メールはテキスト形式で送り、テキスト形式で受け取りましょう｜リンク偽装に「気づける」環境のつくり方

メールをテキスト形式にしましょう、という話をすると、「見た目が地味になりませんか」と聞かれることがあります。ただ、この記事でお伝えしたいのは見た目の話ではありません。偽装されたリンクが届いたときに、それに気づけるかどうかという話です。

結論から申し上げます。業務のメールは、送るときも受け取るときもテキスト形式を基本にしてください。設定は数分で終わり、費用もかかりません。それでいて、フィッシング詐欺への抵抗力は確実に上がります。

メールのリンクは、簡単に偽装できます

画面に見える文字と、実際の飛び先は別物です

HTML形式のメールでは、画面に表示する文字と、クリックしたときに実際に開くアドレスを、まったく別々に設定できます。「安全な公式サイトのアドレス」を画面に表示しておきながら、飛び先だけを偽サイトにすることができるのです。

これは特殊な技術ではなく、HTMLメールの標準的な仕組みです。だからこそ悪用されています。警察庁も、電子メールに記載されたリンクは偽装が可能で、見た目でリンクの真偽を判断することは非常に困難だと明確に注意を呼びかけていますし、フィッシング対策協議会も同じ点を挙げています。

「マウスを当てて確認」では守り切れません

対策としてよく紹介されるのが、リンクにマウスカーソルを合わせて飛び先を確認する方法です。有効ではありますが、限界があります。

スマートフォンやタブレットでは、そもそもカーソルを当てられません
急いでいるとき、忙しいときほど確認は省略されます
1日に何十通も届く中で、毎回この操作を続けられる人はほとんどいません

つまり、「気をつける」という人の努力に頼った対策は、必ずどこかで破られます。

本当のリスクは、装飾に「慣れる」ことです

ここが今回いちばんお伝えしたい点です。

HTML形式のメールを日常的に読んでいると、次のような習慣が自然と身につきます。

本文中の色の付いた文字は、リンクだと思ってクリックする
ボタンの形をしたものは、押すためにあると考える
アドレスそのものは、見ない

この習慣ができあがった状態が危険です。攻撃する側は、あなたが読み慣れている見た目を丁寧に真似てきます。ロゴも配色もボタンも本物そっくりです。デザインの完成度で勝負をすると、こちらに勝ち目はありません。

一方、日頃からテキスト形式のメールに慣れていると、判断の基準が変わります。「見た目」ではなく「アドレスそのもの」を見る癖がつくからです。この差が、いざというときに効いてきます。

対策1：受信するメールをテキスト形式で読む

送信形式の話より先に、まずこちらをおすすめします。攻撃は「送る側」ではなく「受け取る側」に届くからです。

設定を変えると、何が起きるか

受信メールをテキスト形式で表示する設定にすると、次のように変わります。

リンクの本当のアドレスが本文に現れます。 偽装は成立しません。飛び先が正規サイトとまったく違えば、一目でわかります
装飾が消えます。 本物らしさを演出していたロゴやボタンが効かなくなり、文面の中身だけで判断できます
画像が自動で読み込まれません。 画像の読み込みで開封を把握する仕組みも働きません

要するに、相手が演出に使っていた道具を、まとめて取り上げることになります。

従来のOutlookをお使いの場合

オプションからセキュリティセンター（トラストセンター）の設定を開き、「電子メールのセキュリティ」にある、標準メールをすべてプレーンテキストで読み取る設定を有効にします。Microsoftの公式ヘルプに、書式設定・画像・リンクを無効にして読む方法として手順が掲載されています。

なお、どうしても元の見た目で確認したいメールは、画面上部の情報バーからHTMLとして表示し直せます。「読めなくなる」わけではありませんのでご安心ください。

Gmailやその他のメールソフトの場合

すべてのメールソフトに、同じ設定があるわけではありません。用意されていない場合は、次善の策として外部画像の自動表示を止めるところから始めてください。

Gmailであれば、設定の「全般」タブにある画像の項目で、外部画像を表示する前に確認する設定を選べます（Gmailヘルプ）。これだけでも、開封の把握や画像による演出を封じられます。

あわせて、社内では「メール本文のリンクは原則クリックしない」を運用ルールにしてください。設定と運用の両輪です。

対策2：送信するメールもテキスト形式を基本にする

受信側の対策が主役だとすると、送信側の対策は「相手を守る」ための取り組みです。

相手にも、同じ確認手段を渡すことになります

テキスト形式で送れば、本文にはアドレスがそのまま並びます。受け取った相手は、クリックする前に飛び先を目で確認できます。こちらが誠実であることを、相手が自分で検証できる状態にする、ということです。

本文にURLがそのまま並ぶ画面は、正直に言って格好よくはありません。ただ、取引先が偽メールに引っかかったあとの謝罪訪問のほうが、はるかに格好がつきません。

装飾されたメールを「当たり前」にしない

自社が日常的にHTMLメールを送っていると、取引先の担当者は「この会社からは装飾されたメールが届くもの」と学習します。その学習が、偽メールを受け入れる下地になります。

逆に、いつもテキスト形式でやりとりしている相手から、突然きらびやかなHTMLメールが届いたら、相手は「おかしい」と気づけます。普段の形式をそろえておくことが、異常検知の仕組みになるわけです。

設定方法

Outlookでは、新規メール作成画面の「書式設定」からその1通だけを、オプションのメッセージ形式の設定からはすべてのメールを、テキスト形式に変更できます（Microsoftの公式ヘルプ）。Outlookの既定はHTML形式ですので、変更しない限りHTMLで送られている点にご注意ください。

Gmailの場合は、メール作成画面の右下のメニューから「プレーンテキストモード」を選ぶだけです（Gmailヘルプ）。

たとえば、こんな場面で考えてみます

仮に、従業員40名ほどの卸売会社C社があるとします。

ある朝、経理担当者のもとに、取引先の社名が入ったメールが届きます。件名は「請求書のお支払い口座変更のご連絡」。本文には会社のロゴが入り、担当者名も実在の人物、末尾には「口座情報の確認はこちら」という青いボタンが置かれています。

C社の受信設定がHTML形式のままだった場合、担当者が見るのは「それらしい見た目」だけです。ボタンの飛び先は確認できません。急ぎの案件を抱えていれば、押してしまう可能性は十分にあります。

一方、C社が受信をテキスト形式に切り替えていた場合、同じメールはこう見えます。ロゴもボタンも消え、本文の末尾にはアドレスがそのまま表示されます。そのアドレスが取引先の社名とまったく関係のない文字列であれば、クリックする前に手が止まります。

派手な攻撃を、地味な設定で受け止める。これがテキスト形式の値打ちです。こうした偽メールは業種や規模を問わず届きますので、どの会社にも起こりうる場面だとお考えください。

テキスト形式でも防げないこと

過信は禁物ですので、限界もお伝えしておきます。

本物に似せたドメイン：正規サイトによく似たアドレスを使われると、テキストで表示されていても見分けは簡単ではありません
添付ファイル経由の攻撃：本文形式とは無関係に成立します
送信者名の偽装：差出人の表示名は簡単に変えられます

ですから、次の3点を必ず併用してください。

重要なサイトには、メールのリンクからではなく、ブックマークや公式アプリからアクセスする
口座情報の変更など、金銭が動く連絡は、必ず電話など別の手段で確認する
多要素認証を有効にする

社内で切り替えるときの進め方

受信設定から着手する。 効果が大きく、社外への影響もありません
送信形式は既定を変える。 呼びかけではなく設定で仕組み化します。人の記憶力に依存させないことが肝心です
例外を先に決める。 一斉配信や商品案内は専用ツールで、と切り分けておきます
報告しやすい空気をつくる。 誤ってクリックしてしまった人を責めない、と最初に宣言してください。被害が広がる最大の原因は、クリックそのものではなく、報告が遅れることです