【機密】人事評価・昇進対象者リスト先行公開メールは危険？フィッシングメールの手口と初動対応

「人事評価・昇進対象者リストの先行公開」メールとは？

人事評価や昇進通知を装うフィッシングメールは以前から確認されており、近年も類似した手口が見られます。以下は実際の事例を参考に再現したメールのイメージです。

メールのイメージ（実際に確認された内容を参考に作成）

※画像は実際に確認されたフィッシングメールの内容を参考に再現したイメージです。

件名：【機密】2026年度下半期の人事評価および昇進対象者リストの先行公開について

本文には、次のような内容が記載されており、リンクのクリックを誘導します。

• 経営会議で決定した昇進候補者の公開
• 評価通知書のダウンロード
• VPN接続必須
• 機密情報のため口外禁止

この手口は「人事評価」「昇進」という社員の強い関心ごとを利用し、冷静な判断を奪う典型的な標的型攻撃メールです。

なぜ多くの人が引っかかるのか

このメールが危険なのは、日本語が自然で社内メールらしく見えるため、利用者が不審なメールだと認識しにくいことです。攻撃者は以下の心理を巧みに利用し、開封やクリックを誘導します。

1. 自分の評価が気になる

昇進や評価は誰にとっても重要な情報です。「自分は昇進対象なのか？」「評価ランクはどうだったのか？」という好奇心からクリック率が高まります。

2. 「機密情報」で確認を躊躇させる

メールには、機密、口外禁止、関係者限定、といった表現が含まれています。これは「上司や情報システム部門に確認する」という行動を妨げるための典型的な手法です。

3. VPNや認証と書いてあり本物に見える

「要認証」、「VPN経由でアクセス」という記載によって、社内システムらしさを演出しています。

4. 送信元が社内アドレスに見えることがある

近年のフィッシングメールでは、送信元名や表示アドレスが自社の人事部門や総務部門から送信されたように見えるケースがあります。

また、流出した認証情報が悪用され、実際に自社ドメインのメールアカウントから送信される場合もあります。そのため、「自社ドメインだから安全」と判断するのは危険です。

もし開封・クリックしてしまったら？想定されるケース

企業・組織において、このようなフィッシングメールを開封したり、記載されたリンクをクリックしたりしてしまうシチュエーションとして、以下のようなケースが考えられます。

ケース1：URLクリック後に警告画面が表示される

例えば、昼休み中にメールを確認していた従業員が、件名にひかれてリンクをクリック。「評価通知書・昇進リスト閲覧（要認証）」というリンクをクリックしたところ、「Windows Defender保護センター悪意のあるトロイの木馬を検出しました」という警告画面が表示された。直後にPCが操作不能の状態となり、利用者は異変を感じて端末をシャットダウン。ネットワークから切り離して上司へ報告。

このような画面は、Microsoftのサポートを装った「サポート詐欺」の可能性があります。詳しくは「『Windows Defenderセキュリティセンター』の警告は本物？企業で実際に相談があった事例を紹介」をご覧ください。

ケース2：自己判断で様子見してしまう

在宅勤務中にメールを確認し、リンクをクリック。怪しいサイトと感じてすぐ閉じたため、「何も起きていないから大丈夫だろう」と判断し、情報システム部門への報告をしなかった。しかし数日後、社内掲示板の注意喚起を見て初めて連絡。結果として初動対応が大幅に遅れてしまう。

ケース3：報告先がわからず対応が遅れる

メールを開封しリンクをクリックしたところ、「トロイの木馬を検出しました」という画面が表示された。画面は閉じることができたものの不安になり、相談先がわからないままPCをスリープ状態にして対応を保留。後になって上司経由で情報システム部門へ相談した。

実は「開封しただけ」でも報告があったほうがよい

上記のケースはあくまで一例ですが、「メールを開封したら怪しい内容だったので、すぐに閉じたから大丈夫」「URLをクリックしたものの、すぐにブラウザを閉じたから大丈夫」「パスワードを入力していないから問題ない」という考え方は非常に危険です。

近年のサイバー攻撃は巧妙化しており、メールの開封やURLへのアクセスといった一見軽微な操作であっても、攻撃のきっかけとなる場合があります。また、利用者自身では影響の有無を正確に判断できない場合も少なくありません。

少しでも不審に感じた場合は、自分で問題ないと判断せず、速やかに情報システム部門や所定の窓口へ報告することが重要です。

こうした行動を従業員一人ひとりが実践できるよう、セキュリティ教育を継続的に実施するとともに、気軽に相談・報告できる体制を整備しておくことが求められます。

情報システム担当者が本当に困るのは「報告の遅れ」

実は、多くの情報システム担当者が最も恐れているのは、「クリックしたことではなく、報告が遅れること」です。

早期に連絡があれば、アカウント調査やログ確認、ネットワーク遮断、端末隔離といった対応を迅速に実施できます。しかし数日経過してしまうと、攻撃範囲の特定、ログの追跡、被害調査に膨大な工数が発生します。

もし社員から「怪しいメールを開封してしまった」と連絡が来たら

情報システム担当者は、状況に応じてさまざまな対応を行います。ここでは初動対応の一例をご紹介します。

しかし、すべての企業が24時間対応できるわけではありません。特に中堅・中小企業の情報システム部門では、担当者が1名しかいない、夜間・休日の対応が難しい、セキュリティ専門人材が不足しているといったケースも珍しくありません。

その結果、社員が「怪しいメールを開いてしまった」と連絡してきても、すぐに対応できない企業が増えています。

セキュリティ事故受付代行サービスとは

セキュリティ事故の初動対応では、受付体制の整備が重要です。しかし、中堅・中小企業では夜間や休日の対応が難しいケースも少なくありません。

こうした課題に対し、ＪＢサービスでは「フィッシングメールを開いてしまった」「添付ファイルを実行してしまった」「ランサムウェア感染が疑われる」といったセキュリティインシデント発生時の一次受付を代行する「セキュリティインシデント受付代行サービス」を提供しています。

本サービスでは、24時間365日体制でセキュリティインシデントの受付を行い、情報システム部門に代わって状況を確認し、指定の連絡先へエスカレーションします。これにより、被害の拡大防止や迅速な初動対応を支援します。

特に今回のような「人事評価に関するメールのリンクをクリックしてしまった」「社外からアクセスしてしまった」「上司へ報告する前にまず相談したい」といったケースでは、初動対応のスピードが被害の拡大を左右するため、早期の相談が重要です。

まとめ

「人事評価・昇進対象者リストの先行公開」メールは、人の関心や心理的な隙を狙うフィッシング攻撃です。

従業員としては、少しでも不審に感じた場合、リンクや添付ファイルを開かず、社内の情報システム部門やセキュリティ担当者へ確認しましょう。また、万が一メールを開封したりリンクをクリックしたりした場合でも、自己判断せず速やかに報告することが大切です。

企業側も「誰かはクリックする」という前提に立ち、相談・報告を受け付ける窓口や初動対応の体制を整備しておくことが求められます。

特に夜間や休日の対応が課題となる場合は、外部サービスの活用も視野に入れながら、インシデント発生時に迅速な対応ができる体制をあらかじめ検討しておくことが望まれます。