身に覚えのないメールの添付ファイルやリンクを開いてしまったときの確認手順

どこまで進んだかで切り分ける

「怪しいメールを開いてしまった」というご相談には、実際には別物の状態がいくつも混ざっています。同じ一通でも、読んだだけの人と、パスワードを入力した人とでは、やるべきことがまったく違います。まず下の表で自分がどれに当たるかを決めてから、その手順へ進んでください。

二つ以上当てはまるときは、表の下の行を先に片づけてください。お金とアカウントは放っておくほど被害が広がりますが、パソコンの点検は順番を後ろにしても結果が変わりません。

開いただけなら、まず手を止める

メールを読んだだけ、プレビュー画面に表示されただけであれば、その時点で何かが始まっていることはまずありません。添付ファイルは「開く」「実行する」という操作をして初めて動きます。封筒を見ただけで中身が飛び出すことはない、と考えてください。

リンクを開いてしまった場合も同じです。偽のサイトは、こちらが入力して送信するまでは何も受け取れません。ページを見ただけで閉じたのなら、渡ったものはありません。

画面いっぱいの警告が出て消せなくなっている場合は、IPA（情報処理推進機構）が手順を公開しています。IPAは、偽の警告が表示されただけで電話をかけていないのであればパソコンは感染しておらず、警告画面を閉じるだけで対処できるとしています。

閉じ方は、キーボードのESCキーを約3秒長押しして全画面表示を解除し、右上に出た「✖」をクリックします。ESCで「✖」が出ないときは、Ctrl＋Alt＋Deleteを押して、表示された画面から再起動します。警告音が鳴り続けてあせるときは、先に音量を下げてから操作すると落ち着いて進められます。

このときにやらないでほしいことが四つあります。返信しない。転送しない。本文や画面に書かれた電話番号にかけない。「配信を停止する」のリンクを押さない。Microsoftも、不審なメールは転送しないよう案内しています。配信停止のリンクも、押せば「このアドレスは生きている」と伝えることになります。

なお、そのメールは消さずに残しておいてください。迷惑メールフォルダーへ移すだけで十分です。あとで相談するときに、いつ・どんな件名で・どこから届いたのかが手がかりになります。

添付ファイルを開いてしまったとき

添付を開いた、あるいは「編集を有効にする」を押した場合は、順番があります。いきなりスキャンを始めるより先に、見ておくことが二つあります。

（1）画面が勝手に動いていないかを見る。マウスポインターが自分の手と関係なく動く、見覚えのないウィンドウが次々に開く、という状態なら、すでに誰かが操作しています。IPAは、遠隔操作の最中に自分が操作していない画面が開いた場合、すぐにネットワークを切断するよう案内しています。有線ならLANケーブルを抜き、無線ならWi-Fiを切るか機内モードにします。

（2）そうでないなら、通信は切らないまま進めます。ここを勘違いして「とりあえず全部切る」と、このあとのパスワード変更もカード会社への連絡もできなくなります。画面が自分の操作どおりに動いているなら、慌ててケーブルを抜く必要はありません。

そのうえで、作業中のファイルを保存して閉じ、自分が何を押したかを書き出します。とくに次の三つは、思い出せるかどうかで見立てが変わります。Officeの文書で「編集を有効にする」「コンテンツの有効化」を押したか。ZIPを展開して、中にあったファイルを開いたか。「このアプリがデバイスに変更を加えることを許可しますか」に「はい」と答えたか。どれも押していないなら、何かが動いている可能性は低くなります。

Microsoftも、だまされたと気づいたときは、攻撃の内容を思い出せる限り詳しくメモするところから始めるよう案内しています。メモは、あとで店や窓口に相談するときにそのまま使えます。時刻、件名、差出人、押したボタン、入力した項目。この五つを書いておけば十分です。

書き出しが終わったら、手順6のスキャンへ進みます。何も入力していないのであれば、ここまでで急ぐ作業は終わりです。

IDとパスワードを入力してしまったとき

ここがいちばん急ぎます。フィッシング対策協議会の利用者向けガイドラインは、重要情報を入力してしまった場合の対処として、入力したパスワードを変更することを挙げています。問題は、何から変えるかです。

最初に変えるのは、メールのパスワードです。ほかのサービスの「パスワードを再設定する」という案内は、すべてメールに届きます。メールを押さえられたままで銀行やショッピングサイトのパスワードを変えても、相手はメールから再設定して取り返せてしまいます。メール、ネットバンキング、ショッピング、SNSの順に進めてください。

同じパスワードを使い回しているサービスは、全部変えます。IPAは不正ログインの手口のひとつとして、他のサービスから流出したIDとパスワードの組み合わせを試す「リスト型攻撃」を挙げています。一か所で渡してしまうと、同じ組み合わせを使っていたサービスがまとめて危なくなる、ということです。

変更するときは、そのメールのリンクからではなく、ブックマークか公式アプリから入ってください。ガイドラインも、正規のメール以外のメール中のリンクからはアクセスせず、ブックマークや正規アプリを活用するよう勧めています。偽サイトで変更手続きをすれば、新しいパスワードまで渡すことになります。

すでにログインできない場合。相手が先にパスワードを変えていることがあります。IPAは、「パスワードを忘れた」などの手続きでリセットを試し、登録したメールアドレスや電話番号が使えれば取り戻せる可能性があるとしています。リセットできない場合は、各サービスのヘルプページを確認してサービス提供者に連絡します。電話窓口がないサービスでは、ウェブフォームから相談することになります。

取り戻せたら、登録情報を見てください。IPAは、登録しているメールアドレスや電話番号を確認し、身に覚えのないものは削除して自分の情報だけにするよう案内しています。攻撃者が自分の連絡先を足していると、あとからまた乗っ取られます。パスワードを変えただけで安心してしまう人が多いところです。

そして多要素認証を設定します。IPAもMicrosoftも、IDとパスワードだけが漏れてもログインを防げる対策として挙げています。記憶しているもの、持っているもの、体の特徴のうち二つ以上を組み合わせる仕組みです。

最後に一つ。頼んでいないのに認証コードのSMSが届いたら、誰かがあなたのIDとパスワードでログインしようとしているサインです。ガイドラインも「要求していない認証コードが届いた」を、被害に気づくきっかけの例に挙げています。そのコードは、誰に聞かれても伝えないでください。家族や知人を名乗る相手でも同じです。

パスワードそのものが思い出せない、サインインの画面から進めない、という場合はMicrosoftアカウントのパスワードを忘れたときの手順もご覧ください。

カード番号や口座情報を入力してしまったとき

この場合は、パソコンを触るより先に電話です。フィッシング対策協議会のガイドラインは、銀行、クレジットカード会社、ショッピングサイトなどにフィッシング被害の疑いを伝え、利用停止などの対応を相談すること、とくに銀行やカード会社には早めに連絡することを、対処手順の一番目に置いています。

連絡先は、カードの裏面か通帳に書かれている番号を使ってください。届いたメールや、開いてしまったサイトに書かれている番号は使いません。そこが偽物なら、電話口でさらに情報を渡すことになります。

連絡と並行して、履歴を見ます。ガイドラインは、クレジットカードやキャッシュレス決済の利用明細を定期的に確認すること、アカウントのログイン履歴も確認して不正利用の痕跡を探すことを挙げています。見るのはカードの明細だけではありません。携帯電話の料金に合算されるキャリア決済や、スマホの決済アプリの履歴にも、覚えのない支払いが紛れていることがあります。

すでに送金してしまった場合は、至急、振込先の銀行に連絡します。IPAは、送金してしまったときは振込先の銀行へ至急連絡し、自分の口座がある銀行と警察にも連絡するよう案内しています。時間が経つほど資金が動いてしまうため、ここは夜間や休日でも、カード会社や銀行の24時間受付の窓口を探してかけてください。

相談先は役割で分かれます。お金の流れを止めるのは銀行とカード会社、記録を残すのが警察、支払いの取り消しの相談が消費生活センターです。ガイドラインも、実質的な被害が確認された場合は、お住まいの地域の都道府県警察の「サイバー犯罪相談窓口」に連絡するとしています。それぞれの窓口は手順＋にまとめました。

そして、代金をコンビニのプリペイドカードで求められたら、相手は詐欺です。IPAは、コンビニでGoogle PlayやAppleのプリペイドカードを買わせ、ギフトコードを伝えさせる手口を報告しています。正規のサポートがこの支払い方法を指定することはありません。

パソコンを調べる（スキャンの使い分け）

ここまでの連絡が済んでから、パソコンを調べます。Windowsには最初から入っている仕組みがあるので、新しくソフトを買う必要はありません。

まずクイックスキャン。スタートから「Windows セキュリティ」を開き、「ウイルスと脅威の防止」から「クイックスキャン」を実行します。よく使われる場所を短時間で調べるもので、ここで何か見つかれば、画面の案内に沿って削除や隔離まで進みます。

何も見つからないのに動作がおかしい、あるいは消したはずのものが戻ってくる場合は、オフラインスキャンを使います。同じ画面の「スキャンのオプション」の中にある「Microsoft Defender オフライン スキャン」です。Microsoftは、これを通常のWindowsの外側の信頼された環境で起動して調べる仕組みと説明しており、Windowsシェルを回避しようとするマルウェアが対象で、保護の重点はファームウェアとルートキットにあるとしています。普通のスキャンでは見つけにくいものを探すための機能、という位置づけです。

実行する前に知っておきたいことが四つあります。時間は約15分。開始時と完了時にパソコンが再起動します。作業中のファイルは先に保存し、起動中のソフトは閉じてください。結果は、終わったあとに「ウイルスと脅威の防止」の「保護の履歴」で確認します。

そして、Microsoftが前提条件として挙げている条件があります。Microsoft Defender ウイルス対策が主として動いていること（他社のセキュリティソフトを入れていて、Defenderが控えに回っている状態では使えません）。管理者としてサインインしていること。そしてWindows回復環境（WinRE）が有効であることです。Microsoftは、WinREが無効だとスキャンは実行されず、エラーも表示されないと明記しています。押したのに何も起きないように見えるときは、ここを疑ってください。

もうひとつ、BitLockerで暗号化しているパソコンは注意が要ります。Microsoftは、システムドライブでBitLockerが有効な場合は実行前に保護を一時停止するよう案内しており、そうしないと再起動時に回復キーを求められる場合があるとしています。回復キーの在りかが分からないまま再起動すると、その先に進めなくなります。BitLockerの回復キーを求められたときの手順を先に読んで、キーの場所を確かめてから実行してください。

他社のセキュリティソフトを使っている場合は、そちらの完全スキャンを使います。操作はソフトによって異なりますので、製品の案内に従ってください。

ブラウザーの検索結果やホームページが勝手に変わっている、閉じても広告が出る、という症状が残る場合は、ウイルスというより追加された拡張機能や広告表示ソフトのことが多いので、検索やホームページが勝手に変わるときの確認手順とブラウザーに迷惑な通知や広告が出るときの確認手順が近道です。

電話をかけた・遠隔操作ソフトを入れたとき

メールやサイトに書かれた番号に電話をして、言われるままにソフトを入れてしまった場合です。IPAはこの手口を「サポート詐欺」として継続的に注意を呼びかけており、対処の手順も示しています。

まず、入れた遠隔操作ソフトをアンインストールします。アプリの一覧に表示されていれば、そこから削除します。IPAは、遠隔操作に使われるソフトとしてAnyDesk、LogMeIn Rescue、TeamViewer、UltraViewerなどの名前を挙げています。いずれも、本来は正規の業務で使われるソフトです。

次に「システムの復元」を実行します。IPAは、遠隔操作の影響を判断できないため、安全な対処として「システムの復元」を推奨しています。アプリの一覧に表示されないソフトもあるため、その場合は「システムの復元」だけを行う、とされています。復元できない場合は、パソコンの初期化を検討します。

初期化まで進むなら、先にデータを外へ出してください。修理や初期化の前に、データを取り出しておく手順と、初期化が途中で失敗するときの確認手順があります。

IPAは、遠隔操作が成立する条件を三つ挙げています。ソフトがインストールされて起動していること、ネットに接続されていること、本人が許可していること。裏を返せば、どれか一つを断てば遠隔操作は続きません。いま現在つながれている心配があるなら、ソフトの削除か通信の切断のどちらかで止まります。

そして、画面は全部見られていたと考えてください。IPAは、遠隔操作中に目を離していた場合は閲覧された可能性があるとして、パスワードやカード番号を保存していた場合は変更を検討するよう案内しています。ブラウザーにパスワードを保存している方は、手順4に戻って、保存していたものを順に変えていくことになります。

ネットバンキングにログインさせられた場合は、IPAが二つに分けて案内しています。送金していない場合は、パスワードを変更し、身に覚えのない取引がないか確認して銀行に相談する。送金してしまった場合は、至急、振込先の銀行に連絡する。

支払ってしまった分の取り消しについては、消費生活センターへの相談が窓口になります。全国共通の電話番号は、局番なしの188です。

自分のアドレスから勝手にメールが出ているとき

「あなたから変なメールが来た」と知人に言われた、というご相談です。ここには、まったく別の二つの状態が混ざっています。本当にアカウントを乗っ取られて、自分のメールアドレスから送信されている場合と、差出人の名前とアドレスだけを他人に騙られている場合です。

フィッシング対策協議会のガイドラインは、なりすましメールについて「差出人情報だけで真偽は判断できません」としています。つまり、自分のパソコンにもアカウントにも何も起きていなくても、自分の名前で他人にメールが届くことはあり得ます。名前が使われた＝自分が感染した、ではありません。

見分けのとっかかりは「送信済みアイテム」です。自分のメールの送信済みフォルダーに、その覚えのないメールが残っていれば、自分のアカウントから出ています。残っていなければ、偽装の可能性が高くなります。ただし、相手が送信済みの記録を消していることもあるので、残っていないことだけを根拠に安心はしないでください。

自分のアカウントから出ていた場合は、手順4の順番でパスワードを変えます。あわせて、設定が書き換えられていないかを見てください。メールの転送設定や自動返信が足されていないか、登録されている連絡先が差し替えられていないか。IPAも、身に覚えのないメールアドレスや電話番号は削除して自分の情報だけにするよう案内しています。パスワードだけ変えて設定を見落とすと、受信したメールが相手に流れ続けます。

そのうえで、受け取った方に一言伝えてください。「自分の名前で変なメールが行っているかもしれないので、開かないでほしい」と連絡するだけで、広がりは止まります。心当たりのある相手だからこそ開いてしまう、というのがこの手口の狙いです。

その後、迷惑メールが急に大量に届くようになった場合について、ガイドラインは、アドレスが広く漏えいしている可能性があるとして、新しいアドレスを作成して利用中のサービスの登録先を変更する方法を挙げています。古いアドレスは連絡が取れなくなるのを防ぐために残しておいても構わないが、フィッシングには十分注意するように、とも書かれています。

メールの送受信そのものができなくなっている場合は、原因が別のところにあることもあります。メールが送れない・受信できないときの確認手順をご覧ください。

次に届いたときの見分け方

見分ける手がかりは、文面の雰囲気ではありません。ドメイン名と、連絡が来る筋道の二つです。この二つは、慌てていても機械的に確認できます。

そのうえで、設定を一度見直してください。ガイドラインは、迷惑メールフィルターについて「標準では設定が無効となっていることが多い」と書いています。使っているメールサービスの設定画面を開いて、有効になっているかを確かめるだけで、届く数が変わります。

もうひとつ、銀行・カード会社・ショッピングサイトは、ブックマークか公式アプリから入る癖をつけてください。メールのリンクを押さない習慣そのものが、いちばん効く対策です。ガイドラインも、サービス案内や請求書などでドメイン名を確認し、直接入力することを勧めています。

iPhoneやiPadをお使いの方は、もう一点。ガイドラインは、Apple端末ではリンクの長押しプレビューでサイトにアクセスしてしまうため注意が必要としています。パソコンと同じつもりで長押しして確認する、という方法が通用しない場合があります。

それでも不安が残るとき

手順どおりに進めても、「本当に大丈夫なのか」という不安は残りやすいものです。とくに、遠隔操作を許してしまった場合や、何を押したか思い出せない場合は、自分で確認しきれません。費用と時間の目安を載せておきます。

金額は店や作業範囲で幅があります。ここに書いたのは相場の感覚で、特定の店の価格表ではありません。見積もりは必ず、作業の前に出してもらってください。

公的な相談窓口も使えます。技術的な相談は、IPA（情報処理推進機構）の情報セキュリティ安心相談窓口。同じ被害を広げないための情報提供は、フィッシング対策協議会が受け付けています。金銭被害など実質的な被害が出た場合は、お住まいの地域の都道府県警察のサイバー犯罪相談窓口。支払いの取り消しなど消費者トラブルは、消費生活センター（局番なしの188）や国民生活センター。法的なトラブルになった場合は法テラスです。

どこに相談するか迷ったときは、お金が動いたかどうかで分けてください。動いていれば銀行・カード会社と警察。動いていなければ、パソコンの点検とパスワードの変更が中心になります。