無料会員登録
国税庁や税務署、e-Taxを名乗るSMSやメールが届くと、「税金が未納なのではないか」「差押えになるのではないか」と不安になり、急いでリンクを開いてしまうことがあります。しかし、こうした不安を利用して偽サイトへ誘導したり、悪性ファイルを実行させたりするフィッシング・マルウェア攻撃があります。
代表的なのは、「未納税があります」「本日中に納付してください」「差押えを実施します」「還付金があります」などの文面で利用者を焦らせ、偽の国税庁サイトへ誘導する手口です。カード情報や氏名、電話番号、認証情報を入力させるほか、税務調査や通知文書を装ったファイルからマルウェア感染につながる場合もあります。
特に注意したいのは、表示名や画面だけを見て本物と判断してしまうことです。国税庁を名乗っていても、メッセージ内のURLや添付ファイルをそのまま開かず、公式サイトやe-Taxを自分で開いて確認することが重要です。
そこで本記事では、国税庁・税務署・e-Taxを装うマルウェアやフィッシングの代表的な手口、偽メール・SMSの見分け方、受信した場合の安全な対処、リンクや添付を開いてしまった場合の初動、e-Tax利用者が注意したいポイント、フォレンジック調査で感染や情報流出を確認する方法までを解説します。
国税庁を装うマルウェア・フィッシングの主な手口
国税庁を装う攻撃では、税金や差押え、還付金、税務調査など、利用者が無視しにくい内容を使って操作を急がせます。
「未納税」「差押え」を装うSMS・メール
「税金が未納です」「本日中に納付してください」「資産を差し押さえます」などの文面で利用者を焦らせ、リンクを開かせる手口です。
支払いページに見せかけた偽サイトへ誘導し、カード情報や個人情報を入力させる場合があります。
還付金・税務調査を装う偽サイト誘導
「還付金があります」「税務調査に関するお知らせです」など、一見すると利用者にメリットや重要性がある内容を使うことがあります。
その後、国税庁やe-Taxに似せた偽サイトへ誘導し、ログインID、パスワード、電話番号などを入力させます。
PDFや通知書を装った悪性ファイル
税務調査や通知書を装い、PDFなどの文書に見える悪性ファイルを実行させる手口があります。
見た目が文書でも、実際には実行ファイルやショートカット、スクリプトである可能性があります。
ZIP・LNK・HTMLなどを使った添付攻撃
ZIP、LNK、JS、HTML、ISO、IMGなどをメールに添付し、利用者に展開・実行させる方法もあります。
特に「納税通知」「確認書類」「税務調査資料」などのファイル名が付いていると、業務・税務に関係する正規書類と誤認しやすくなります。
偽のe-Taxログイン画面による認証情報窃取
本物のe-Taxに似た画面を用意し、利用者にログイン情報などを入力させる手口があります。
取得された認証情報が別の不正利用につながる可能性があるため、メールやSMS内のリンクからログインしないことが重要です。
税金に関する不安や緊急性を利用する
この種の攻撃では、技術的な仕掛けだけでなく、「期限」「未納」「差押え」といった心理的な圧力が使われます。
内容に驚いても、メッセージ内のリンクや添付をすぐ開かないことが最も重要です。
国税庁を装う偽メール・SMSを見分けるポイント
国税庁を名乗っているというだけでは、正規の通知かどうか判断できません。送信元、URL、添付、文面などを複数の観点で確認します。
SMS・メール内で納付や差押えを急かしていないか
国税庁を装ったフィッシングでは、SMSやメールから直接支払いを促す文面が使われます。
メッセージを受け取った場合は、その中のURLから確認せず、公式サイトやe-Taxへ自分でアクセスしてください。
URLが正規ドメインか確認する
一文字違いのドメイン、短縮URL、国税庁とは無関係なドメインなどが使われる場合があります。
見た目のページが本物に似ていても、アドレスバーを確認することが重要です。
送信元表示ではなく実際のアドレスを見る
メールの表示名は「国税庁」「税務署」など自由に設定できる場合があります。
表示名だけでなく、実際の送信元アドレスや返信先も確認してください。
不審な添付ファイルがないか確認する
ZIP、LNK、JS、HTML、ISO、IMG、実行形式などが添付されている場合は、特に注意してください。
「PDFに見えるから安全」と判断せず、ファイル名拡張子も確認します。
「本日中」「至急」など過度な緊急性に注意する
攻撃者は、利用者が冷静に確認する時間を与えないよう、期限やペナルティを強調することがあります。
本物か確認するときはメッセージ内の導線を使わない
納付状況やe-Taxの通知を確認したい場合は、メッセージ内のリンクを経由せず、ブラウザへ公式URLを入力するか、正規のブックマークからアクセスします。
国税庁を装うメール・SMSを受信したときの対処法
不審なメッセージを受け取っただけであれば、リンクや添付を開かず、情報を入力しないことが最優先です。
URL・添付ファイルを開かない
メールやSMS内のリンク、ZIPや文書などの添付を開かないでください。
リンクを長押しして確認する場合でも、不用意にブラウザへ遷移しないよう注意します。
返信・支払いをしない
返信すると、利用中のメールアドレスであることを攻撃者に知らせる可能性があります。
また、メッセージ内の案内に従ってカード決済や送金を行わないでください。
公式サイト・e-Taxから内容を確認する
本当に税務上の通知があるか気になる場合は、自分で国税庁公式サイトやe-Taxを開いて確認します。
企業ではメール・URL・添付を保全する
企業のメール環境で受信した場合は、メール原文、ヘッダー、URL、添付ファイル名、ハッシュ、受信日時などを保存します。
EDRやメールゲートウェイで検知がある場合は、その記録も保全してください。
同じメールが他の利用者へ届いていないか確認する
同一送信元、件名、URL、添付ハッシュなどをキーに、社内の他ユーザーへの配送状況を確認します。
- リンク・添付を開きません。
- 返信や支払いを行いません。
- 公式サイト・e-Taxを自分で開いて確認します。
- 企業ではメール原文・URL・添付を保存します。
- 同一メールが他の利用者へ届いていないか確認します。
国税庁を装うリンクを開いてしまった場合の対処法
リンクを開いただけなのか、情報を入力したのかによって緊急度は変わります。
ページを見ただけで何も入力していない
ページを開いただけで、ファイルのダウンロードや情報入力をしていない場合は、直ちに侵害されたとは限りません。
ブラウザを閉じ、不審な通知許可やダウンロードが発生していないか確認します。
e-Taxやメールの認証情報を入力した
偽サイトへID・パスワードを入力した場合は、別の安全な端末から対象アカウントのパスワードを変更します。
同じパスワードを使い回しているサービスも変更し、可能であれば既存セッションを失効します。
カード・決済情報を入力した
カード番号などを入力した場合は、カード会社・金融機関へ連絡し、不正利用の停止や監視を依頼します。
不審な請求がなくても、入力した事実を伝えて対応を確認してください。
ファイルやアプリをダウンロードした
ダウンロードしただけで実行していない場合と、実行・インストールした場合では対応が異なります。
実行してしまった場合は、次の「マルウェア感染が疑われる場合の対処」を優先してください。
国税庁を装う添付ファイルを開いた場合の対処法
添付内の実行ファイル、ショートカット、スクリプトなどを起動してしまった場合は、マルウェア感染を前提に確認する必要があります。
端末をネットワークから隔離する
LAN、Wi-Fi、VPNなどから対象端末を切り離します。
追加マルウェアのダウンロードや、外部への情報送信、社内ネットワークへの横展開を止めるためです。
メール原文・添付ファイルを削除せず保全する
元メール、添付ファイル、ファイル名、ダウンロード先、実行時刻などを保存します。
後から感染経路やマルウェア種別を確認する重要な資料になります。
EDR・AVの検知履歴を保存する
EDRやアンチウイルスにアラートが出ている場合は、検知名、ファイルパス、ハッシュ、発生時刻、処理内容を保存します。
実行プロセス・外部通信を確認する
PowerShell、cmd.exe、wscript.exe、mshta.exe、rundll32.exeなど、不審な子プロセスが起動していないか確認します。
EDR、Proxy、DNS、Firewallなどから不審な外部通信も確認します。
認証情報・セッションを保護する
情報窃取型マルウェアが実行されていた場合、ブラウザ保存パスワード、Cookie、メール、SaaSなどの認証情報が盗まれている可能性があります。
別の安全な端末から重要アカウントのパスワードを変更し、既存セッションを失効してください。
- 対象端末をネットワークから隔離します。
- 元メール・添付ファイルを保全します。
- EDR・AVのアラートを保存します。
- 不審プロセス・通信を確認します。
- 別の安全な端末から認証情報を保護します。
添付ファイルを実行した後に端末が普通に動作していても、安全とは限りません。情報窃取や遠隔操作を目的とするマルウェアでは、目立った症状が出ない場合があります。
国税庁を装うマルウェア感染で起こり得る被害
悪性ファイルを実行した場合、単に端末にウイルスが入るだけでなく、認証情報や業務データへ被害が広がる可能性があります。
メール・SaaSアカウントの乗っ取り
認証情報が盗まれると、メールやMicrosoft 365、Google Workspaceなどへ不正ログインされる可能性があります。
ブラウザ保存パスワード・Cookieの窃取
情報窃取型マルウェアでは、パスワードだけでなくCookieやセッショントークンも狙われることがあります。
端末への遠隔操作
RATなどが導入された場合、攻撃者が外部から端末を操作する可能性があります。
社内ネットワークへの横展開
業務端末が侵害されると、盗まれた認証情報や端末の権限を使って別のPCやサーバーへ侵入される可能性があります。
業務データ・個人情報の流出
端末や共有フォルダ、クラウド上のファイルへアクセスされ、外部へ持ち出される可能性があります。
e-Tax利用者が確認しておきたいセキュリティ対策
国税庁を装う偽メール対策とは別に、e-Taxを利用する端末やソフトウェア自体も安全な状態に保つ必要があります。
e-Taxは公式サイトから利用する
メールやSMSから遷移するのではなく、正規のブックマークや手入力した公式サイトから利用します。
古いインストーラーを使い回さない
過去に保存したインストーラーをそのまま再利用せず、公式サイトから現在提供されているものを取得します。
OS・ブラウザ・関連ソフトを更新する
e-Taxだけでなく、利用するWindows、ブラウザ、セキュリティ製品なども更新します。
メール・SMSからログインしない
「税務署からのお知らせ」などのメッセージが届いても、リンクをそのまま開かず、公式サイトから確認する習慣をつけます。
公式ソフトでも更新が必要
正規のe-Tax関連ソフトウェアであっても、過去に脆弱性が報告されることがあります。
そのため、正規品であることと、最新状態であることの両方を確認することが重要です。
国税庁を装うマルウェアを防ぐための対策
税務関連のフィッシングは、確定申告や納税への関心が高まる時期に増える可能性があります。個人・企業ともに、日常的な対策を整えておくことが重要です。
メール・SMS内のリンクから税務手続きをしない
国税庁やe-Taxを利用するときは、自分で公式サイトを開く運用を徹底します。
ファイル名拡張子を表示する
PDFや文書に見せかけた.exe、.lnkなどを見抜きやすくするため、Windowsではファイル名拡張子を表示します。
AV・EDR・メールセキュリティを有効にする
添付ファイルやURLの検査、実行後の不審プロセス監視などを組み合わせます。
MFAを設定する
メールやクラウドアカウントがフィッシングで狙われることを想定し、多要素認証を有効化します。
税務関連の不審メールを社内で共有する
企業では、経理・財務・総務などが税務関係のメールを受信しやすいため、不審なキャンペーンを共有しておくことが重要です。
国税庁を装うマルウェア感染をフォレンジック調査で確認する方法
国税庁を装う添付ファイルや偽サイトを利用してしまった場合は、「開いたかどうか」だけでなく、マルウェアが実行されたか、認証情報やデータが外部へ送信されたかを確認する必要があります。
メール・SMSからの侵入経路
メール原文、添付ファイル、ダウンロード履歴、ブラウザ履歴などを確認し、どのメッセージやURLが起点になった可能性があるのかを整理します。
実行されたファイル・プロセス
EDRやWindowsの実行履歴から、添付ファイルを起点にPowerShellやその他のプロセスが動作していないか確認します。
外部通信・追加マルウェアの取得
EDR、Proxy、DNS、Firewallなどのログを確認し、不審な外部サーバーとの通信や追加ファイルの取得がなかったかを調査します。
認証情報の窃取・不正ログイン
メール、Microsoft 365、Google Workspaceなどのログイン履歴と端末側の痕跡を照合し、盗まれた認証情報が悪用されていないか確認します。
業務データ・個人情報流出の可能性
ファイルアクセスや外部通信を確認し、攻撃者が業務データや個人情報へアクセス・持ち出ししていないかを整理します。
国税庁を装うマルウェア感染をフォレンジック調査会社に相談する
国税庁を装うメールやSMSを受信しただけで、リンク・添付を開いていない場合は、直ちに専門調査が必要とは限りません。
一方、添付ファイルを実行した、偽サイトへ認証情報を入力した、PowerShellなどが起動した、不審なログインや外部通信が発生している場合は、感染・情報流出を前提に詳しく確認する必要があります。
端末をすぐ初期化したり、元メールや添付ファイルを削除したりすると、感染経路やマルウェアの実行内容、情報流出の有無を確認する証拠が失われる恐れがあります。被害範囲を明らかにしたい場合は、現在の状態を保全し、フォレンジック調査会社への相談を検討してください。
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
「国税庁 マルウェア」で特に注意したいのは、国税庁、税務署、e-Taxを装うSMS・メールから偽サイトや悪性ファイルへ誘導する手口です。「未納税」「差押え」「還付金」「税務調査」などの文面で急がされても、メッセージ内のURLや添付をそのまま開かないことが重要です。
本当に通知があるか確認したい場合は、国税庁公式サイトやe-Taxを自分で開いて確認してください。また、偽サイトへ認証情報・カード情報を入力した場合は、別の安全な端末から認証情報を変更し、カード会社や金融機関への連絡も進めます。
添付ファイルを実行した、不審なPowerShellや外部通信が発生した、メールやSaaSで不正ログインが始まった場合は、端末をネットワークから隔離し、元メール・添付・EDRログを保全してください。感染経路や情報流出の有無が分からない場合は、証拠を削除する前にフォレンジック調査で被害範囲を確認することが重要です。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
