は セキュリティの考え方 と 問い合わせフォームの個人情報管理 にまとめています。フォーム対策の全体像は 問い合わせフォームの営業メール対策(実務ガイド) をご覧ください。
よくある質問
日本語が自然なメールでも、フィッシングを疑うべきですか
はい。日本語の不自然さは判断材料として弱くなっています。文面の印象ではなく、ドメイン・認証結果・リンク先という、機械的に確認できる項目で判断してください。
自社で送信ドメイン認証を設定すれば、なりすましは防げますか
自社ドメインを騙るメールに対しては有効です。ただし受信するメール全部が守られるわけではありません。SPF/DKIM/DMARC は主に送信側の対策であり、受信側では「認証結果を見て判断する」という使い方になります。
リンクをクリックしただけなら大丈夫ですか
情報を入力していなければ被害に至らないことが多いですが、自己判断で終わらせず情シスへ報告してください。端末側で何が起きたかは、担当部署でないと確認できません。
窓口のメールアドレスを非公開にすれば減りますか
問い合わせを受ける以上、受け口はどこかに必要です。アドレスを隠してフォームに一本化するのは有効ですが、フォーム側の仕分けとセットにしないと、届く場所が変わるだけになります。フォーム営業とは も参考にしてください。
フィッシングらしきメールは、どこに報告すればよいですか
まず社内の情シスへ。あわせて、フィッシングサイトの情報はフィッシング対策協議会へ、金銭被害やその恐れは警察へ連絡します。
まとめ：明日やること
- 受信メールの詳細表示から DMARC の結果を確認する方法を、窓口メンバー全員で一度だけ一緒に触ってみる
- 「業務上ありえない添付ファイルは開かず情シスへ」を明文化し、判断を個人に負わせない
- 取引先の電話番号は、メール本文からではなく名刺・契約書から引く運用に固定する
- 「踏んだと報告した人を責めない」をチームで宣言する
- フォームに届く量そのものを減らす。自社フォームの状態は 無料診断 で確認できます。実際の仕分けを試すなら 14日間の無料トライアル からどうぞ
Hajik は、お問い合わせフォームに届く営業メールを選別する日本語特化の B2B SaaS です（GrowGroup株式会社 運営）。導入はサイトに script タグを1行、保管は E2EE です。