ファイル共有を装う偽メールの見分け方｜Dropbox・OneDrive風の通知と安全な受け渡し

取引先の担当者の名前で、「ファイルが共有されました」というメールが届きます。文書の名前は取引に関係がありそうなもので、本文には「開く」のボタンがあります。押すと、見慣れたマイクロソフトやGoogleのサインインの画面に似たページが開き、文書を表示するにはサインインが必要だと出ます。メールアドレスとパスワードを入れても文書は表示されず、数日後、自分の名前で同じようなメールがほかの取引先に届いていたと分かります。ファイル共有の通知を装うフィッシングは、このような流れで、受け取った人のメールのアカウントを狙います。

この種のメールは、本物のファイル共有サービスが送る通知の仕組みを使って届くことも、乗っ取られた知人や取引先のアカウントから届くこともあります。送り主の名前や画面の見た目だけでは、見分けきれません。先に決めておきたいのは開き方です。通知のメールのリンクからは開かず、サービスのアプリやブックマークから自分で開いて、共有された一覧に本当にあるかを見る。予定に無い共有なら、送り主にメール以外の手段で確かめる。この二つに、パスキーか2段階認証の設定を組み合わせます。

動画を送る側にもできることがあります。送る前に予告し、相手を指定して共有し、パスワードはURLと別の経路で伝え、期限を決めておく。そうすると、受け取る側は本物の共有だと確かめやすくなります。当社は、大阪・梅田で動画のデータからDVD・ブルーレイを作る書き込み代行の店で、動画は共有URLで受け取っています。当社への入稿も安全な受け渡しの例として書きました。事例と数字は、2026年10月時点で公表資料と各社のヘルプで確かめられた範囲のもので、画面の項目名は版によって変わることがあります。

「ファイルが共有されました」の偽メールは、四つの形で届く

ファイル共有を装う偽メールは、見た目こそいろいろですが、最後はたいてい同じ場所に行き着きます。IDとパスワードを入れさせる画面です。IPA（情報処理推進機構）は2017年10月の参考資料で、さまざまな型に共通するのは、利用者をだまして自分でIDやパスワードを入力させることだ、とまとめています。形を知っておくと、途中のどこで止まればよいかが分かります。ここでは、公表資料で確かめられた型を四つに分けて並べます。

四つのうち三つは、メールアドレスとパスワードを盗むためのものです。残りの一つは、共有されたように見せたファイルそのものにウイルスを仕込む型で、ログインの画面は出てきません。どちらの型でも、始まりは「誰かがファイルを渡そうとしている」という知らせです。受け取る側は、仕事や家の用事で、その知らせを開かないわけにいかないことが多く、そこを突かれます。

共有の通知そっくりのメールから、偽のサインインの画面へ

よく知られているのは、ファイル共有サービスの通知メールをまねた型です。「○○さんがファイルを共有しました」という一文、文書の名前、「開く」や「ドキュメントを表示」のボタン、サービスのロゴ。本物の通知は文面が短く、形が決まっているぶん、まねやすいものです。ボタンの先は、サービスのサインインの画面に似せたページです。

出てくる偽の画面は、共有サービスそのものの画面とは限りません。後で触れるIPAの報告には、電子署名のサービスの通知を装ったメールから、マイクロソフトのアカウントの入力画面へ進ませる事例が載っています。攻撃する側が欲しいのは、仕事のメールや書類がまとまっているアカウントだからです。文書を見るために、そのサービスとは別の会社のアカウントでのサインインを求められたら、その時点で手を止めましょう。

添付の文書を開くと「ここをクリック」と出る型

本文にリンクを書かず、添付したPDFなどの文書から偽の画面へ連れていく型もあります。IPAが2017年10月に公表した参考資料では、添付のPDFを開くと、文書がぼやけて読めないように見せ、「文書を閲覧するにはここをクリック」と指示する例を紹介しています。文書がDropboxに置かれていて、アクセスしないと読めないように装った例や、マイクロソフトのOffice Onlineに置かれているように装った例も載っています。

指示どおりに押すと、ブラウザでアカウントの情報を入れる画面が開きます。資料は、この型の文書を開いただけでは被害は起きず、入力してしまったら速やかにパスワードを変えるよう書いています。文書の中に「ここを押して」と書かれていたら、それ自体を疑いましょう。添付の文書なのに、読むためにサインインが要るというのは、本来の添付ファイルの動きとは違うからです。

電子署名やFAXの受信通知を装う型

IPAが2024年2月29日に公表した「サイバー情報共有イニシアティブ（J-CSIP）」の運用状況の報告には、電子署名のサービスからFAXの受信を知らせるメールを装ったフィッシングの事例が載っています。英語の文面で文書の確認と署名を促し、本文の「Review Document」の部分に偽のページへのリンクが付いていました。開くとマイクロソフトのアカウントの入力を促す画面が出ることから、IPAはアカウントの認証情報を盗む狙いだったとみています。

この事例では、メールのセキュリティ製品の検査をすり抜けて、数十件が従業員の手元まで届きました。しかも、偽の画面の前には、ロボットではないことを確かめるチェックの画面まで挟まれていました。本物のサイトでよく見る確認の手順が出てきても、それで安心はできません。IPAは、技術的な対策が整っていても攻撃メールが届くことはあるとして、従業員の教育などの人の側の対策を組み合わせるよう呼びかけています。

転送サービスの「ダウンロードの準備ができました」型

大きなファイルを送る転送サービスの通知も、形をまねやすいものの一つです。「ファイルが届いています」「ダウンロード期限が近づいています」といった知らせは、受け取る側がサービスの名前を知らなくても、期限があると言われると開きたくなります。ダウンロードの画面と称するページで、メールのパスワードやカード番号を求めてくるなら、それは偽物です。ファイルを受け取るのに、自分のメールのパスワードは要りません。

当社への入稿でも使われるギガファイル便については、2026年10月時点で、公的機関や運営会社による、ギガファイル便をかたる偽メールの注意喚起は見つかりませんでした。それでも、転送サービスの通知の形はまねしやすいので、受け取り方の決まりは同じにしておきましょう。サービスの仕組みそのものの安全性はギガファイル便は安全かを公式の情報で確かめた記事で書いています。ダウンロードしたファイルに、動画の代わりにディスクイメージやショートカットが入っていた場合の扱いはISO・IMGファイルの添付を開く前に確かめることにまとめました。

ここまでの四つの型を、偽の通知が届いてからアカウントが使われるまでの流れとして並べると、次のようになります。止められる場所は、通知を開く前、確認の画面が出たとき、サインインの画面が出たときの三か所です。後ろへ行くほど、取り返す手間が大きくなります。

取引先や知人のアドレスから届くのはなぜか

知らない差出人からの怪しいメールなら、多くの人が警戒します。ファイル共有を装う型がやっかいなのは、ふだんやりとりしている相手の名前とアドレスで届くことです。マイクロソフトの脅威インテリジェンスのチームは2024年10月8日に、正規のファイル共有サービスを悪用したフィッシングについての報告を公表しました。SharePoint・OneDrive・Dropboxのような正規のサービスを使う攻撃を、2024年4月中旬から多く確認したという内容です。

報告によると、攻撃者は、すでに乗っ取った取引先などのアカウントからファイルを共有してきます。受け取る側から見れば、信頼している相手から、本物のサービスの通知が届く形です。件名は、ITの担当やヘルプデスクを装ったものや、パスワードのリセットのように急がせるものが使われました。共有の先で本人確認を済ませた人は、偽のページへ送られ、IDとパスワード、多要素認証の応答までとらえられて、ログインした状態そのものを盗まれます。

攻撃者は、共有を受け取った本人しか開けない設定や、閲覧だけでダウンロードさせない設定を使い、セキュリティ製品が中身を調べにくくしていた、とも報告されています。目的の多くは、取引先を装って送金をさせる詐欺（ビジネスメール詐欺）につなげることでした。マイクロソフトは対策として、フィッシングに強い認証、ブラウザの保護機能と並べて、信頼している取引先からの共有の通知でも注意するよう教育することを挙げています。

国内でも同じ構図が確かめられています。前の節で触れたIPAの2024年2月の報告の事例では、メールの記録から、攻撃者が実在する組織のメールアカウントを乗っ取り、そこから送ったものと考えられています。IPAは、正規のアカウントを乗っ取って送られたメールは正規の配送経路を通って届くため、送信ドメイン認証（SPF・DKIM・DMARC）を入れていても着信を防げない、と注意しています。

フィッシング対策協議会は2026年6月26日に、国内のインターネット接続事業者のID・メールアドレス・パスワードが不正に使われ、フィッシングメールが送られたとみられる、という緊急情報を出しました。協議会は、漏えいした情報は犯罪者の間で売買され、消せないとして、新しいメールアドレスへの移行も検討の対象としています。正規の事業者のメールサーバーから届いたメールでも、それだけで安心はできません。

本物のサービスが送る通知に、罠のファイルが入っていることもある

もう一つ知っておきたいのは、通知のメールそのものが本物で、共有されたファイルの中身が罠という場合です。Googleの管理者向けのヘルプは、ドライブの共同編集の機能を悪用する手口として、個人情報の入力を求める有害なリンクを含む文書を詐欺師が共有する例を挙げています。そのうえで、メールの通知はGoogleから送信されるため、受け取った人は内容が正当なものだと誤解する可能性がある、と書いています。

Dropboxのヘルプ「フィッシング詐欺とウィルスから身を守る方法」（2024年12月更新）にも、同じ趣旨の一文があります。通知がDropboxから送信されている場合でも、差出人の名前に見覚えがなければ、ファイルを開いたり、ダウンロードしたり、共有フォルダの招待を承諾したりしないように、という内容です。通知が本物かどうかと、共有してきた相手と中身が信用できるかどうかは、分けて考える必要があります。

確認のコードを求められたから本物、とは言えない

マイクロソフトのヘルプによると、職場や学校のアカウントから組織の外の人へファイルを共有したとき、OneDriveやSharePointは、ワンタイムパスコードを相手のメールアドレスに送って本人を確かめることがあります。つまり、本物の共有でも、コードの入力を求められる場面があります。一方で、2024年のマイクロソフトの報告では、攻撃者もこの再確認の手順を使っていました。

コードが届いた、確認の画面が出た、ロボットではないことのチェックがあった。どれも、それだけでは本物の証拠になりません。見るべきなのは、その共有を自分が予定していたか、そして自分で開いたサービスの画面に同じ共有があるかの二点です。メールのリンクを順にたどっている限り、出てくる画面はどれも相手が用意したものだ、と考えておくと判断を誤りにくくなります。

狙われるのはメールのアカウントで、その先に送金の指示がある

偽の共有通知で集めたIDとパスワードは、何に使われるのか。IPAの2017年の資料は、オンラインバンキングのような直接お金に関わる情報だけでなく、企業で使うクラウドサービスのアカウントも狙われるようになったとして、当時のOffice 365やGoogle Appsのアカウントが狙われた例を挙げています。奪われると、メールやクラウドに置いたファイルを盗まれたり、奪われたアカウントから別の人へ攻撃が送られたりします。被害は、入力した本人だけでは終わりません。

IPAが2024年2月に公表した報告には、乗っ取られたアカウントがどう使われるかを示す別の事例もあります。海外の関係会社の従業員に、人事部長を名乗ってお金をだまし取ろうとするメールが届き、当の部長に確かめると、本人の知らないうちに送られていました。調べると、Microsoft 365の多要素認証が何らかの方法で突破され、ブラウザ版のOutlookに不正にログインされていました。

この事例では、メールの仕分けのルールまで勝手に作られていました。詐欺メールへの返信が届くと、ふだん開かないフォルダへ移して開封済みにする、という設定です。本人が気づかないまま、自分のアドレスが詐欺の送り主として使われ続けます。IPAは、信頼できる送信元からのメールでも、不審な点があれば電話などメール以外の方法で事実を確かめるよう勧めています。パスワードを入れてしまった後に、仕分けの設定まで確かめる理由はここにあります。

IPAの「情報セキュリティ10大脅威 2026」（2026年1月29日公表）では、組織編の10位に「ビジネスメール詐欺」が入りました。9年連続の選出です。警察庁が2026年9月に公表した上半期のまとめでは、経営者になりすまして社員にSNSのグループを作らせ、送金させる詐欺が、2026年1〜6月に127件、被害額は約38億8,000万円にのぼりました。始まりはメールです。10大脅威を家庭と小さな職場の目で読み直した記事は情報セキュリティ10大脅威2026を家庭と小さな職場で読むにあります。

家庭のメールのアカウントが取られると

家庭のメールのアカウントも、同じように使われます。ネットのサービスの多くは、パスワードを忘れたときの再設定のメールを、登録したアドレスに送ります。メールのアカウントを取られると、そこにつながる買い物、写真や動画の保管、SNSのアカウントまで手が届くことになります。写真や動画を預けているアカウントを乗っ取られたときの取り戻し方はApple・Googleアカウントを乗っ取られたときの記事で書きました。

Appleのヘルプは、Apple Accountの不正利用が疑われるときの手順の一つとして、メールの事業者と携帯電話会社に連絡し、アカウントにひもづくメールアドレスと電話番号に問題がないか、とくに電話番号にSMSの転送が設定されていないかを確かめるよう案内しています。メールのアドレスと電話番号は、ほかのアカウントを取り戻すときの連絡先も兼ねています。偽の共有通知で家のメールのパスワードを入れてしまったら、メールだけの問題では済まないと考えて動きましょう。

2025年から2026年のフィッシングを、報告の件数で見る

フィッシング対策協議会の「フィッシングレポート2026」（2026年6月公開）によると、2025年に協議会へ寄せられたフィッシングの報告は2,454,297件で、過去最多でした。2024年の1,718,036件の約1.43倍です。これは届いたメールの通数でも、被害に遭った人の数でもなく、協議会に報告された件数です。警察庁も、2026年3月に公表した令和7年のまとめで同じ数字を挙げ、右肩上がりの増加が続いていると書いています。

2026年に入ってからは、月ごとの件数が大きく上下しています。1月は202,350件、2月は57,096件、8月は82,338件でした。月に約6万件から約20万件のあいだで動いていて、2025年の山よりは低い水準です。名前をかたられた会社は、2025年12月から2026年8月の月次報告では毎月Amazonが1位、Appleがおおむね2位で、2026年は航空会社や官公庁をかたるものも増えました。協議会の2024年から2026年の緊急情報の題を見る限り、ファイル共有やファイル転送のサービスを名指しでかたる事例を取り上げたものはありません。

だからといって、ファイル共有を装う型が少ないとは言い切れません。前の節のとおり、この型は取引先や同僚のアカウントを使い、職場の中で回ることが多いからです。数字の上で目立つのは、送信元の見せ方の変化のほうです。2025年は、送信元を偽る「なりすまし送信」のメールが2月に全体の約69.0%を占めていましたが、10月以降は約27.0%に減りました。代わりに、攻撃者が自分で取った独自のドメインから送り、送信ドメイン認証を通過させるメールが増え、12月には約75.3%になりました。

認証を通過した、つまり名乗ったドメインから本当に送られたメールでも、そのドメインの持ち主が攻撃者なら意味がありません。乗っ取られた正規のアカウントから送られたメールなら、なおさらです。送信元の表示やメールソフトの認証の結果は、見分けの材料の一つにはなっても、決め手にはなりません。ネットバンキングの不正送金も、警察庁によると2025年は4,747件・約104億円で、その手口の約9割がフィッシングでした。証券口座を狙った型の流れは証券口座の乗っ取りに学ぶフィッシングの手口で詳しく書いています。

IPAの「情報セキュリティ10大脅威 2026」の個人編は順位を付けずに五十音順で並べていて、「フィッシングによる個人情報等の詐取」は8年連続、「インターネット上のサービスへの不正ログイン」は11年連続で選ばれています。偽の共有通知は、この二つが重なるところにあります。入力させたIDとパスワードで、メールやクラウドのサービスに不正にログインします。家庭のパソコンとスマホも、組織と同じ手口で入られることになります。

本物の共有の通知は、どこで確かめられるか

本物か偽物かを確かめるいちばん確かな方法は、メールの中で答えを探さないことです。共有された側の一覧は、どのサービスにもあります。メールのリンクを使わずに、アプリかブックマークからサービスを開き、その一覧に同じファイルが出ているかを見ます。出ていれば共有自体は本物で、出ていなければ、そのメールはサービスから届いたものではありません。ここでは、動画の受け渡しでよく使われる三つのサービスについて、確かめる場所と、不審なときの扱いを、2026年10月時点の各社のヘルプの表記で並べます。

ただし、一覧に出ていたとしても、それで中身まで安全とは限りません。前の節で書いたとおり、本物のサービスを使って罠の文書が共有されることがあるからです。一覧で確かめられるのは「そのサービスで、その相手から共有があった」というところまでで、相手のアカウントが乗っ取られていないか、中身が予定どおりのものかは、別に確かめます。

Googleドライブ

Googleドライブでファイルを共有すると、相手のメールアドレスごとに通知メールが送られます（共有する側が通知を送らない設定にすることもできます）。受け取った側は、ブラウザでドライブを開くか、スマホのドライブのアプリを開き、「共有アイテム」を見ます。自分と共有されているファイルはここに並びます。メールで知らされたファイルが見当たらなければ、そのメールのリンクは開かないようにしましょう。

見覚えのない相手からの共有は、パソコンなら「共有アイテム」の中でファイルを右クリックし、「報告またはブロック」から「レポート」を選んで報告できます。ファイルを「スパム」のフォルダへドラッグしても報告になります。同じメニューの「ブロック」を選ぶと、その相手はこちらとファイルを共有できなくなり、相手のファイルにもこちらからアクセスできなくなります。スパムのフォルダに入ったファイルは、30日後に自動で削除されます。

Googleのヘルプによると、職場や学校でドライブを使う場合は、組織の外のユーザーから共有されたファイルを、フィッシングやマルウェアの有無について自動で検査します。見つかったファイルはアクセスがブロックされ、スパムの可能性があるものはブロックされるか「スパム」に回されます。ただし、検査できるのは100MBまでのファイルで、形式によっては検査できません。数百MBから数GBになる動画は、この検査の外にあると考えておきましょう。

OneDrive

マイクロソフトのヘルプは、個人用のOneDriveに関する正規のメールは、@mail.onedrive.com、@notificationmail.microsoft.com、@infomail.microsoft.comのドメインから届くと案内しています。そのうえで、メールが正当なものか分からないときは、メールのリンクを開かず、自分でonedrive.comにサインインして確かめるよう書いています。送り元のアドレスが合っていても、共有の中身が罠という場合があるので、確かめ方は同じです。

自分と共有されたファイルは、個人用のアカウントなら、ブラウザで開いたOneDriveの左側の「共有」に並びます。職場や学校のアカウントでは「共有」の中の「共有」、スマホのアプリでは下の「共有ビュー」のアイコンから見られます。メールで知らされたファイルがここに無ければ、そのメールは無視して構いません。

Outlookで受け取った不審なメールは、メールを選んで「報告」から「フィッシング詐欺を報告」を選ぶと、マイクロソフトに報告され、受信トレイからも消えます。Outlook以外のメールソフトの場合は、フィッシングのメールを新しいメールに添付してphish@office365.microsoft.comへ送る方法が案内されています。

Dropbox

Dropboxの公式ドメインについてのヘルプ（2025年7月更新）は、Dropboxのコンテンツはすべて決まったドメインやそのサブドメインから配信されるとして、dropbox.comやdropboxmail.comなどを一覧にしています。同じページには、Dropboxがアカウントのメールアドレスやパスワードのような個人情報を尋ねるのは、www.dropbox.comのドメインだけだと書かれています。メールのリンクから開いたページでDropboxのパスワードを求められ、住所欄がこのドメインでなければ、入力しないようにしましょう。

Dropboxで特定の相手と共有すると、相手にはファイルやフォルダへのリンクを書いたメールが送られます。通知を受けた側は、メールのリンクを使わずに、自分でdropbox.comにログインして、共有されたものが届いているかを確かめます。前の節で引いたとおり、Dropboxのヘルプは、通知が本物でも、差出人に見覚えがなければ開かないよう書いています。不審なメールは、全文をabuse@dropbox.comへ転送して報告できます。

三つのサービスの確かめる場所と、送る側が使える設定を一つの表に並べると、次のようになります。パスワードと期限の欄は、送る側の節で改めて説明します。

ファイル転送サービスの通知

転送サービスは、クラウドのように「共有された一覧」を持たないものが多く、アプリから確かめるという手が使えません。確かめる相手は、送り主本人です。ファイルを送ると言っていたか、何のファイルを、いつまでに、どのサービスで送るつもりだったか。予定と一致しない通知は、開く前に送り主に聞きます。聞く手段は、通知のメールへの返信ではなく、電話や、ふだん使っている別の連絡手段にします。返信は、乗っ取られたアカウントの持ち主ではなく、乗っ取った側に届くかもしれないからです。

ダウンロードのページを開いた後も、確かめる点はあります。ページの住所が、送り主が言っていたサービスのものか。受け取るだけなのに、メールのパスワードやカード番号を求めていないか。ダウンロードしたファイルが、予定どおりの動画の形式か。三つ目は受け取る側の手順の節で改めて書きます。転送サービスを会社で使うときの決まりは会社でファイル転送サービスを使うルールの作り方で扱っています。

見分けるより先に、アカウントに済ませておく設定

画面が偽物だと見破れるかどうかは、そのときの忙しさや体調にも左右されます。どれだけ気をつけていても、急ぎの日に一度だけ入力してしまうことはあります。そこで、見分けるより前に、入力してしまっても本物のサイトでは使われにくくする設定を済ませておきましょう。対象は、仕事と家のメールのアカウントと、動画や書類を置いているクラウドのアカウントです。

パスキーか2段階認証を、メールとクラウドのアカウントに

パスキーは、鍵の片方を自分の端末に置き、サービス側には対になる鍵だけを登録する仕組みです。鍵は本物のサイトの住所（ドメイン）と結びついているので、偽のサイトではサインインが通りません。金融庁が2026年4月に公表した広報の資料も、メールやSMSで届くワンタイムパスワードを使う多要素認証は、リアルタイム型のフィッシングで突破される場合があると書き、偽サイトに誘導されてもパスキーが守ると説明しています。

Googleのアカウントでは、ヘルプが案内するアカウントのパスキーのページ（myaccount.google.com/signinoptions/passkeys）を開き、「パスキーを作成する」から作ります。個人用のマイクロソフトのアカウントでは、「高度なセキュリティ オプション」のページで「新しいサインイン方法の追加」を選び、顔・指紋・PINまたはセキュリティ キーを選んで作ります（2026年10月時点のヘルプの表記）。Dropboxは、アバターから「設定」の「セキュリティ」タブを開き、2要素認証を有効にします。選べる方法は、認証アプリ、テキスト メッセージ、セキュリティ キー、パスキーです。

2段階認証を有効にするときは、復元用のコードを必ず控えましょう。Dropboxでは「復元コード」、Googleでは「バックアップ コード」と呼ばれ、端末をなくしたときにアカウントに戻るために使います。控えは、そのアカウントの中に保存しても役に立たないので、紙に書いて鍵のかかる場所にしまうなど、アカウントの外に置きます。パスキーの仕組みと、パスキーにしても残る隙は、前に挙げた証券口座の乗っ取りの記事で詳しく書きました。

パスキーにも守れないものがあります。端末に入り込んだマルウェアが、ログインした状態を保つ情報（クッキー）を盗んだ場合、パスワードも多要素認証も要らずにアカウントを使われるおそれがあります。パスキーは、サインインの瞬間を守る仕組みで、感染した端末まで守るわけではありません。だから、次の二つの設定と、知らないファイルを開かないことが、セットで要ります。

届いた確認コードは、誰にも伝えない

2段階認証のコードは、届いた本人が、自分で開いた画面に入れるためのものです。フィッシング対策協議会は「フィッシングレポート2026」で、正規の事業者が電話でワンタイムパスワードや暗証番号を尋ねることはないと書き、電話で認証コードを教えてと言われたら詐欺を強く疑うよう呼びかけています。共有の通知のあとに「本人確認のため、届いたコードを返信してください」と求めるメールが来た場合も同じです。

自分で操作していないのに確認コードが届いた。これは、誰かがすでにパスワードを知っていて、サインインを試しているしるしです。Appleのヘルプも、頼んでいない2ファクタ認証のコードが届くことを、アカウントの不正利用を疑う兆候の一つに挙げています。コードは誰にも伝えず、本物のサイトからパスワードを変えましょう。2段階認証は、この知らせが届くところまで含めて働く仕組みです。

ブラウザの保護機能をオンにしておく

Chromeでは、右上の「その他」から「設定」を開き、「プライバシーとセキュリティ」の「セキュリティ」で、セーフ ブラウジングの保護のレベルを選べます。選択肢は「保護強化機能」「標準保護機能」「保護なし（非推奨）」の三つです。少なくとも「保護なし」になっていないことを確かめ、仕事で使う端末なら「保護強化機能」を検討しましょう。Edgeでは、マイクロソフトのヘルプが、Microsoft Defender SmartScreenがフィッシングやマルウェアのサイトやソフトから守ると説明しています。設定でオフにしていないかを見ておきましょう。

この保護機能は、すでに知られている偽のサイトを止める仕組みです。新しく作られたばかりの偽のページには間に合わないことがあり、警告が出なかったから本物、とは言えません。警告が出たら、そこで引き返しましょう。出なくても、メールのリンクから開いた画面ではサインインしないようにしましょう。保護機能は、この順番を補うものとして使います。

端末とアプリを新しく保ち、パスワードを使い回さない

IPAが2026年3月に公開した「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、基本の心得を「情報セキュリティ6か条」としてまとめています。その最初が「OSやソフトウェアは常に最新の状態にしよう！」で、ほかに「ウイルス対策ソフトを導入しよう！」「パスワードを強化しよう！」「共有設定を見直そう！」「バックアップを取ろう！」「脅威や攻撃の手口を知ろう！」が並びます。家庭のパソコンとスマホにも、そのまま当てはまります。

パスワードの使い回しは、偽の共有通知の被害を広げる原因になります。一つのサービスで入力してしまったパスワードが、ほかのサービスでも使われていれば、そこにも入られるからです。フィッシングにあったと思われるときは、影響を受けたアカウントと、同じパスワードを使っているほかの場所のパスワードをすぐに変えましょう。同じことを、マイクロソフトのヘルプも書いています。使い回しが残っていないかは、何も起きていない今のうちに洗い出しておきましょう。

共有の通知が届いたら、開く前にこの順で確かめる

迷ったときにその場で考えると、急がせる文面に押されます。順番を先に決めておけば、迷う時間そのものが短くなります。順番は三つです。その共有を予定していたかを思い出す。メールのリンクを使わずにサービスを開き、一覧にあるかを見る。予定に無い、または一覧に無いときは、送り主にメール以外で確かめる。家族や職場の人と同じ順番を共有しておくと、「あのメール、本物かな」と聞かれたときにも答えやすくなります。その道すじを図にすると、次のとおりです。

一つ目、その共有を予定していたか

本物の共有には、たいてい前置きがあります。打ち合わせで「資料はドライブで送ります」と言われた、子どもの先生から「動画は共有のリンクで配ります」と案内があった、取引先から「明日データを送ります」と電話があった。こうした前置きと、届いた通知の中身が一致しているかを見ます。送り主、サービス、ファイルの種類、届いた日。四つがそろっていれば、次の段に進みます。

一つでも合わないときは、開く前に止まります。前置きの無い共有、言われていたのと違うサービスからの共有、動画のはずが文書や圧縮ファイルになっている共有、送ると言われていた日から何週間もたって届いた共有。どれも本物の場合はありますが、開いて確かめるのは送り主に聞いた後で十分です。急ぎだと書かれていても、確かめるのにかかるのは電話一本ぶんの時間です。

二つ目、メールのリンクを使わず、自分で開いて一覧を見る

サービスを開くときは、スマホならそのサービスの公式のアプリ、パソコンなら前から登録してあるブックマークを使いましょう。金融庁や警察庁、フィッシング対策協議会の呼びかけでも、メールやSMSのリンクを使わず、公式のアプリやブックマークからアクセスすることが共通して挙げられています。検索して開く場合は、結果の上に出る広告の枠に注意し、開く前に住所が公式のドメインかを確かめます。検索広告で偽のサイトを目立たせて、マルウェアを配る手口も報告されているからです。

スマホでは、この順番がとくに役に立ちます。フィッシング対策協議会は、スマホの画面が小さくURLの全体を確かめにくいこと、通知からすぐに開けることが、SMSのフィッシングの脅威を高める背景の一つだとしています。メールでも事情は同じです。小さな画面でリンクの行き先を読み取ろうとするより、そもそもメールのリンクを使わないほうが確かです。アプリを開いて「共有アイテム」や「共有」の一覧を見れば、それで答えが出ます。

三つ目、送り主にメール以外の手段で確かめる

確かめる手段は、電話、対面、ふだん使っているチャットなど、届いたメールとは別の経路にしましょう。電話をかけるときは、名刺や前のやりとりで分かっている番号を使い、メールに書かれた番号にはかけません。SMSやメールに書かれた電話番号には電話をかけないよう、フィッシング対策協議会も呼びかけています。聞くことは短くて構いません。「何日に、どのサービスで、どんなファイルを共有しましたか」。この三点の答えが届いた通知と合えば、本物です。

相手が「送っていない」と答えたら、そのメールは開かずに報告し、相手にもアカウントが乗っ取られているおそれがあると伝えましょう。相手が気づいていない場合、同じメールがほかの取引先や知人にも届いているかもしれません。知らせることが、相手の被害を小さくすることにつながります。逆に、自分の名前で偽の通知が出ていると知らされたときの動き方は、後の節で書きます。

それでも見分けたいときに見るところ

順番どおりに確かめれば、見た目で見分ける必要はほとんどありません。それでも、メールを開いた時点で気づける手がかりはあります。フィッシングの特徴として、マイクロソフトのヘルプは、急いで行動させようとする文面、初めての送信者や「外部」と表示された送信者、名乗った会社とメールのドメインが合わないこと、誰にでも使える決まり文句のあいさつ、つづりや文法の誤り、不審なリンクや予期しない添付ファイルを挙げています。

パソコンなら、リンクを押さずにマウスのポインターを重ねると、行き先のアドレスが表示されます。Gmailのヘルプもマイクロソフトのヘルプも同じ確かめ方を案内していて、Gmailはあわせて、メールアドレスと送信者名が一致しているかを見るよう書いています。Gmailでは、連絡先のアドレスから届いたメールに詐欺の疑いがあると、上に「このメールは詐欺である可能性があります」という警告が出ることがあります。この警告が出たら、返信もリンクを開くこともせず、相手には別の方法で知らせましょう。

ファイル共有の型に特有の手がかりもあります。文書を見るために、そのサービスとは別の会社のアカウントでのサインインを求める。添付の文書の中に「閲覧するにはここをクリック」と書いてある。ファイルを受け取るだけなのに、メールのパスワードを求める。どれか一つでも当てはまれば、その先には進まないようにしましょう。ただ、これらの手がかりが一つも無い偽物もあります。手がかりは、順番を思い出すきっかけとして使い、順番の代わりにはしません。

よくある四つの場面で、どこを確かめるか

順番は同じでも、届く場面によって、確かめる相手や見るところは少しずつ違います。仕事でも家庭でも出会いやすい四つの場面について、予定と照らし合わせるときの目のつけどころと、送り主への確かめ方を並べます。どの場面でも、最後の決め手はメールの外で確かめることです。

取引先から請求書や見積書の共有が届いた

請求書や見積書は、共有の通知の口実として使いやすい文書です。受け取る側は中身を見ないわけにいかず、期日も書いてあります。まず、その取引先から、その時期に、その文書が来る予定だったかを思い出します。予定どおりなら、メールのリンクではなく、サービスのアプリから開いて一覧を見ます。文書を開いた後に、振込先の口座が変わった、急ぎで払ってほしい、と書かれていたら、前から分かっている代表の番号に電話して確かめるまでは払わないようにしましょう。

支払いの画面に誘う型にも注意が要ります。フィッシング対策協議会によると、2026年4月には、税金や公共料金、保険料、カードの請求を装って決済サービスの請求の画面へ誘い、送金させる手口が急増し、4月下旬には連日、報告の約5割を占めました。正規の請求のURLを悪用して送金させる手口が、URLの件数の約17.3%に達したとも書いています。協議会は6月分の報告で、この手口では被害に遭っても補償されないと注意しています。本物の決済サービスの画面が出ても、請求している相手が本物とは限りません。

英語の「文書の確認と署名」やFAXの受信通知が届いた

IPAの報告にあった事例は、電子署名のサービスからFAXの受信を知らせる、英語のメールの形をとっていました。自分の職場が、電子署名のサービスも、FAXをメールで受け取る仕組みも使っていないなら、それだけで予定外の通知です。使っている職場なら、そのサービスのサイトをブックマークから開き、自分宛ての文書が本当に届いているかを、サービスの中で確かめましょう。

英語の通知は、日本語の不自然さという手がかりが使えません。海外の取引先と英語でやりとりしている職場ほど、英語の通知を見慣れていて、疑うきっかけが少なくなります。英語か日本語かに関係なく、署名や確認を求める文書が届く予定があったかを担当者に聞く。そう決めておくと、言葉の出来で判断せずに済みます。

「容量が上限」「アカウントが削除される」とクラウドから届いた

この種の知らせには、本物もあります。マイクロソフトのヘルプによると、個人用のOneDriveは、2年間使われていない場合や、容量の上限を超えた場合に、ファイルが消去されるという知らせを送ります。届いたら、示された日付より前にサインインして、アカウントを使っている状態に戻します。Dropboxも、無料のBasicのアカウントについて、過去12か月のログインとファイルの操作から使われていないかを判断し、知らせのメールを送ることがあります。Googleも、2年間使われていない個人のアカウントを削除の対象にしていて、削除の前に通知を送ります。

本物があるから、偽物も同じ形で届きます。マイクロソフトの2024年の報告でも、ITの担当やヘルプデスクを装った件名や、パスワードのリセットのような急がせる件名が使われていました。フィッシング対策協議会のレポート2026も、証券会社が対策を進めると、攻撃者は「多要素認証の再設定」「補償手続き」といった、実際の案内によく似た文面で誘ったと書いています。容量や削除の知らせが届いたら、メールのリンクは使わずに、自分でサービスを開いてサインインしましょう。メールが正当か分からないときは、リンクを開かずにonedrive.comにサインインして確かめる、とマイクロソフトのヘルプも案内しています。知らせが本物なら、サインインすればそれで用が済みます。

学校や園、習い事の先生から行事の動画の共有が届いた

行事の動画は、届くのを待っている家庭が多く、開きたい気持ちが先に立ちます。届いたら、学校や園からの事前のお知らせと照らし合わせます。お知らせにあったサービスか、送り主のアドレスは前と同じか、届いた日はお知らせのとおりか。お知らせが無い、またはサービスやアドレスがお知らせと違うときは、連絡帳や電話など、いつもの連絡の手段で先生や係の人に確かめましょう。

動画を見るために、新しいアカウントの登録や、カード番号、子どもの名前や生年月日の入力を求められたら、そこで閉じましょう。入力してよいかは、先生や係の人に確かめてから決めます。行事の動画を配る側の決め方は、後の節の「学校、園、PTA、地域の団体で決めること」に書きました。配る側が予告をしていれば、受け取る家庭は、迷わずに済みます。

パスワードを入れてしまった、ファイルを開いてしまったとき

入力した、と気づいた時点で、取れる手はまだたくさんあります。リアルタイム型のように盗んだその場で使われることもありますが、本物のサイトでパスワードを変えれば、盗まれたパスワードはそれ以上使えなくなります。ただし、多要素認証の応答まで入力した場合は、ログインした状態をすでに取られているおそれがあるので、パスワードの変更に加えて、すべての端末からのサインアウトまで済ませましょう。

サインインの画面に入力しただけの場合と、ダウンロードしたファイルを開いた場合とでは、最初にすることが違います。ファイルを開いていれば、端末そのものにウイルスが入ったおそれがあり、その端末でパスワードを変えても、また盗まれるかもしれないからです。入力してしまった後の動きを、当日のうちに済ませる順に並べると、次のようになります。

サインインの画面に入力してしまったとき

まず、本物のサイトで、そのアカウントのパスワードを変えます。開くのは、アプリかブックマークです。偽の画面に入れたのがマイクロソフトのアカウントなら、サインインして「パスワードを変更」、サインインできなければ「パスワードをリセット」へ進みます。Googleのアカウントでログインできなければ、アカウントの復元のページで質問に答えていきます。Dropboxは、dropbox.comでパスワードを変え、ほかのサービスで使っていない強いものにするよう案内しています。

次に、同じパスワードを使っているほかのサービスを変えます。そのうえで、ほかの端末で使われていないかを確かめ、止めます。個人用のマイクロソフトのアカウントでは、「高度なセキュリティ オプション」のページに「すべての場所でサインアウト」があります。ヘルプによると、サインアウトには最大24時間かかることがあり、Xbox本体は対象から外れるので、個別にサインアウトします。Googleのアカウントでは、セキュリティのページで、セキュリティ イベントと使用中のデバイスを確かめ、覚えのないものを削除します。

2段階認証やパスキーをまだ設定していなければ、このときに設定します。アカウントの復旧に使う電話番号と予備のメールアドレスが、自分のものから変えられていないかも見ます。乗っ取りの手口には、復旧の連絡先を書き換えて、本人がパスワードを再設定できないようにするものがあるからです。復旧の連絡先が書き換えられていて、自分では戻せないときは、各社のアカウントの復元の手続きに進みます。

メールの転送、自動応答、振り分けの設定を見る

パスワードを変えても、乗っ取った側が仕掛けた設定は残ります。ハッキングされたアカウントを取り戻す手順の三つ目として、マイクロソフトのヘルプは、接続されているアカウント、転送、自動応答の設定を確かめるよう書いています。他人がアクセスした際に、設定が変えられている場合があるからです。IPAの報告の事例のように、届いたメールを目立たないフォルダへ移して開封済みにする振り分けのルールが作られていることもあります。

見るところは四つです。知らないアドレスへの転送が設定されていないか。覚えのない自動応答が入っていないか。覚えのない振り分けのルールが無いか。送信済みのフォルダに、自分が送っていないメールが無いか。Gmailでも、Googleのヘルプは、乗っ取られたときの手順として、Gmailやドライブ、フォトなどほかのサービスの設定も見直すよう案内しています。送信済みのフォルダに覚えのないメールがあれば、その宛先が、次の節で連絡する相手の一覧になります。

ダウンロードしたファイルを開いてしまったとき

ファイルを開いた後に、何も表示されない、見慣れない画面が出た、文書のはずが別のアプリが動いた。そうしたときは、まずその端末をネットワークから切り離します。Wi-Fiを切り、有線ならケーブルを抜きます。切り離しておけば、端末の中の情報が外へ送られ続けるのを止められ、同じネットワークのほかの機器へ広がるのも防ぎやすくなります。

Windowsでは、「Windowsセキュリティ」を開き、「ウイルスと脅威の保護」の「スキャン オプション」から「フル スキャン」を選んで「今すぐスキャン」を押します。アカウントが乗っ取られたときの手順でも、マイクロソフトのヘルプは、パスワードを変える前にこのフルスキャンでパソコンの中をきれいにするよう書いています。端末が感染したままだと、変えたパスワードもまた盗まれるおそれがあるからです。スキャンが終わるまでは、パスワードの変更は別の、問題の無い端末から行います。

職場のパソコンなら、自分で片づけずに、すぐ管理者に知らせましょう。IPAは、遠隔操作の被害に遭った企業のパソコンについて、情報漏えいの調査が終わるまで端末を保存し、管理者に相談するよう案内しています。初期化すればウイルスは消えますが、何が起きたかを調べる手がかりも、端末の中のデータも一緒に消えます。開いたファイルがディスクイメージや圧縮ファイルだった場合の確かめ方は、前に挙げたISO・IMGの記事にあります。ファイルが暗号化されて開けなくなった場合は、ランサムウェアの被害として、大手企業のランサムウェア被害に学ぶ記事で書いた初動に進みます。

知らせる、報告する、相談する

届いた偽のメールそのものも、報告に使えます。フィッシング対策協議会は、メールのリンクを開かずに、そのメールを協議会のサイトに載っている報告受付のメールアドレスへ転送するよう案内しています。Gmailなら、メールを開いて返信のアイコンの横の「その他」から「フィッシングを報告」、Outlookなら「報告」から「フィッシング詐欺を報告」を選びます。Dropboxをかたるものは、前に書いたとおりDropboxにも転送できます。報告する前に、メールを消してしまわないようにしましょう。

お金の被害が出た、出そうなときは、すぐに銀行やカード会社に連絡し、警察にも相談しましょう。警察の相談は、警察相談専用電話の#9110か、各都道府県警察のサイバー犯罪の相談窓口に。どう対処すればよいか分からないときは、IPAの情報セキュリティ安心相談窓口（電話03-5978-7509）でも相談できます。職場のアカウントなら、管理者への報告が先です。個人情報が外に出たおそれがあれば、件数や内容によっては、個人情報保護委員会への報告が要ることもあります。

職場のパソコンがウイルスに感染した、不正にアクセスされた、という被害は、IPAの「コンピュータウイルス・不正アクセスに関する届出」の窓口でも受け付けています。IPAは、届け出が被害の実態をつかみ、今後の防止に役立つとして協力を呼びかけていて、特定の組織を狙う標的型の攻撃については、別に特別の相談窓口も設けています。警察への相談と、どちらか一方を選ぶ必要はありません。

相談や報告では、届いたメール、開いた画面、入力した日時の記録を求められることがあります。メールは画面の写真ではなく、メールソフトの保存の機能でファイルとして残しておくと、送り主の情報まで含めて渡せます。どの記録をどう撮り、どこに移しておくかは、証券口座の乗っ取りの記事の「相談と届け出に使う記録の残し方」の節に、端末ごとの手順を書いています。

自分の名前で偽の共有通知が送られていたら

知人から「このファイルは何ですか」と聞かれる。送った覚えのないメールへの返信が届く。送信済みのフォルダに、見覚えのない共有の通知が並んでいる。そうした形で、自分のアカウントが偽の共有通知の送り主にされていたと分かることがあります。気づいたら、前の節の手順でパスワードを変え、すべての端末からサインアウトし、転送と振り分けの設定を確かめるところまでを、先に済ませましょう。

次に、クラウドの中の覚えのない共有を止めます。OneDriveでは、ファイルを選んで詳細の画面を開き、「アクセスの管理」から共有を止めたり、リンクを削除したりできます。Googleドライブにも、共有を停止する、制限する、変更する手順がヘルプにまとまっています。自分が共有したものの一覧を見て、作った覚えのない共有リンクや、知らないファイルが無いかを確かめます。乗っ取った側が、罠の文書を自分のドライブに置いて共有している場合があるからです。

最後に、送られた相手に知らせます。送信済みのフォルダの宛先や、共有の一覧の相手が手がかりになります。知らせる手段は、乗っ取られたメールのアカウントからではなく、電話や別のアカウントにします。「私の名前で届いた共有の通知は開かずに削除してください。開いてしまった場合はパスワードを変えてください」と短く伝えれば足ります。インターネット接続事業者のメールの場合は、その事業者にも連絡します。2026年6月の緊急情報でフィッシング対策協議会が書いたように、漏えいした情報は消せないので、新しいメールアドレスへの移行も考えておきましょう。

受け取った人から問い合わせが来たら

「○○さんの名前で共有が届いたけれど、本物ですか」と聞かれたら、送っていないことをはっきり伝え、開かずに削除してもらいます。すでに開いて、サインインの画面に入力してしまった人には、本物のサイトからパスワードを変えること、同じパスワードのほかのサービスも変えることを伝えます。職場の人なら、その人の管理者にも知らせてもらいます。

聞いてくれた人と、聞かれた日時は書き留めておきましょう。誰に届いたかの一覧が、相談や報告のときの材料になります。問い合わせが続くうちは、乗っ取った側がまだアカウントを使っているか、別の経路で送り続けているおそれがあります。パスワードの変更とサインアウトを済ませたのに問い合わせが止まらないときは、メールの事業者や職場の管理者に、送信の記録を調べてもらいましょう。

動画を送る側の手順｜受け取る人が本物だと確かめられる渡し方

ここからは、動画を送る立場の話です。運動会の動画を保護者に配る、撮影した素材を編集の担当に渡す、会議の録画を取引先に送る、ディスクにする動画を業者に入稿する。送る側が何の前置きもなく共有の通知を送れば、受け取る側から見たその通知は、偽物とまったく同じ形をしています。本物だと確かめる材料を、送る側が先に渡しておく。考え方はそれだけです。

材料は五つあります。メール以外での予告、相手の指定、URLとは別の経路で伝えるパスワード、相手の作業に合わせた期限、受け取った後の共有の停止です。全部をそろえられないサービスや場面もありますが、一つ足すごとに、偽の通知と見分けやすくなり、URLが漏れたときの被害も小さくなります。送る前の確認として並べると、次の図のようになります。

送る前に、メール以外の手段で予告する

予告は、共有の通知が届く経路とは別の経路で出しましょう。電話、会ったときの一言、ふだん使っている連絡の手段。メールで共有を送るのに、予告も同じメールの流れで出すと、アカウントが乗っ取られていた場合に予告ごと偽物になってしまいます。学校や園、地域の団体で多くの家庭に配るときは、配布のお知らせの紙や、いつもの連絡の手段で、先に知らせておきます。

予告で伝えるのは、受け取る側が照らし合わせに使える情報です。使うサービスの名前、ファイルの名前と数、だいたいの大きさ、ダウンロードできる期限、パスワードを付けるかどうか。例えば「明日、Googleドライブで、運動会_2026.mp4を1本、約2GB、共有します。今月末まで見られます」と伝えておけば、受け取る側は、届いた通知の中身がこの一文と合っているかを見るだけで済みます。

予告していない相手から「本物ですか」と聞かれたら、面倒がらずに答えましょう。確かめてもらえるのは、その人が順番を守っている証拠です。逆に、確かめずに開いてもらうのが当たり前になっている間柄だと、いつか本物と同じ形の偽物が届いたときに、そのまま開かれてしまいます。

相手を指定して共有し、「リンクを知っている全員」を避ける

Googleドライブには、相手のメールアドレスを入れる「特定のユーザーと共有する」と、リンクで渡す共有があります。リンクの一般的なアクセスは「制限付き」「リンクを知っている全員」「一般公開」から選びます。「制限付き」にしておけば、追加した相手しか開けません。OneDriveでは、リンクの範囲として「特定のユーザー」を選ぶと、指定した人だけに権限が付きます。「すべてのユーザー」は、リンクを受け取った全員が開ける設定です。

Dropboxでは、「共有」から「ユーザーを追加」でメールアドレスを入れ、「編集可能」か「閲覧可能」を選んで共有します。共有リンクのほうは、アクセスできる人を「リンクを知っている全員」か「チーム メンバー」から選ぶ作りです。相手を指定した共有なら、URLが転送されたり、偽の通知に使われたりしても、指定した相手以外は開けません。受け取る側も、自分のアカウントでサインインして一覧から開くことになるので、自然と、メールのリンクに頼らない受け取り方になります。

相手を指定した共有では、受け取る側にサインインを求める画面が出ます。これは本物の動きです。だからこそ、受け取る側には「サインインは、メールのリンクからではなく、アプリかブックマークから開いた画面で」と、予告と一緒に伝えておきましょう。学校や団体で、限定のつもりが外から見られる設定になっていた事例と、配り方の決め方は共有リンクの設定ミスで動画が外に出る事例の記事で扱っています。

パスワードと期限は、サービスとプランで使える範囲が違う

OneDriveのヘルプでは、リンクの「有効期限の設定」と「パスワードの設定」は、Microsoft 365の契約者だけの機能です。フォルダーの場合は、「すべてのユーザー」向けのリンクに限られます。Dropboxのヘルプ（2025年10月更新）では、共有リンクの「パスワードを要求する」と「有効期限」は、Professional、Essentials、Standard、Advanced、Business、Business Plus、Enterpriseのプランの機能とされています。Googleドライブの共有のヘルプでは、「有効期限を追加」は仕事用または学校用のアカウントで使える項目で、リンクにパスワードを付ける項目は見当たりません。

ギガファイル便では、ダウンロードパスワードを半角英数1〜4文字で付けられます。保持期限は3・5・7・14・30・60・100日の7種類で、初期値は5日です。アップロードした後に保持期限を変えたり延ばしたりはできないので、期限はアップロードの前に選びます。桁数の少ないパスワードなので、期限を短めにし、受け取りを確かめたら消す、と組み合わせて使いましょう。期限の決め方と、期限切れで入稿がやり直しになるのを防ぐ設定は共有URLの有効期限の記事にまとめました。

パスワードを付けたら、URLとは別の経路で伝えましょう。URLをメールで送るなら、パスワードは電話か、ふだんの連絡の手段で。同じメールに書いたり、続けて同じ宛先にもう1通送ったりすると、そのメールのアカウントを見られた時点で、URLとパスワードが一緒に渡ります。パスワード付きの圧縮ファイルを添付し、続けてパスワードを送る方法も、受け取る側から見ると、過去のウイルスメール（Emotet）でも使われたパスワード付きZIPの添付と同じ形で届く、という難点があります。

受け取りを確かめたら、共有を止める

期限は「その日まで置いておく日」ではなく、「遅くともその日には消える日」です。受け取る側から「ダウンロードしました」と連絡をもらったら、期限を待たずに共有を止めましょう。OneDriveなら「アクセスの管理」から共有を止めるかリンクを削除し、Googleドライブなら共有の設定から相手を外すか、リンクのアクセスを「制限付き」に戻します。ギガファイル便は削除キーで消せます。削除キーの扱いは、前に挙げたギガファイル便の安全性の記事に書きました。

共有を止める習慣は、偽の通知への備えにもなります。止め忘れた共有が何十件も残っていると、乗っ取りに気づいたとき、どれが自分の作ったものか分からなくなります。送った相手、サービス、作った日、止めた日を、手帳や表に1行ずつ書いておくと、後で一覧と照らし合わせられます。会社で送る場合の台帳の作り方は、前に挙げた社内ルールの記事で詳しく扱っています。

受け取る側は、ダウンロードした後も確かめる

共有は本物で、予定どおりのファイルもダウンロードできた。そこで終わりにせず、開く前に二つだけ確かめましょう。ファイルの形式と大きさが予告と合っているか。ウイルス対策ソフトで調べたか。送り主のアカウントが乗っ取られていれば、本物のサービスの本物の共有で、別のファイルが届くこともあるからです。

形式と大きさを、予告と照らし合わせる

形式は、ファイル名の最後の拡張子で分かります。Windowsは、初めの設定では拡張子を表示しないことがあるので、表示させておきましょう。Windows 11では、エクスプローラーの「表示」から「表示」、「ファイル名拡張子」を選びます。Macでは、Finderの「設定」の「詳細」で「すべてのファイル名拡張子を表示」にチェックを入れます。動画なら、.mp4、.mov、.mtsのような拡張子のはずです。

動画が届くはずなのに、プログラム（.exe）、ショートカット（.lnk）、ウェブページ（.htmlや.htm）が届いたら、開かずに送り主に確かめましょう。ディスクイメージ（.isoや.img）や圧縮ファイル（.zip）は、どれも正規の形式で、送り主が予告していたなら問題ありません。予告に無いのに届いた場合だけ、開く前に確かめます。アイコンが動画の絵になっていても、拡張子が動画でなければ動画ではありません。

大きさも手がかりになります。iPhoneで1080p・30fpsで撮った動画は、設定画面の目安で1分あたり約60〜130MBです（高効率か互換性優先か、HDRの有無で変わります）。数分の動画なら数百MBになるのが普通で、「10分の動画」と言われたファイルが数百KBしかなければ、中身は動画ではありません。反対に、予告より極端に大きい場合も、別のものが混ざっていないかを送り主に聞きます。

開く前にスキャンし、警告の表示を自分で外さない

Windowsでは、エクスプローラーでファイルを右クリックし、「Microsoft Defenderでスキャンする」を選ぶと、そのファイルだけを調べられます。Windows 11で見当たらないときは、右クリックの後の「その他のオプションを表示」の中にあります。別のウイルス対策ソフトを入れている場合は、そのソフトの名前の付いたスキャンの項目を使います。

Windowsは、インターネットやメールから来たファイルに、外から来たことを示す印を付けます。Officeはこの印を見て、マクロを止めたり、保護された表示で開いたりします。開いた文書の上に警告の帯が出たら、その帯のボタンで警告を外すのは、送り主に中身を確かめた後にしましょう。動画のファイルを開くのに、マクロやプログラムの実行の許可は要りません。許可を求められた時点で、それは動画ではないと考えます。

その日のうちに移し、置き場所と消す日を決める

受け取った動画は、その日のうちにダウンロードして、決めた置き場所へ移し、送り主に「受け取りました」と返しましょう。ギガファイル便の保持期限の初期値は5日で、アップロードの後に延ばせないので、週末をはさむと受け取れる日は思ったより少なくなります。受け取りの連絡があれば、送り主は期限を待たずに共有を止められます。お互いに、ネットの上に動画が置かれている日数を短くできます。

ダウンロードしたファイルは、まず「ダウンロード」のフォルダに入ります。そこに置いたままにすると、何がいつ誰から届いたものか、後で分からなくなります。動画の置き場所を一つ決めておき、受け取ったらそこへ移し、ファイル名に受け取った日と送り主を入れておくと、後で予告や問い合わせと照らし合わせられます。他人の顔や名前が映る動画を、私物のスマホに置いたままにしないことも、職場や団体なら決めておきましょう。

受け取ったURLを、そのまま別の人に転送するのも避けましょう。「リンクを知っている全員」の共有なら、転送した先の人も開けてしまい、送り主の知らないところへ動画が広がります。相手を指定した共有なら、転送された人は開けず、送り主に問い合わせが行くことになります。ほかの人にも見せたいときは、送り主に頼んで、その人を共有に加えてもらいます。使い終わった動画は、残す理由が無ければ消し、残すなら控えの取り方まで決めておきます。

スマホで受け取るときに気をつけること

共有の通知は、スマホで最初に目にすることが多いものです。ロック画面の通知には送り主の名前と件名の頭しか出ず、メールのアプリでも、送り主のアドレスは名前を押さないと見えないことがあります。画面が小さくURLの全体を確かめにくい、通知からすぐ開ける、とフィッシング対策協議会が挙げた事情は、共有の通知でもそのまま当てはまります。スマホでは、メールの中で本物かどうかを判断しようとしないことが、いちばんの近道です。

使うサービスのアプリを、先に入れておく

家族や仕事でよく使うファイル共有のサービスがあるなら、その公式のアプリを、何も届いていないうちに公式のアプリストアから入れて、サインインまで済ませておきましょう。そうしておけば、通知が届いたときにアプリを開いて一覧を見るだけで確かめられます。届いてから慌ててアプリを探すと、検索の結果に出てくる似た名前のアプリや広告を選んでしまうおそれがあります。

使っていないサービスから共有の通知が届いたときは、受け取るためにアカウントを作ったり、アプリを入れたりする前に、送り主に確かめましょう。共有が本物で、そのサービスのアカウントが必要なら、送り主から改めて案内してもらえば済みます。ほかの方法で受け取れないかも、そのときに相談できます。

ファイルを見るためにアプリを入れさせる画面

共有されたファイルを開くには専用のアプリが必要だ、と言ってダウンロードのボタンを出してくる画面には進まないようにしましょう。フィッシング対策協議会は2026年9月8日の緊急情報で、ポイントの失効や当選、クーポン、アプリの更新などを装ったメールやSMSから偽のサイトへ誘い、不正なAndroidのアプリを入れさせる型を取り上げ、アプリは公式のアプリストアか正規のサイトのリンクから入手するよう求めています。通知が共有の形をとっていても、不正なアプリを入れさせる狙いは同じです。

iPhoneなら安心、とも言えません。不正なアプリを入れさせる型はAndroidが中心ですが、iPhoneを使う人には、偽のサイトに入力させる型が向けられます。どちらの端末でも、メールのリンクの先でサインインやアプリの導入を求められたら、そこで閉じて、アプリかブックマークから開き直す。手順は同じです。

家庭、数人の事業所、学校や団体で先に決めておくこと

こうした備えは、一人で気をつけるより、一緒に動画や書類をやりとりする人どうしで決めておくほうが確かです。送る側が予告し、受け取る側が確かめる。この約束が片方にしか無いと、確かめたくても確かめる材料がありません。家庭、数人の事業所や店、学校や園や地域の団体で、それぞれ決めておくと迷わないことを並べます。

家庭で決めること

家族のあいだでは、「知らない共有の通知は開かずに、家族のグループで聞く」という一つの約束が役に立ちます。離れて暮らす親の世代も、孫の動画が共有で届くことに慣れていると、同じ形の通知を疑いにくくなります。動画を共有で送るときは、家族のグループに「今からドライブで送るね」と一言入れてから送る。届いた側は、その一言が無い通知を開かない。これだけで、予告の無い偽の通知は、開く前に止められます。

親のスマホやパソコンを一緒に設定できる機会があれば、メールのアカウントにパスキーか2段階認証を設定し、使っている共有サービスのアプリを入れておきましょう。復元用のコードは、親の家の決まった場所に紙で置き、どこにあるかを家族で知っておきます。子どもが使うアカウントも同じです。学校の行事の動画が、保護者のアカウント宛てに共有で届く家庭なら、届く予定を家族で共有しておくと、偽物との区別がつきやすくなります。

数人の事業所や店で決めること

取引先からの共有で、送金先の口座を変える、請求の内容を変える、といった知らせが来たときは、メールの中だけで決めないことを決まりにしましょう。確かめる電話は、前から分かっている代表の番号にかけます。警察庁は、法人の口座を狙う電話のフィッシングについて、銀行から電話があったら営業店や代表電話に折り返して確かめ、ネットバンキングは公式のサイトやアプリから使うことを社内で徹底するよう呼びかけています。ファイルの共有の通知でも、考え方は同じです。

共有の通知を受け取った人が、開いてよいか迷ったときに聞く相手も決めておきましょう。数人の職場なら、代表者か、パソコンに詳しい一人で構いません。「迷ったら開かずに聞く」が守られていれば、聞かれた人が送り主に電話をかけて確かめるだけで、開いてよいかがその場で決まります。開いてしまった人を責めない決まりにしておくと、報告が早く上がり、取引先への連絡も早くなります。

会社でGoogle WorkspaceやMicrosoft 365を契約しているなら、管理者の設定でできることもあります。Googleの管理者向けのヘルプは、ドライブのスパムやフィッシングを防ぐ方法として、許可リストや信頼ルールで外部との共有を制限すること、許可したドメインで2要素認証を必須にすることなどを挙げています。マイクロソフトの2024年の報告も、利用者の認証にフィッシングに強い方式を使うことを勧めています。IPAのガイドライン第4.0版の6か条にある「共有設定を見直そう！」は、送る側の設定と、受け取る側の決まりの両方の見直しと読めます。

職場の対策がどこまでできているかは、IPAの「5分でできる！情報セキュリティ自社診断」で確かめられます。25問に「実施している」「一部実施」「実施していない」「わからない」で答え、100点満点で今の状態が分かる作りで、ガイドラインの第4.0版で2問が加わりました。点数を上げることより、「わからない」と答えた項目を、誰に聞けば分かるのかをはっきりさせることに使うと、共有の通知の決まりを作るときの相談相手も見えてきます。

学校、園、PTA、地域の団体で決めること

行事の動画を多くの家庭に共有で配る団体は、偽の通知を名乗られやすい立場にもあります。配る側が毎年替わり、役員の個人のアドレスから、年によって違うサービスで届きます。受け取る家庭は、どの通知が本物か分からなくなります。配るときは、送り主のアドレスとサービスを団体として一つに決め、配る前に紙のお知らせやいつもの連絡の手段で予告しましょう。お知らせには、届く日、サービスの名前、ファイルの名前、見られる期間を書きます。

配る期間が終わったら、共有を止めましょう。役員が替わるときは、共有を作ったアカウントと、作った共有の一覧を引き継ぎます。引き継がれないまま残った共有は、誰も止められなくなります。子どもの顔や名前が映る動画を外から見られる設定で配ってしまった事例は、前に挙げた共有リンクの設定ミスの記事にまとめています。受け取った家庭には、動画をほかの人に転送しないこと、SNSに上げないことも、予告と一緒に伝えておきます。

共有の代わりにディスクで渡す場面と、控えを盤に焼くときの限界

共有のリンクで渡す限り、偽物にまねされる通知のメールは残ります。受け取る人が偽の通知を見分けにくい、届いた通知を開く習慣そのものを作りたくない、という相手には、リンクを使わない渡し方を選ぶ手もあります。動画をDVDやブルーレイにして、手渡しするか郵送する方法です。通知もURLもパスワードも無いので、まねされる形がありません。受け取る側にアカウントも要らず、期限が切れて見られなくなることもありません。

一方で、盤には盤の弱さがあります。手に持った人なら誰でも再生できるので、なくしたり盗まれたりすれば中身を見られます。家庭用のプレーヤーで見る映像のDVDには、パスワードをかける仕組みがありません。個人の顔や名前が映る動画を盤で配るときは、配る相手と枚数を決め、配った記録を残し、余った盤の置き場所と処分の仕方まで決めておきましょう。媒体の管理の決まりは個人情報の入ったUSBメモリ・DVDの管理の記事にまとめています。

共有のリンクを使わずに渡したいとき

盤で渡すのが向いているのは、相手が少なく、顔を合わせる機会がある場合や、郵送の宛先が確かな場合です。祖父母に孫の行事の動画を届ける、園や学校の行事の記録を卒業や卒園の記念に配る、取引先に研修や説明の動画を納める、といった場面です。DVDは多くの家庭のプレーヤーで見られますが、再生できる盤は機種ごとに違うので、多くの人に配る前に何台かの機器で試しておきましょう。

盤で渡す場合も、予告と受け取りの連絡は共有と同じように役に立ちます。「来週、DVDを1枚郵送します」と先に伝え、届いたら知らせてもらいましょう。届かなければ、どこかで止まっているか、なくなっているということなので、早く気づけます。郵送の方法と、追跡のできる送り方の選び方は、媒体の管理の記事とあわせて考えます。

受け取った動画や記録の控えを、自分で盤に焼く

共有で受け取った大事な動画や、偽の通知の被害を相談するときに使う記録を、手元に控えとして残しておきたいこともあります。DVD-RやBD-Rのような追記型の盤は、一度記録した部分を物理的に書き換えたり消したりできません。書き込んだらディスクを閉じて（ファイナライズして）ドライブから出し、棚にしまえば、その盤はどのネットワークからも届かない場所にあります。書き込んだ時点の中身が残るので、後でパソコンの中のファイルと比べることもできます。

ファイルのまま焼く盤は、自分のパソコンで作る前提で書きます。焼く前に、すべてのファイルが開けること、中身が正しいことを確かめます。焼いたら、ファイルが変わっていないかを確かめる値（ハッシュ値）を控えます。WindowsのPowerShellのGet-FileHashは既定でSHA-256を計算し、Macのshasumは既定がSHA-1なので「-a 256」を付けます。手順と、定期的に確かめる方法は復元テストとハッシュの記事に、テレビで再生する盤とファイルのまま焼く盤の違いはデータDVDと映像DVDの違いの記事に書いています。

相談に使う記録を盤に残すなら、届いたメールをメールソフトの保存の機能で書き出したファイル、開いた画面や入力した画面の写真、いつ何をしたかを時刻つきで書いたメモ、連絡した相手と日時の一覧を、一つのフォルダにまとめてから焼きます。フォルダには、中身の説明を書いた短い文書も入れておくと、何年か後に別の人が盤を開いても、何の記録かが分かります。書き出したメールには偽のリンクが残っているので、盤から開くときも、リンクは押しません。

盤の置き場所は、温度と湿度が落ち着いた暗いところにしましょう。国立国会図書館が2020年2月にまとめた光ディスクの調査報告書の概要には、JIS Z 6017などで長期保存に適した環境として、温度10〜25℃、湿度40〜60%が示されていると書かれています。カナダ保存研究所は、温度と湿度だけに基づく寿命の目安として、DVD-Rを10〜20年、BD-Rを5〜10年としています。何年もしまいっぱなしにせず、年に一度は読めるかを確かめます。

盤でも守れないこと

盤は、焼いたものをそのまま残すだけです。焼く前のファイルがすでにウイルスに感染していたり、暗号化されていたりすれば、その状態のまま残ります。書き換え型の盤（RWやRE）や、ドライブに入れたままの盤は、後から書き足したり消したりできる状態なので、守りは弱くなります。読むためのドライブも要りますし、盤を割ったりなくしたりすることもあります。光ディスクなら安全、と言い切れるものではありません。

だから盤は、クラウドや外付けのハードディスクと組み合わせる控えの一つとして使いましょう。コピーを三つ、媒体を二種類、一つは別の場所に、という「3-2-1」の考え方は、米国の政府機関（CISA）も中小企業向けのページで紹介している経験則です。偽の共有通知でクラウドのアカウントを乗っ取られても、棚の盤の中身までは手が届きません。ランサムウェアに備えたオフラインの控えの組み方は、前に挙げた大手企業のランサムウェア被害の記事で扱っています。

当社への入稿を、安全な受け渡しの例として

当社は、完成した動画のデータから、プレーヤーで再生できるDVD・ブルーレイを作る書き込み代行の店です。1枚から注文できます。お引き受けできるのは、撮った本人の動画か、権利者の許可がある動画です。お預かりした動画は、プレーヤーで読める形に組み立てて（オーサリング）書き込み、実際のプレーヤーで再生を確かめてからケースに入れ、クリックポストで発送するか、当日店舗お渡しを選んだ場合は店頭でお渡しします。

入稿は、動画を置いたギガファイル便のURLを、注文ページのフォームに貼る形です。スマホからもできます。ギガファイル便のURLは、期限を決めて作ります。注文ページは、メールのリンクからではなく、ブックマークか自分で入力したアドレスから開きます。

ギガファイル便にダウンロードパスワード（半角英数1〜4文字）を付けた場合は、注文フォームにURLを貼ると、内容ごとに「ダウンロードパスワード」の入力欄が開き、入れたパスワードが合っているかをその場で確かめる作りになっています。URLとパスワードを同じメールに並べて送らずに済む、別の経路の一つです。保持期限は、アップロードの前に選んでおきます（後から延ばせません）。圧縮ファイルのパスワードの伝え方は、注文の前に相談・問い合わせフォームで確かめてください。

注文フォームにURLを貼る入稿では、ギガファイル便の期限やダウンロードパスワードで範囲を絞り、URLは注文フォームにだけ貼って、ほかの人に送ったメールやチャットに残さないようにします。共有をいつ止めてよいかなど、受け渡しの段取りで気になる点も、注文の前に相談・問い合わせフォームで確かめられます。

内容の違うディスクを一度に頼むときは、注文フォームの「＋別の内容を追加」で、内容ごとに共有URLと枚数を入れます。同じURLを別の内容に貼ると警告が出るので、内容ごとに別の共有URLを作ります。共有を一つずつ分けておくと、受け取りを確かめた後に止めるときにも、どれを止めればよいかが分かりやすくなります。

料金は、基本料金（DVD・1枚あたり）が1,500円（税抜）、基本料金（Blu-ray・1枚あたり）も1,500円です。同じ内容の2枚目からは、追加コピー（同一内容の焼き増し・1枚あたり）の1,000円で作れるので、手元用と、実家や別の場所に置く控えの2枚を作れます。盤面レーベル印刷を選ぶと、題名や日付を入れた画像を入稿していただき、その画像を盤に印刷するので、どの盤が何の記録かを棚の上で見分けやすくなります。個人の情報が映る動画を預けるときの扱いなど、気になる点は、注文の前に相談・問い合わせフォームでお尋ねください。

今週のうちに済ませる、三つの設定と一つの約束

一つ目は、仕事と家のメールのアカウントに、パスキーか2段階認証を設定し、復元用のコードを紙でアカウントの外に控えることです。二つ目は、ふだん使うファイル共有のサービスの公式のアプリを入れてサインインし、ブラウザの保護機能がオンになっているかを見ること。三つ目は、同じパスワードを使い回しているサービスを書き出し、メールのアカウントと同じものから順に変えることです。どれも、何も起きていない今のほうが落ち着いてできます。

約束は、動画や書類をやりとりする家族や職場の人と結びましょう。共有で送るときは、メール以外の手段で先に予告する。届いた共有の通知は、メールのリンクから開かず、アプリかブックマークから開いて一覧で確かめる。予定に無い共有は、送り主に電話などで確かめてから開く。この三つを一枚の紙に書き、家族のグループや職場の壁に貼っておけば、急ぎの日でも思い出せます。大切な動画を盤にして手元に置いておきたくなったら、DVDの注文ページから、共有URLを貼るところから始められます。

よくある質問

Q. 本物のサービスから届いた共有の通知なら開いても安全ですか

A. 通知が本物でも、共有されたファイルの中身が罠ということがあります。Googleの管理者向けのヘルプも、通知がGoogleから送られるため内容が正当だと誤解されやすいと注意しています。予定していた共有か、送り主は誰かを確かめ、心当たりが無ければ、送り主に電話など別の手段で確かめてから開きます。

Q. 取引先のアドレスから届いた共有の通知も疑うべきですか

A. マイクロソフトが2024年10月に公表した報告では、乗っ取られた取引先のアカウントから共有を送り、サインインの情報を盗む手口が確認されています。アドレスが正しくても、予告が無い、文面がいつもと違うといったときは、前から知っている番号に電話して、共有したかどうかを確かめます。

Q. 共有を開いたらサインインを求められたのは偽物ですか

A. 相手を指定した本物の共有でも、サインインを求められます。見るべきなのは、その画面をどこから開いたかです。メールのリンクから開いた画面では入力せず、サービスのアプリかブックマークから開き直して、共有の一覧に同じファイルがあるかを確かめます。別の会社のアカウントを求められた場合は進みません。

Q. ギガファイル便を装う偽メールは出回っていますか

A. 2026年10月時点で、公的機関や運営会社による、ギガファイル便をかたる偽メールの注意喚起は見つかりませんでした。ただ、転送サービスの通知は形をまねしやすいので、予告の無いダウンロードの通知は送り主に確かめ、受け取るだけなのにメールのパスワードやカード番号を求める画面には入力しないようにします。

Q. 偽の画面にパスワードを入れてしまったら最初に何をしますか

A. アプリかブックマークから本物のサイトを開き、そのアカウントのパスワードを変えます。続けて、同じパスワードを使っているほかのサービスを変え、すべての端末からのサインアウト、2段階認証の設定、メールの転送や振り分けの設定の確認まで、当日のうちに済ませます。お金が関わるなら銀行やカード会社にも連絡します。

Q. ダウンロードしたファイルを開いてしまったときはどうしますか

A. まず端末をネットワークから切り離します。Windowsなら「Windowsセキュリティ」の「ウイルスと脅威の保護」からフル スキャンを行い、パスワードは別の問題の無い端末から変えます。職場のパソコンは自分で初期化せず、管理者にすぐ知らせます。初期化すると、調べる手がかりと端末のデータも消えます。

Q. 自分の名前で偽の共有通知が送られていたらどうすればよいですか

A. パスワードの変更と全端末のサインアウト、転送や振り分けの設定の確認を先に済ませます。そのうえで、クラウドの共有の一覧から覚えのない共有を止め、送信済みのフォルダの宛先を手がかりに、受け取った人へ電話など別の手段で、開かずに削除するよう伝えます。メールの事業者にも連絡します。

Q. 偽の共有通知はどこに報告すればよいですか

A. フィッシング対策協議会は、リンクを開かずにメールを報告受付のアドレスへ転送するよう案内しています。Gmailは「その他」の「フィッシングを報告」、Outlookは「報告」の「フィッシング詐欺を報告」から報告できます。Dropboxをかたるものは、全文をDropboxの報告用のアドレスへ転送できます。

Q. 動画を共有で送るとき受け取る側のために何をすればよいですか

A. 送る前に、メール以外の手段で、サービス名、ファイル名、大きさ、期限を予告します。共有は相手のメールアドレスを指定して行い、パスワードを付けるならURLとは別の経路で伝えます。受け取ったと連絡があったら、期限を待たずに共有を止めます。予告があれば、受け取る側は届いた通知と照らし合わせるだけで済みます。

Q. 共有リンクにパスワードや期限を付けられないのはなぜですか

A. サービスとプランで使える機能が違うためです。OneDriveのリンクのパスワードと期限はMicrosoft 365の契約者向け、DropboxはProfessionalなどの有料プラン向けの機能です。Googleドライブの期限は仕事用か学校用のアカウントで使えます。使えないときは、相手を指定した共有にし、受け取り後に共有を止めます。

Q. 受け取った動画ファイルが本物の動画か確かめる方法はありますか

A. ファイル名の拡張子を表示させ、.mp4や.movなど動画の形式かを見ます。プログラムやショートカット、ウェブページの形式なら開きません。大きさも手がかりで、iPhoneで1080p・30fpsで撮った動画は設定画面の目安で1分あたり約60〜130MBです。開く前にウイルス対策ソフトでスキャンします。

Q. 偽メールが心配なので動画をディスクで渡してもよいですか

A. 盤で手渡しや郵送をすれば、まねされる通知やURLがありません。ただ、盤は持った人なら誰でも再生でき、映像のDVDにはパスワードをかけられないので、配る相手と枚数を決め、紛失に備えた管理が要ります。DVDの再生は機種で違うので、多くの人に配る前に何台かの機器で試します。