フィッシングメールを開いてしまったら？海外公的ガイドに基づく状況別の対処法を解説|セキュリティ対策Lab

投稿日時: 2026年07月26日更新日時: 2026年07月26日

フィッシングメールのリンクをクリックしてしまった、添付ファイルを開いてしまった、あるいは気づかずにIDやパスワードを入力してしまった――そのような状況に陥ったとき、何から手をつければいいかわからず焦ってしまうのは当然のことです。本記事では、米国連邦取引委員会（FTC）、英国国家サイバーセキュリティセンター（NCSC）、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の公式ガイダンスをもとに、やってしまった内容に応じた具体的な対処法を整理します。まず伝えておくべきことは、NCSCが明示しているように「最も重要なのはパニックにならないこと」です。状況を正確に把握し、優先順位に沿って行動することが、被害を最小限に抑える鍵です。

サマリー

フィッシングメールを「開いただけ」では直ちに被害は生じない（FTC・NCSC共通認識）
リンクをクリック・添付ファイルを開いた場合：セキュリティソフトを最新化してフルスキャン実行（FTC推奨）
銀行口座・クレジットカード情報を入力した場合：直ちに銀行へ連絡（NCSC推奨）
パスワードを入力した場合：別のデバイスで直ちにパスワード変更（FTC・NCSC推奨）
会社支給デバイスで開いた場合：できる限り早く情報システム部門へ報告（NCSC推奨）
金銭を失った場合：銀行と警察へ報告（NCSC推奨）
再発防止としてMFAの有効化がCISA・FTCともに最も効果的な単一の対策として推奨

状況別対処一覧

状況	取るべき行動
メール本文を開いただけ（リンク・添付未操作）	直ちに被害は生じない。メールを削除し、以降の対処に進む
リンクをクリックした・指示に従いソフトをインストールした	セキュリティソフトを最新化し、フルスキャンを実行。問題が検出されたら削除する
添付ファイルを開いた	同上。インターネット接続を一時切断してからスキャンするとより安全
銀行・クレジットカード情報を入力した	直ちに銀行へ連絡。カードの停止・再発行を依頼する
パスワードを入力した	同じパスワードを使い回しているすべてのアカウントのパスワードを変更。別のデバイスで行うこと
会社支給のデバイスで開いた	情報システム部門にできる限り早く報告する。報告が早いほど対処できる可能性が高い
金銭的な被害が生じた	銀行へ連絡し、犯罪として警察へ届け出る
アカウントが乗っ取られた可能性がある	パスワードを変更し、乗っ取られたアカウントの回復手順を実行する

フィッシングメールを「開いただけ」では直ちに被害は生じない

まず、状況を正確に理解することから始めてください。フィッシングメールを「受信した」「開いた（プレビューした）」という行為そのものは、ほとんどの場合直ちに有害ではありません。FTCは「フィッシングメールを単に受信しただけでは一般的に害はなく、リスクが生じるのはリンクを開いたり、個人情報を求める添付ファイルを開いたり、デバイスに感染するコンテンツとやり取りしたりしたときだ」と明示しています。NCSCも「最も重要なのはパニックにならないこと」と冒頭で明言しています。

危険なのは次の操作を行った場合です。メール内のリンクをクリックして遷移したサイトで何らかの情報を入力したとき、添付ファイルを開いたとき、ソフトウェアのインストールを指示に従って実行したときです。自分がどの状況に該当するかをまず冷静に確認してください。

リンクをクリックした・添付ファイルを開いた場合の対処

FTCのガイダンスは明確です。リンクをクリックしたり、有害なソフトウェアをダウンロードした可能性がある添付ファイルを開いた場合、まずコンピューターのセキュリティソフトウェアを最新の状態に更新してからフルスキャンを実行し、問題として検出されたものをすべて削除してください。

NCSCはこれに加えて、スキャン完了後も問題が解決されない場合は、デバイスが感染している場合の対処ガイダンスに従うよう案内しています。スキャン前にインターネット接続を一時的に切断する（Wi-Fiをオフにするか、LANケーブルを抜く）と、マルウェアが外部との通信を行うリスクを低減できます。

スキャンが完了してクリーンな状態が確認できたとしても、安心は禁物です。FTCは「マルウェアはセキュリティソフトが検出できない状態でデバイスに残ることがある」と指摘しており、その後のアカウント監視が必要です。

銀行情報・クレジットカード情報を入力してしまった場合

フィッシングサイトに銀行口座番号、クレジットカード番号、暗証番号といった金融情報を入力してしまった場合は、時間との勝負です。NCSCのガイダンスは「直ちに銀行へ連絡する」という一点に絞られています。銀行は口座の凍結・カードの停止・再発行といった措置を取ることができますが、入力から時間が経てば経つほど不正利用のリスクが高まります。

FTCはさらに、社会保障番号（日本でいうマイナンバー）やクレジットカード番号、銀行口座番号が詐欺師に渡ったと思われる場合、IdentityTheft.gov（米国の個人情報盗難回復サイト）にアクセスして情報の種類ごとの具体的な回復手順を確認するよう案内しています。日本国内では、不正利用の被害が生じた場合は金融機関への報告に加え、最寄りの警察署または警察のサイバー犯罪相談窓口への相談が対処の第一歩となります。

パスワードを入力・提供してしまった場合

フィッシングサイトにパスワードを入力してしまった場合、最優先で行うべきことはパスワードの変更です。NCSCは「そのパスワードを使い回しているすべてのアカウントのパスワードを変更する」よう推奨しています。1つのパスワードの流出は、同じパスワードを使い回しているすべてのサービスへの不正アクセスに直結するからです。

パスワード変更時の重要な注意点があります。FTCはパスワードを変更する際は「別のデバイスで行う」ことを推奨しています。もし元のデバイスがすでにマルウェアに感染していれば、そのデバイス上でパスワードを変更しても、変更後の新しいパスワードが攻撃者に渡ってしまいます。スマートフォンや別のPCを使ってパスワードを変更し、変更後は多要素認証（MFA）をすべてのアカウントで有効化することが、FTC・NCSCの共通した推奨事項です。

CISAは「MFAはフィッシングインシデント後に取れる最も効果的な単一の対策だ」と位置づけています。MFAを有効にしていれば、パスワードが流出しても攻撃者はそれだけではアカウントに侵入できません。

会社支給のデバイスで開いてしまった場合―情報システム部門への報告が最優先

業務用PCやスマートフォンでフィッシングメールを受け取り、リンクをクリックした、あるいは添付ファイルを開いてしまった場合、NCSCのガイダンスは「情報システム部門（IT部門）にできる限り早く報告する」という一点を最優先に掲げています。NCSCはさらに「報告が早ければ早いほど、IT部門が助けられる可能性が高くなる」と明記しています。

情報システム部門の担当者にとっては、ここが重要な点です。社員がフィッシングメールを操作してしまった事実を自己判断で抱え込んでしまうことがあります。しかし報告が遅れれば遅れるほど、マルウェアのネットワーク内への横展開、資格情報のさらなる流出、データの外部送信といった二次被害のリスクが拡大します。社員が「やってしまったことを報告しやすい」心理的安全性の確保と、報告手順の周知が、IS部門にとって重要な予防策です。

CISAとNSA・FBI・MS-ISACの共同ガイドは「ユーザーがフィッシングキャンペーンと相互作用した場合でも、被害の大きなインシデントが生じる可能性を低減するための統制を実装することが不可欠だ。すべての組織でユーザーがフィッシングに引っかかることを前提とした設計が必要だ」と述べており、人間の失敗を前提にした多層防御の重要性を強調しています。

再発防止――FTCが推奨する4つのフィッシング対策

対処が完了したら、次のフィッシングに備えた予防策を整備します。FTCは以下の4点を推奨しています。

第一に、セキュリティソフトの自動更新設定です。セキュリティソフトを自動更新する設定にすることで、新たな脅威に対して常に最新の防御が機能します。

第二に、スマートフォンのOSとアプリの自動更新です。端末のソフトウェアアップデートには、セキュリティの重大な修正が含まれることが多く、フィッシングを通じたマルウェア感染のリスクを低減します。

第三に、多要素認証（MFA）の有効化です。FTCとCISAは、MFAを「パスワードが流出した後でも取れる最も効果的な単一の対策」として位置づけています。指紋認証・ワンタイムパスワード・ハードウェアキーなど、強度の高いMFAほど効果が高くなります。

第四に、データのバックアップです。外部ハードドライブまたはクラウドストレージにデータをバックアップしておくことで、マルウェア感染によるデータ損失を防ぎます。

情報システム部門の観点から補足すると、CISA・NSA・FBI・MS-ISACの共同ガイドはこれらに加えて、DMARC（送信元ドメイン認証）の「reject」ポリシー設定、DNSフィルタリング、メールのリンクを自動で無害化する仕組み（URLデサニタイジング）の実装をオルガナイゼーションレベルの対策として推奨しています。