「国税庁からメールが来たのですが」というご連絡から考えたこと

税理士の森田です。
先日、お客様から連絡をいただきました。

「国税庁からメールが来たのですが、どうしていいか分からなくて」

見せていただくと、フィッシングメールでした。国税庁をかたって偽のサイトやアプリへ誘導し、個人情報を盗もうとするものです。
ご連絡いただいて本当によかったと思います。そしてもうひとつ、強く感じたことがありました。これは、分からなくて当然だということです。

「怪しい日本語」で見分ける時代は終わりました

その一通は、よくできていました。
国税庁のロゴが入り、見慣れた配色で、文面に誤字も不自然な言い回しもありません。還付申告の内容確認のため書類提出をお願いする場合がある、という、実際にありそうな用件でした。

いちばん感心したのは——こんな言い方はおかしいのですが——注意書きまで自分で書いていたことです。
「口座情報などをメールで求めることはありません」「本メールでは、口座情報やカード情報などの入力・ご返信を一切お願いしておりません」。親切な案内に見える一文を先に置いて、疑われにくくしているわけです。

かつて偽メールといえば、日本語がどこか変で、読めばすぐに分かるものでした。
その見分け方は、もう通用しません。社長が判断できなかったのは、注意力の問題ではありません。

それでも、偽物と分かる点があります

とはいえ、見抜く手がかりはあります。あの一通についていえば、決め手は3つでした。

1つめ。スマートフォン用のアプリを入れさせようとしていました。
メールの下部に「Android版 e-Tax アプリをダウンロード」というボタンが置かれていました。ところが国税庁は、スマートフォン用のe-Taxアプリを提供していません。存在しないアプリを入れさせようとしている時点で、偽物と判断できます。これがいちばん確実な手がかりです。

2つめ。見慣れない添付ファイルが付いていました。
ファイル名の前半を正規のアドレスに似せた、48バイトの小さなファイルです。正規のお知らせにファイルは付きません。

3つめ。メールの中から手続きをさせようとしていました。
本物のe-Taxからの通知は、「メッセージボックスを確認してください」と案内するだけです。メール本文のボタンやリンクから操作を始めさせることはありません。

実はこの手口、国税庁のホームページにそのまま事例として載っています。
「還付金の受取手続きのご案内」という件名の不審なメールとして紹介され、注意点にはこう書かれています。還付金額を表示したメールを送ることはない、還付金の受取のためにアプリのダウンロードを求めることもない、と。この事例が追加されたのは令和8年10月16日です。つい先日のことでした。

覚えておいていただきたいのは、ひとつだけです。アプリを入れろ、と言われたら偽物。

なぜ、ここまで精巧になったのか

ここ最近、情報漏洩のニュースを見ない週がありません。
大手企業、自治体、学校、病院。規模も業種もばらばらで、「うちは小さいから狙われない」という理屈が通らなくなっています。

実際、数字もはっきり増えています。
ある調査によれば、1組織あたりが受けるサイバー攻撃は週平均で2,800件を超え、前年の同じ月と比べて5割近く増えています。日本国内に限っても3割以上の増加です。

この増え方の背景にあるのが、攻撃する側もAIを使い始めているという事情です。

自然な日本語の文面を、一瞬で、いくらでも作れるようになりました。かつては人手で一通ずつ作っていたものが、桁違いの量で送られてきます。
国が毎年まとめている情報セキュリティの脅威ランキングでは、今年はじめて「AIの利用をめぐるリスク」が組織向けの3位に入りました。海外の調査では、AIを使った攻撃活動が前年比で約9割増えたという報告もあります。

つまり、相手は量でも質でも桁違いに強くなっているということです。
こちらの注意力だけで防ぎきるのは、もう無理があります。言い方を変えれば、引っかかってしまった人が不注意だった、という話ではなくなっているということです。

情報は、外から攻められたときだけ漏れるわけではありません

ここまでは、外から来る脅威の話でした。
ただ、報じられている情報漏洩を見ていくと、外からの攻撃によるものばかりではありません。メールの誤送信、持ち出した端末の紛失、委託先からの流出。悪意のない行き違いが、かなりの割合を占めています。

そして最近、ここに新しい経路が加わりました。

ここからが、本当にお伝えしたいことです。

社内でも、AIが使われ始めています

最近お客様と話していて感じるのは、すでに多くの会社でAIが使われ始めているということです。社長ご自身が使い、便利だから社員にも使わせている。流れとしてはとても自然です。

ただ、ほとんどの会社で何を入れていいのか、何を入れてはいけないのかが決まっていません。
社員の側からすれば、言われていないことは判断のしようがありません。資料の要約を頼まれて、手元の見積書をそのまま貼り付ける。文章を整えてほしくて、顧客からのメールを丸ごと入れる。悪意はまったくありません。

けれども、一度入れたものは取り消せません。
顧客名簿、取引先との契約内容、社員の個人情報。何が入ったのか、誰も把握していない状態になります。

禁止しても、解決しません

では使用を禁止すればよいかというと、それも違うと思っています。

禁止された道具が本当に使われなくなるかというと、そうはなりません。見えないところで使われるだけです。そのほうがよほど危ない。
それに、便利なものを取り上げれば会社の手が遅くなります。攻撃する側がAIを使っている時代に、守る側だけ使わないというのも無理な話です。

必要なのは、禁止ではありません。線を引くことです。

決めるのは、3つです

立派な規程は要りません。紙一枚で十分です。
書くことは3つだけです。

1. どのAIを使うか
2. 入れていいもの
3. 入れてはいけないもの

実は、いちばん大事なのが1つめです。
見落とされがちですが、同じAIでも、契約の内容によって入力したデータの扱いが変わります。

無料で使えるものの中には、入力した内容がサービスの改善や学習に使われる場合があります。一方、法人向けの有料契約では、入力内容を学習に使わないと定めているものが多くあります。設定によって変わるサービスもあります。
つまり、御社が使っているものがどちらなのか、一度確認しておく必要があるということです。

そして、ここが肝心なところです。
入れていいものの線を丁寧に引いたとしても、社員が自分のスマートフォンの個人アカウントで仕事をしていたら、その線は意味を持ちません。会社が把握していないところで、会社の情報が流れていきます。

会社が用意したものを使ってもらうこと。これが出発点です。
そのうえで、2つめと3つめを決めます。入れてはいけないものの例を挙げれば、お客様の名前や連絡先、契約書や見積書そのもの、社員の個人情報、未公表の数字。逆に、公開されている情報の要約や、社内向け文章の下書き、調べもののとっかかりなど、入れて困らないものもたくさんあります。

この線があるだけで、社員は安心して使えるようになります。
禁止するための線ではありません。使わせるための線です。迷ったときに立ち返る場所があるかどうかで、同じ道具がまったく違うものになります。

そして、ここが大事なところですが、これは経営者にしか決められません。何を社外に出していいかという判断は、会社の根っこに関わる話だからです。現場の誰かが決めることではありません。

迷ったら、聞いてください

冒頭のお客様の話に戻ります。
あの判断は、まったく正しかったと思っています。分からないから、押す前に聞く。これ以上に確実な方法はありません。

見分け方を完璧に覚える必要はありません。覚えたところで、相手は来月にはまた違う手口を使ってきます。
それよりも、迷ったときに聞ける相手がいることのほうが、ずっと役に立ちます。社内でも同じです。「これ、AIに入れていいですか」と社員が聞ける空気があるかどうか。

税金のことも、会社の数字のことも、こういう身近なことも。
「こんなこと聞いていいのかな」と思うくらいのことで、ちょうどいいと思っています。お気軽にご連絡ください。

社内でAIの線引きを決めたいという方も、ご相談ください。
まずは「いま社内で、誰が、どのAIを使っているか」を把握するところからです。一緒に紙一枚、作りましょう。

※ 本記事は2026年11月時点の情報に基づいています。フィッシングの手口は日々変化しますので、最新の注意喚起は国税庁・e-Taxの公式サイトをご確認ください。不審なメールのリンクやファイルは開かず、心当たりのない連絡は送信元に直接確認することをお勧めします。