退職年金の積立金を確認するはずが、パスワードまで要求？

会社員であれば関心を持つであろう、退職年金の積立金の運用状況を確認するよう促すメールにも注意が必要である。
最近、退職年金に関する案内を装い、メールアカウント情報を狙うフィッシングメールが確認された。攻撃者は、セキュリティメールの確認を名目に HTML ファイルを開くよう誘導し、実際の文書の代わりに偽のログイン画面を表示してパスワードの入力を要求する。この過程では、正規の Web フォーム送信サービスがアカウント情報の窃取経路として悪用されていることも確認された。退職年金の案内を装ったフィッシングメールの攻撃手法と対策について見ていこう。

このメールは、金融機関から送信された案内文を装い、2026年9月時点の退職年金積立金の運用状況を確認するよう誘導していた。攻撃者は、セキュリティメールを閲覧するには、添付された HTML ファイルをダウンロードして開く必要があると案内していた。

HTML は、Web ページの構成に使用されるファイル形式であり、ブラウザで開くと Web ページ形式の画面を表示できる。攻撃者はこの特徴を悪用し、添付ファイルを開いた際にフィッシング画面が表示されるようにしていた。

メールアドレスが事前入力された偽のログイン画面

ユーザーが添付された HTML ファイルを開くと、文書を閲覧するためのログインページを装ったフィッシング画面が表示される。この画面には、メールの受信者のメールアドレスが変更できない状態であらかじめ入力されている。これは、ユーザーに正規の認証手続きを行っていると思い込ませるための仕掛けである。

ユーザーがパスワードを入力して [ファイルを表示] ボタンをクリックすると、メールアドレス、パスワード、ブラウザ情報、入力時刻が外部に送信される。攻撃者はこれらの情報を窃取するために、正規の Web フォーム送信サービスである Web3Forms を悪用した。

Web3Forms は、Web サイトで入力されたフォームデータをメールで送信するサービスである。今回の攻撃では、フィッシング画面を通じて収集された情報が Web3Forms API に送信され、攻撃者は Access Key に紐付けられたメールアドレス宛てに当該情報を受け取る仕組みであると分析された。

[図1] Web3Forms に送信されるアカウント情報の例 (テスト用パスワードを使用)

退職年金の案内メールを受信した際に確認すべきこと

金融機関から送信されたように見えるメールや、添付ファイル内のログイン画面を無条件に信用してはならない。アカウント情報の窃取被害を防ぐためには、メールを確認する段階からログイン情報を入力する直前まで、以下の点を確認する必要がある。

1. 送信者のメールアドレスを確認する
   金融機関や企業から送信されたメールであれば、送信者のメールアドレスが公式ドメインを使用しているか確認する必要がある。送信者名やメールに表示された機関名だけで正規のメールだと判断してはならない。
2. リンクと添付ファイルを確認する
   メール本文内の画像やリンクをクリックする前にリンク先の URL を確認する必要がある。不審なリンクは、別の Web サイトを経由して最終的に正規のページに接続される場合もあるため、途中の経由先にも注意が必要である。
   添付ファイルについても拡張子を確認し、出所が不明な実行ファイル (.exe) やスクリプトファイル (.vbs、.js) などを安易に開いてはならない。今回の事例のように HTML ファイルもフィッシングに悪用される可能性があることを認識しておく必要がある。
3. 機密情報を入力する前に Web サイトのアドレスを確認する
   ログインパスワードなどの機密情報を入力する前に該当ページの URL が公式 Web サイトのものと一致しているか確認する必要がある。HTTPS が適用されているか、ブラウザに安全な接続を示す表示があるかについても確認するとよい。
   ただし、HTTPS や鍵マークのアイコンが表示されていても、必ずしも正規のサイトであるとは限らない。不審なページには情報を入力しないことが重要である。

退職年金など金融関連の案内メールを受信した場合は、添付ファイルやリンクをすぐに開くのではなく、該当する金融機関の公式 Web サイトやアプリに直接アクセスして案内内容を確認することが安全である。