「多要素認証を入れているから大丈夫」「パスワードを強くしているから安心」と思っていても、メールアカウントの乗っ取りが起こる可能性はあります。

近年は、メールアカウントのパスワードの窃取だけでなく、身に覚えのないメール転送ルールの改ざんや、不審なアプリ連携（OAuth同意）、セッション情報の盗難・悪用など、さまざまな経路から狙われるケースも増えています。

乗っ取りは発覚が遅れやすく、気づいた時にはやり取りの情報が抜かれていたり、取引先になりすましたメールが送られていたりと、被害が広がる恐れがあります。

この記事では、ITやセキュリティが専門でない方でも理解できるように、メールアカウントの乗っ取り対策と万が一の時の初動対応、再発防止策についてご紹介します。

この記事を読むとわかること

• メールアカウント乗っ取りが起きる代表的な侵入経路
• 乗っ取りを疑ったときに最初に確認すべき設定とログ
• 不審なアプリ連携（OAuth同意）を見落とさないための確認ポイント
• 被害拡大を防ぐ初動対応の優先順位と社内連携の考え方
• 再発防止を「例外なく」回すための最低ラインと役割分担
• メールアカウント乗っ取りに関するFAQ

メールアカウント乗っ取りはどんな経路から起きる？

メールアカウントの乗っ取りというと、フィッシングでパスワードを盗まれるイメージが強いかもしれません。しかし、実際はメール以外の経路からも、認証情報を盗まれる可能性があります。

代表的なルートは次の3つです。

• 受信メール（フィッシング等）
• アプリ（OAuth同意やマルウェア等）
• Webサイト（偽ログインやパスワードリスト攻撃、セッションの悪用など）

つまり、多要素認証（MFA）を入れていても、それだけで安心とは言い切れません。経路ごとの注意点を押さえたうえで、設定やログも含めて点検することが重要です。

【用語解説】OAuth同意とは

OAuth同意とは、ユーザーが外部アプリに対して、メールなどのデータへのアクセス権限を許可することです。

一度許可すると、アプリによってはパスワードなしで情報にアクセスできる場合があるため、連携先は慎重に確認しましょう。

また、乗っ取りの被害を防ぐために、定期的に「誰が何のアプリに同意しているか」の棚卸しをすることもポイントです。

【用語解説】セッションの悪用とは

セッションの悪用（セッションハイジャック）とは、ログイン後に発行される「ログイン済みの証明（セッション情報）」を盗まれ、パスワードを入力していないのに本人として操作される状態を指します。
「ログインした覚えがない」「見慣れない端末でログインされている」などの、セッションハイジャックの兆候を見逃さないようにしましょう。

乗っ取りを疑ったときに最初に確認すべきことは？

「おかしい」「乗っ取られているかも」と思ったら、まずは、自分の意思とは無関係に「勝手に動く仕組み」から確認しましょう。

乗っ取られたかも?と思ったときに見るべきチェックポイント

• メールの内容
• 転送設定（外部転送）
• 受信ルール（条件付き振り分け）
• 自動返信の内容（フォーム受付通知、不在通知など）
• ログイン履歴（場所・端末・時間帯）

メールが乗っ取られると、転送設定や受信ルールを勝手に変更されることがあります。
被害者の身に覚えのない外部転送や、特定の件名・送信者のメールが自動で移動・削除されるルールを設定することで、被害の発覚を遅らせるためです。

そのため、メールアカウントを乗っ取られた場合は、まずは転送設定と受信ルールに変更がないかを確認しましょう。

乗っ取りの初動対応の注意点

乗っ取りの初動対応は、1人で抱え込まず、社内で連携して進めることが重要です。あとから調査や説明が必要になる場合もあるため、インシデント発生時の連絡先と手順（社内ルール）を事前に決めておきましょう。

また、すべてを一度に対応するのは難しいため、「被害拡大を止める→権限を奪う→原因と影響範囲を確認する」の順で、優先順位をつけて進めるのがポイントです。

乗っ取り対応の初動に関する社内ルールの例

1. 送受信メールの内容の確認
2. 上長や管理部門への報告
3. 外部転送や不審なメールルールの停止
4. アプリ連携の解除
5. パスワードや多要素認証の確認、再設定
6. 不審なログインの詳細確認とセッションの遮断
7. ログの確認と保全

乗っ取りの初動対応で重要なポイントは、独断で行動しすぎないことです。
証跡（ログ）確認や保全が必要な場合があるため、社内の報告窓口（上長や情報システム部など）への共有を必ず含めましょう。

また、落ち着いて送受信メールや設定を確認し、必要に応じてスクリーンショットを撮ることも有効です。

メールアカウント乗っ取り防止策の最低ライン

メールアカウント乗っ取り防止策の最低ラインとして、押さえたいポイントは以下の通りです。

• 多要素認証の徹底
• 外部転送や許可のないアクセスを制限する
• アプリ連携（OAuth同意）の承認・棚卸しルールを作る
• ログを見られる体制を作る

この乗っ取り防止策は、「例外なく」運用していくことが大切です。利便性を優先して、対策をゆるく運用すると、事故時に被害が拡大する恐れがあります。
また、時代に合わせてルールを見直していくことも大切です。定期的に点検を行い、誰がどこを注意深く見るか固定しましょう。

乗っ取り対策を運用するための役割分担

対策が形骸化しやすい原因は、「誰がやるか」が曖昧なことです。メールアカウントの乗っ取り防止のために、次のように役割分担すると回りやすくなります。

• 情シス（またはIT管理担当） : 設定の方針、例外承認、ログ確認、インシデント時の技術対応
• 管理部門（総務・法務など） : 連絡網、教育・周知、取引先への連絡方針、ルール整備
• 現場 : 怪しい通知の報告、リンクを踏まない運用、公式導線の徹底

運用が決まっていないままツールだけを入れても、結局「気づけない」「止められない」状態になりがちです。まずは、役割と手順を固定しましょう。

メールアカウント乗っ取りに関するFAQ

「これって大丈夫？」「同僚に注意喚起すべき？」と迷ったときに役立つよう、メールアカウント乗っ取り対策でよくある疑問を、現場で判断に迷いやすいポイントに絞ってまとめました。

Q.多要素認証を入れているのに乗っ取られることはある？

A. 多要素認証は有効ですが、転送ルールの改ざんや不審なアプリ連携など、別の経路や設定の改変が残っていると乗っ取りによる事故が起きる可能性があります。

Q.パスワードを変えても被害が続くのはなぜ？

A.パスワードを変えても被害が続くのは、攻撃者が「パスワード以外」で情報を抜ける状態を残している場合があるためです。
ログイン済みセッションが生きていると操作が続く可能性がありますので、まず全端末（スマホやPCなど）でサインアウトすることが被害を防ぐポイントです。

Q.乗っ取りで、メール転送ルールが狙われる理由は？

A. 攻撃者が「自動で情報を外部に流す仕組み」を作れるからです。被害に遭った本人が気づきにくく、長期間情報が流出する恐れがあります。そのため、乗っ取りが疑われる場合は、早めに転送設定や受信ルールを確認しましょう。

Q.不審なアプリ連携（OAuth同意）はどう見分ける？

A. 一見業務に必要そうな名前でも、安心はできません。普段使っていないアプリ、説明が不自然な権限要求、作成者が不明なものは、原則として連携を許可しない運用にします。
アプリ連携の際は、アクセス権をどこまで与えるのか、表示された文章をよく読んで判断することがポイントです。
社用スマホや社用PCでは、会社の許可なくアプリを入れないことを徹底し、利用を許可するアプリのリストを用意しておくと業務がスムーズに回ります。

Q.同僚にも同じメールが来た。注意喚起の方法は？

A. 怪しいメールを転送すると、さらに被害が拡大する恐れがあります。そのため、件名・送信者名・特徴をテキストやスクリーンショットで共有し、「リンクは踏まない」「ブックマークや公式サイトから入り直す」など基本の対策を周知しましょう。
対象メールの削除は、社内の指示に従って対応します。

メールアカウント乗っ取り対策でお困りの方はご相談ください

株式会社サイバーウェイブジャパンでは、メール起点の乗っ取り被害を減らすために、メールセキュリティサービス「CWJ Secure One」や、「AS AV Filter / Mail File Link」などのサービスを提供しています。
特に、「AS AV Filter / Mail File Link」は、お客様のメールサーバはそのままに、当社にメールを中継するだけでご利用いただける便利なクラウド型ゲートウェイサービスです。
既に知られている手口の迷惑メールや新種のウィルスを含むメールを、独自アルゴリズムの多段フィルターにより、迅速・的確に排除してお客様のメールサーバにお届けします。

社内運用で乗っ取りを防ぐことも大切ですが、システム導入で運用リソースの削減をしませんか。弊社専門のコンサルタントが、お客様のお悩みをお伺いし、適切なサービスをご提案いたします。メールのセキュリティでお困りの方は、気軽にお問い合わせください。

この記事のポイント

• 1.メールアカウント乗っ取りはどんな経路で起きる？

  メールアカウント乗っ取りで考えられる経路は以下の通りです。

  • 受信メール（フィッシング等）
  • アプリ（OAuth同意やマルウェア等）
  • Webサイト（偽ログイン、パスワードリスト攻撃、セッションの悪用など）

  詳しくは「メールアカウント乗っ取りはどんな経路から起きる？」をご覧ください。

• 2.乗っ取りを疑ったときに最初に確認すべき場所は？

  乗っ取りを疑ったときに最初に確認すべきことは以下の通りです。

  • メールの内容（身に覚えのない送信・返信、削除、既読化がないか）
  • 転送設定（外部転送）
  • 受信ルール（条件付き振り分け）
  • 自動返信の内容（フォーム受付通知、不在通知など）
  • ログイン履歴（場所・端末・時間帯）

  詳しくは「乗っ取りを疑ったときに最初に確認すべき場所は？」をご覧ください。