📰 関連記事:
一本の相談メールから
先日、ある医療機関のご担当者から、こんな相談が届きました。
「本日このようなメールが届きましたが、大丈夫でしょうか？ 差出人が自分、宛先も自分になっています。同僚にも同じメールが来ていました。」
添付されていたのは、「メールボックスのアップグレードに伴い、一部のメールが保留中になっています。回復するには下記のリンクをクリックしてください」という、一見それらしい”通知メール”でした。
結論から言うと、これは典型的なフィッシング詐欺メールでした。そして、この一本の相談をきっかけに調べてみると、その医療機関のメールサーバが日常的に大量の不正アクセスを受けている実態が見えてきたのです。
この記事では、実際の対応現場の視点から、①フィッシングメールの見分け方、②「なりすまし」の仕組み、③クリニックが今すぐできる対策を、専門用語をできるだけ避けてご紹介します。
1. なぜ「フィッシング詐欺」だと分かったのか
不審なメールを受け取ったとき、慌てて判断する必要はありません。次のポイントを落ち着いて確認すれば、多くの偽メールは見分けられます。
ポイント①：リンク先のドメインが「本物」と違う
今回のメールには「メールを回復するにはこちら」というリンクがありましたが、そのリンク先のアドレスは、正規のドメインとはまったく無関係な外部サイトでした。
正規サービスの名前を先頭にくっつけただけの、別物のドメイン（例：yourservice.example-fake.top のような形）が使われるのがよくある手口です。本文がどれだけそれらしくても、リンク先が別物ならフィッシングを疑ってください。
💡 確認のコツ：リンクはクリックせず、マウスを重ねる（スマホなら長押し）と、実際の飛び先アドレスが表示されます。そこが見慣れないドメインなら開かない。
ポイント②：「差出人＝自分」はむしろ偽装の証拠
相談者が最も不安に感じていたのが「差出人も宛先も自分になっている」点でした。これは「アカウントが乗っ取られたのでは」と思わせる、不安を煽る演出です。
しかし実は、メールの差出人表示は、送信者が自由に書き換えられます（はがきの差出人欄に他人の名前を書けるのと同じです）。「自分から自分へ」と偽装するのは、受信者を動揺させて判断を鈍らせる典型的な手口であって、アカウントが乗っ取られたことを意味しません。
ポイント③：文面の不自然さ・過度な緊急性
「至急」「保留中」「今すぐ確認を」と焦らせるのは、冷静に考える時間を与えないため。また、文字と文字の間に見えない特殊文字が大量に埋め込まれている（迷惑メール判定を逃れる工作）など、正規のサポートがしない不自然さも手がかりになります。
2. 見えていなかった「もう一つの攻撃」
フィッシングメールへの対応と並行して、サーバの状態を詳しく確認したところ、より根深い問題が見つかりました。
そのメールサーバには、海外の複数の発信元から、メールアカウントのパスワードを片っ端から試して侵入しようとする自動攻撃が、以前から大量に届いていたのです。実在するアドレス（受付・管理者用など）だけでなく、辞書的に推測した無数のユーザー名に対して、機械的に総当たりが繰り返されていました。
これは「ブルートフォース攻撃（総当たり攻撃）」と呼ばれる、ありふれた、しかし油断できない攻撃です。
幸い、突破はされていなかった
今回のケースでは、すべての攻撃が失敗しており、実際に侵入された形跡はありませんでした。パスワードが十分に強く、正規の利用者以外はログインできていませんでした。
しかし——これは「たまたま無事だった」に過ぎません。もし推測されやすいパスワード（clinic2020 のような単純なもの）を使っているアカウントが一つでもあれば、破られていた可能性は十分にあります。そして一度メールアカウントを乗っ取られると、患者さんとのやり取りを盗み見られたり、院名を騙って外部へ迷惑メールを送られたりと、被害は一気に広がります。
🔍 多くの院が気づいていない現実：メールサーバへの総当たり攻撃は、特別に狙われていなくても、インターネット上のあらゆるサーバに”通常運転”として届いています。「うちは小さなクリニックだから狙われない」は通用しません。
3. クリニックが今すぐできる3つの対策
技術的な対策と、人の運用ルール。この両輪でメールを守ります。
対策①：強いパスワード ＋ 二要素認証
最も基本的で、最も効果的です。
- 推測されにくいパスワードにする（院名・西暦・
1234などを避け、長く複雑に） - 特に 受付・管理者・info・webmaster など、狙われやすい代表アドレスは優先的に見直す
- 可能なら二要素認証（パスワードに加えて、スマホのコードなどを要求する仕組み）を有効にする
総当たり攻撃は「弱いパスワード」を探しています。強くするだけで、攻撃はほぼ空振りに終わります。
対策②：SPF・DKIM・DMARC でなりすましを防ぐ
これは、あなたの院のドメインを騙った偽メール（今回のようなフィッシング）を、受信側で見分けやすくする仕組みです。
- SPF：「この院のメールは、この正規サーバからしか送りません」と宣言する
- DKIM：メールに電子的な署名を付け、途中で偽装・改ざんされていないことを証明する
- DMARC：SPF/DKIM をすり抜けた偽メールをどう扱うか（監視・隔離・拒否）を指示し、なりすましの発生状況をレポートで把握できる
これらを設定しておくと、院を装った偽メールが受信者（患者さん・取引先）に届く前に弾かれやすくなり、院のブランドと信頼を守れます。詳しくは関連記事で解説しています。
✅ 今回のケースでも、なりすまし監視（DMARC）を設定したことで、「院のドメインを騙るメールがどこから、どれだけ発生しているか」を継続的に把握できるようになりました。
対策③：「不審なリンクは開かない」運用ルール
技術だけでは防ぎきれません。最後の砦は人の判断です。
- 心当たりのない「パスワード確認」「アカウント通知」メールのリンクは開かない
- 「本物か分からない」ときは、リンクを開くのではなく、公式サイトや正規の連絡先から直接確認する
- スタッフ全員で共有する（今回、ご担当者が「これ大丈夫？」と相談してくれたのが、被害を防いだ最大の要因でした）
「怪しいと思ったら、開く前に相談する」——この一言のルールが、最新のセキュリティ製品に劣らず効果的です。
まとめ — 「気づけること」が最大の防御
今回の事例が教えてくれるのは、攻撃は特別なことではなく、日常的に起きているということ。そして、それでも被害を防げたのは、
- ご担当者が不審なメールを開かず、相談してくれたこと（人の運用）
- パスワードが総当たりに耐えられる強さだったこと（技術の備え）
この2つが揃っていたからでした。
医療機関のメールとサーバは、患者さんの大切な情報の入り口です。「うちは大丈夫だろうか」と少しでも気になったら、まずは現状を確認することから始めてみてください。
MEDICT では、医療機関向けに Web サイトとメールのセキュリティを含めた「無料サイト診断」を提供しています。 公開情報のみ・非破壊で、SSL・スマホ対応・検索対策・なりすまし対策（SPF/DKIM/DMARC）などをチェックし、結果を院長先生の目線でわかりやすくお返しします。費用・しつこい営業はありません。 ▷ 無料サイト診断について ▷ 医療機関専門のホームページ制作
⚠️ 本記事は、実際の対応事例をもとにしていますが、特定の医療機関・企業が識別できる情報（名称・ドメイン・IPアドレス・具体的な数値等）は一切含んでいません。また、攻撃手法の詳細な再現は、模倣を防ぐため意図的に省略しています。