公開日：
電子契約を装ったフィッシングメールの見分け方｜偽の署名依頼から情報を守る対策
電子契約の署名依頼メールが届いたとき、「本当に取引先から送られたものなのか」「偽物のメールではないか」と不安に感じたことはありませんか。
電子契約は、メールやSMSで届いたリンクから契約書を確認・署名できる便利な仕組みです。一方、電子契約サービスや取引先企業を装い、不正なWebサイトへ誘導するフィッシングメールには注意が必要です。
フィッシングメールは、実在する企業名やサービス名を使用し、本物の通知メールに似せて作られることがあります。メールの見た目だけで判断すると、不正なリンクを開いたり、個人情報やログイン情報を入力してしまったりする危険があります。
本記事では、電子契約を装ったフィッシングメールの特徴、偽の署名依頼の見分け方、不審なメールを受け取った場合の対処方法を解説します。
電子契約を受け取る方はもちろん、取引先へ署名依頼を送信する企業の担当者にも役立つ内容です。
電子契約を装ったフィッシングメールとは？
フィッシングメールとは、実在する企業やサービスになりすまし、受信者を偽のWebサイトなどへ誘導する不正なメールです。
電子契約の署名依頼を装う場合、実際の電子契約サービスと似た件名やデザインを使用し、受信者に契約書の確認や署名を促すことがあります。
例えば、以下のようなメッセージが届くケースが考えられます。
- 「新しい契約書が届いています」
- 「本日中に電子署名を完了してください」
- 「未署名の契約書があります」
- 「契約書の確認期限が迫っています」
- 「セキュリティ確認のため再ログインしてください」
このような表現自体が不正というわけではありません。実際の電子契約サービスでも、署名依頼や期限に関する案内が送信されることがあります。
重要なのは、メールの件名や文章だけで本物かどうかを判断しないことです。
フィッシングメールでは、署名依頼を受け取った人の不安や焦りを利用し、リンク先でログイン情報や個人情報を入力させようとする場合があります。
偽の署名依頼を見分ける5つのチェックポイント
電子契約のフィッシングメールは、本物の署名依頼に似せて作られることがあります。
そのため、ロゴやメールのデザインが自然だからといって、安全だと判断することはできません。
不審な署名依頼が届いた場合は、次の5つのポイントを確認しましょう。
1. 契約書を受け取る予定があったか
最初に確認したいのは、署名依頼が届くことを事前に案内されていたかどうかです。
例えば、取引先の担当者から「本日、業務委託契約書を電子契約で送ります」と連絡を受けていた場合、届いたメールと予定を照合できます。
一方、まったく取引のない企業から突然契約書が届いた場合や、内容に心当たりがない場合は、慎重に確認する必要があります。
ただし、事前案内がなかったという理由だけで偽物と断定できるわけではありません。
確認できない場合は、メール内の連絡先ではなく、以前から把握している取引先の電話番号やメールアドレスを使って問い合わせましょう。
2. 送信元メールアドレスが不自然ではないか
フィッシングメールでは、企業名や差出人名を本物に似せて表示する場合があります。
例えば、差出人の表示名が取引先企業の名前になっていても、実際の送信元メールアドレスが異なることがあります。
そのため、表示名だけでなく、メールアドレスのドメイン部分も確認しましょう。
ただし、電子契約サービスでは、サービスの標準ドメインや、送信企業が設定した独自ドメインを利用する場合があります。
知らないドメインだから必ず偽物、見覚えのあるドメインだから必ず本物、という判断はできません。
メールアドレスは判断材料のひとつと考え、契約の予定や送信者への確認と組み合わせることが大切です。
3. リンク先のURLが不自然ではないか
電子契約のフィッシングメールで、特に注意したいのが署名用リンクです。
本物に見えるボタンが設置されていても、実際には別のWebサイトへ誘導される可能性があります。
パソコンでは、リンクをクリックする前にマウスポインターを合わせることで、遷移先のURLを確認できる場合があります。
URLを確認する際は、企業名やサービス名に似た文字列が含まれているかどうかだけでなく、実際のドメインを確認することが重要です。
また、HTTPSの鍵マークが表示されていても、それだけで正規のサイトであるとは限りません。
リンク先が不明な場合は、無理にアクセスせず、送信者へ別の連絡手段で確認しましょう。
4. 不自然に急がせる内容ではないか
フィッシングメールには、受信者に考える時間を与えないよう、緊急性を強調するものがあります。
例えば、「今すぐ署名しなければ契約が無効になる」「至急アカウント情報を確認してください」といった内容です。
実際の契約書にも署名期限が設定される場合はありますが、心当たりのないメールで緊急対応を求められた場合は、慎重に判断しましょう。
特に、契約内容の確認よりもログイン情報や支払い情報の入力を強く促している場合は注意が必要です。
5. 不必要な個人情報やパスワードを求められていないか
電子契約では、署名者の氏名や連絡先など、契約に必要な情報を入力する場合があります。
一方、契約書の内容とは無関係なパスワードやクレジットカード情報などを求められた場合は、送信者やリンク先の正当性を確認する必要があります。
サインタイムでは、署名依頼を受け取った方が署名するためだけにアカウント登録を行う必要はありません。
そのため、署名依頼を開くために新しい有料アカウントの契約を求められるなど、不審な案内が表示された場合は、そのまま手続きを進めず、送信元を確認しましょう。
不審な電子契約メールが届いた場合の対処方法
偽の署名依頼が疑われる場合は、メール内のリンクから確認を進めないことが重要です。
具体的には、次のような順番で対応するとよいでしょう。
ステップ1｜メール内のリンクや添付ファイルを開かない
不審なメールを受け取った場合は、リンクを開いたり、添付ファイルをダウンロード・実行したりする前に、送信元を確認しましょう。
メールに記載された「問い合わせ先」も攻撃者が用意したものである可能性があるため、安易に利用しないことが大切です。
ステップ2｜取引先へ別の連絡手段で確認する
電子契約を送った可能性のある取引先に、電話や普段利用しているメールなどで確認します。
その際、署名依頼の有無や、送信予定の契約書名を確認すると、状況を判断しやすくなります。
メール内の返信先や電話番号をそのまま使用するのではなく、以前から把握している連絡先を利用しましょう。
ステップ3｜社内のセキュリティ担当者へ共有する
会社のメールアドレスに不審な署名依頼が届いた場合は、社内の情報システム担当者やセキュリティ担当者へ報告しましょう。
同じ内容のフィッシングメールが、複数の従業員に送信されている可能性もあります。
報告する際には、メールの受信日時、差出人、件名、不審な点などを伝えると確認を進めやすくなります。
なお、不審なメールをほかの従業員へ転送する場合は、誤ってリンクを開いてしまうリスクにも注意し、社内の報告ルールに従ってください。
偽サイトを開いてしまった場合はどうすればよい？
フィッシングメールのリンクを開いてしまった場合でも、その後に何をしたかによって必要な対応が異なります。
例えば、Webサイトを表示しただけの場合と、パスワードを入力した場合では、リスクが異なります。
状況別の対応例を整理すると、次のようになります。
| 状況 | 対応の考え方 |
|---|---|
| リンクを開いたが何も入力していない | ページを閉じ、社内のセキュリティ担当者へ状況を共有する |
| ID・パスワードを入力した | 正規のサイトから速やかにパスワードを変更し、担当者へ報告する |
| 個人情報を入力した | 入力した情報と相手先を整理し、必要な対応を担当者に相談する |
| ファイルをダウンロード・実行した | 端末の利用状況を含めて、情報システム担当者へ速やかに報告する |
| 支払い情報を入力した | カード会社や決済サービスなど、関係先へ速やかに相談する |
特に、業務で使用するアカウントの認証情報を入力してしまった場合は、ほかのサービスでも同じパスワードを使用していないか確認することが重要です。
また、不審なページを開いただけだから問題ないと自己判断せず、社内のセキュリティルールに従って対応しましょう。
電子契約を送る企業側ができるフィッシング対策
フィッシング対策は、署名依頼を受け取る人だけの問題ではありません。
電子契約を送信する企業側にも、受信者が正規の署名依頼であることを確認しやすい環境を整えることが求められます。
例えば、電子契約を送信する前に、使用するサービス名や送信予定日を知らせておけば、受信者は突然届いたメールを判断しやすくなります。
また、送信メールの表記や案内方法を統一することも有効です。
自社ブランディングで送信元を分かりやすくする
サインタイムでは、自社ブランディング機能を提供しています。
この機能では、自社ロゴの表示や送信ドメインの変更、メール件名・本文のカスタマイズなどを行えます。
自社名義のメールや統一した案内文を利用することで、受信者が契約書の送信元を認識しやすくなります。
例えば、事前案内で使用する送信元ドメインやサービス名を伝えておけば、受信者は届いたメールを照合しやすくなります。
ただし、ロゴや企業名の表示だけでフィッシングメールを完全に防げるわけではありません。攻撃者が企業名やデザインを模倣する可能性もあるため、受信者への案内や確認手順と組み合わせることが大切です。
なお、自社ブランディング機能の利用可否は契約プランによって異なります。
アクセスコードで書類への不正な閲覧リスクを抑える
電子契約書そのものへの不正な閲覧を抑える方法として、アクセスコードの活用も考えられます。
サインタイムのアクセスコードによる本人確認／閲覧制限を活用すれば、署名者が書類を開く際にアクセスコードの入力を求めることができます。
これにより、署名用リンクだけを取得した第三者による書類閲覧のリスクを抑えやすくなります。
ただし、アクセスコードはフィッシングメールそのものを検知・遮断する機能ではありません。
「不審なメールを見分ける対策」と「正規の契約書へのアクセスを制限する対策」は、目的を分けて活用しましょう。
電子契約のフィッシング対策を社内ルールに組み込む
電子契約を安全に利用するには、不審なメールを受け取ったときの対応方法を、社内で共有しておくことも重要です。
特に、契約書の確認を行う営業、人事、総務、法務などの部署では、電子契約の署名依頼を受け取る機会が多くあります。
社内ルールに含めたい内容としては、以下が挙げられます。
- 電子契約の署名依頼が届く際の事前案内方法
- 不審なメールを見分けるための確認項目
- 送信元を確認できない場合の問い合わせ方法
- 社内のセキュリティ担当者への報告ルート
- パスワードなどを入力してしまった場合の初動対応
- 契約書の送信元ドメインや案内文の管理方法
こうしたルールを整えておくことで、受信者が一人で判断せず、必要な確認を行いやすくなります。
まとめ｜電子契約の偽メールは、送信元とリンク先を確認して判断しよう
電子契約を装ったフィッシングメールは、実在する企業や電子契約サービスになりすまして届く可能性があります。
そのため、メールの見た目やロゴだけで安全性を判断するのではなく、署名依頼の予定、送信元、リンク先のURLなどを確認することが重要です。
不審な場合は、メール内のリンクを使用せず、取引先へ別の連絡手段で確認しましょう。
また、電子契約を送信する企業側も、事前案内やメール表記の統一、自社ブランディング、アクセスコードなどを適切に活用することで、安全な契約運用につなげられます。
サインタイムでは、電子署名・電子契約に加え、各種セキュリティ機能を提供しています。
安心して電子契約を利用できる環境を整えるためにも、フィッシングメールへの対処方法を社内で共有し、日常の契約業務に取り入れていきましょう。
サインタイムの資料ダウンロード
電子契約の導入やセキュリティ対策を検討している方は、サインタイムのサービス資料をご覧ください。
自社ブランディングやアクセスコードをはじめ、契約書の送信・署名・保管を安全かつ効率的に進めるための機能をご確認いただけます。
