「【機密】人事評価・昇進対象者リスト先行公開」メールに要注意——自社なりすまし＋Azure悪用のWindows Defenderサポート詐欺の二段構え

2026年9月3日

9月に入り、下半期の人事評価や昇進の話題が社内で飛び交う時期になってきました。そんなタイミングを見計らったかのように、今回は「人事評価・昇進リストの先行公開」を装った、なかなか手の込んだメールが届きましたのでご紹介します。

【実録・調査レポート】「人事評価・昇進対象者リストの先行公開」メールの正体

Heartland-Lab（ハートランド・ラボ）専門調査レポート

自社の人事労務部を名乗るメールが、経営会議で決定した評価・昇進リストの先行公開を知らせてきました。しかし送信元は自社ドメインを装った完全な偽物。しかも本文のリンクをたどると、認証情報を盗む偽サイトではなく、Microsoft Azureのストレージサービスを悪用したページを経由して「Windows Defender」を騙るサポート詐欺の偽警告が表示されるという、二段構えの手口でした。

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★★☆ (4/5)

※重要：「機密情報」「口外禁止」といった心理的圧力をかけつつ、社内システムへのログインを装う典型的なビジネスメール詐欺（BEC）の手口です。実際にクリックしなくても、内容だけは社内で共有し注意喚起することをおすすめします。

ご覧の通り、このメールは自社の人事部門を装った真っ赤な偽物です。社内で同様のメールを見かけた方がいたら、この記事を共有して注意を呼びかけてください。

1. ■ 詐欺メール本文の再現
2. ■ 用語かんたん解説
3. ■ フィッシングサイト詳細解析（多段構成）
4. ■ 注意点と対処法

■ 詐欺メール本文の再現

※以下は届いた詐欺メールを技術検証のために忠実に再現したものです（送信者・宛先アドレスの詳細は個人情報保護のため一部伏せています）。

件名：[spam]【機密】2026年度下半期の人事評価および昇進対象者リストの先行公開について

関係者各位

お疲れ様です。

本日の経営会議にて決定いたしました、今期の評価および次期昇進候補者の名簿を先行公開いたします。
自身の評価ランクおよび昇進の有無については、以下のリンクより「評価通知書」をダウンロードしてご確認ください。

■ 評価通知書・昇進リストの閲覧（要認証）
hxxps://facadimo.z21.web.core.windows[.]net/b8r45a29f/ （実際はクリック不可・伏字にしています）

【アクセスに関する注意】
本資料は機密情報に該当するため、社外から閲覧する場合は必ず社内VPNへの接続が必要です。

また、出張中などでモバイル端末から閲覧する場合も、同様にVPN経由でアクセスしてください。
VPNを介さない不正なアクセス試行は、情報漏洩対策としてシステムログに記録されます。

※本内容は確定前の機密情報のため、他部署の方への口外を固く禁じます。

人事労務部　給与管理チーム
問い合わせ先：内線550

■ メールヘッダー解析（送信ルートと偽装判定）

※メールヘッダー詳細は個人情報保護のため非掲載

差出人表示：自社の人事労務部を装ったアドレス（自社ドメインへのなりすまし）

SPF認証結果：Softfail（送信元が正規のドメイン所有者として認められていません）

真の送信元IP：46.238.231.246（ホスト名：static-46-238-231-246.rfc.pl）

発信元ロケーション：ポーランド共和国クヤヴィ・ポモージェ県ブィドゴシュチュ（プロバイダ：RFC Internet Sp. z o.o. / AS48789）

【偽装判定】：日本国内の自社人事部門からのメールが、ポーランドの回線から送信されることはあり得ません。差出人表示は完全に偽装されています。

■ 用語かんたん解説

SPF（エスピーエフ）：「このメールが名乗っているドメインから正規に送られたものか」をチェックする仕組みです。今回は「Softfail（怪しい）」という判定でした。
Azure Blob Storage（アジュール・ブロブ・ストレージ）：Microsoftが提供する正規のファイル保管サービスです。信頼度の高いサービスであることを逆手に取り、攻撃者が偽ページの置き場所として悪用しています。
サポート詐欺：「パソコンがウイルスに感染した」等の偽警告を出し、表示された電話番号に連絡させてお金や個人情報をだまし取る手口です。

■ フィッシングサイト詳細解析（多段構成）

ステップ1：メール内リンク先（Azure悪用ページ）

誘導先URL（伏せ字）：hxxps://facadimo.z21.web.core.windows[.]net/b8r45a29f/

ホスティング基盤：Microsoft Azure（Blob Storageの静的Webサイト機能）

Microsoft自身の正規サービスにページを置くことで、セキュリティソフトのドメイン評価やフィルターをすり抜けやすくする狙いがあると見られます。所在地情報はMicrosoftのデータセンターの立地を示すのみで、攻撃者自身の所在地とは無関係のため、今回は国・地域の断定を見送ります。

ステップ2：表示される偽警告（サポート詐欺）

上記ページにアクセスすると、画面いっぱいに「Windows Defender 保護管理センター」を騙る警告が表示されます。「トロイの木馬プログラムを検出」「このデバイスへのアクセスは制限されています」といった不安を煽る文言とともに、偽のテクニカルサポート電話番号が表示されます。この番号に電話をしてしまうと、遠隔操作ソフトの導入や金銭の要求につながる危険があります。

※本サイトでは実際にこの番号への発信は行っておらず、画面表示内容のみを確認しています。

■ 注意点と対処法

メール内のリンクは開かない：「機密」「口外禁止」といった圧力を感じても、まず社内の正規の連絡手段（電話や対面）で人事部に確認しましょう。
警告画面が出ても電話しない：Windows Defenderなどのセキュリティ警告が、電話番号付きで表示されることは通常ありません。落ち着いて画面を閉じてください。
閉じられない場合は強制終了：ブラウザが固まって閉じられない場合は、タスクマネージャーからブラウザを終了するか、パソコンを再起動してください。
職場の情報システム部門へ報告：同様のメールが他の従業員にも届いている可能性があります。個人で抱え込まず、必ず社内の窓口に共有しましょう。

本レポートの結論

「人事評価・昇進リストの先行公開」という業務っぽい話題と、「機密だから口外しないで」という圧力で冷静な判断を鈍らせ、Microsoft Azureという信頼できるはずのサービスを悪用してサポート詐欺に誘導する、なかなか手の込んだ手口でした。同僚や身近な方にも、この記事のURLをコピーして「これ気をつけて！」と共有してあげてください。

LINEで送る

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
使用配色テーマ：Amethyst