ペイロールe-pay/P3を装ったフィッシングメール注意喚起（顧客組織のセキュリティ訓練と判明・被害の公表なし）
公表日
給与計算サービス「e-pay/P3」を装うメールについて、ペイロールが2025年12月8日に注意を呼びかけ、翌9日に一部の顧客の所属組織が行ったセキュリティ訓練だったと発表しました。公表された範囲では、情報漏えいや業務停止は確認されていません。
対象者は？
e-pay/P3サービスの顧客のうち、年末調整の「再申請」を求めるメールを受け取った人。メールは一部の顧客の所属組織が行った訓練でした。情報漏えいや被害は、公表された範囲では確認されていません。
ペイロールの公式のお知らせで、メールの特徴（年末調整業務の不備に伴う「再申請」を求める案内）を確認できます。心当たりのある方は、所属組織の担当部署にもご確認ください。
いますぐできること
- e-pay/P3サービスには、ブックマークか、ブラウザのアドレスバーにURLを直接入力してアクセスする。
- 身に覚えのないメールや内容に違和感があるメールは、リンクや添付ファイルを開かない。
- リンクを開いてしまった場合も、ログイン情報などを入力する前にURLが正しいか確認する。
何が起きたのか
2025年12月8日、ペイロールは、同社のe-pay/P3サービスを装ったメールが確認されたとして注意を呼びかけました。メールは、年末調整業務の不備に伴う「再申請」を求める内容で、リンク先は同社サービスによく似た偽のサイトでした。翌12月9日、同社は、このメールが一部の顧客の所属組織で行われたセキュリティ訓練の一環だったと分かったと発表しました。同社は、顧客に混乱と心配を与えたことをお詫びしました。
なぜ起きたのか・なぜ広がったのか
このメールは、顧客の所属組織が行ったセキュリティ訓練の一環でした。ペイロールのサービスを装った内容が使われ、同社は当初、顧客の被害を防ぐために注意を呼びかけました。訓練の実施組織や、事前の連絡の有無などの詳しい経緯は、まだ発表されていません。
いまの状況2025-12-09 時点続報待ち
同社は、訓練を行う組織に対し、他の顧客やサービス提供者に影響が出ないよう、同社への事前通知などの配慮を求めています。また、セキュリティ管理と連携体制の強化に努めるとしています。公表された範囲では、情報漏えいや業務停止は確認されていません。具体的な再発防止策は、まだ発表されていません。
企業として考えたいこと
自社でフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。訓練をするとき、取引先やクラウドサービスの名前を使うなら、そのサービスの提供元へ事前に知らせる決まりはありますか。
技術的な要約
ペイロールは2025年12月8日、同社のe-pay/P3サービスを装い、年末調整業務の不備に伴う「再申請」を求めるフィッシング詐欺メール（なりすましメール）が確認されたとして注意喚起を公表した。メールのリンク先は同社サービスに酷似した偽サイトで、必要情報の入力を求める内容だった。12月9日の追加情報で、このメールは一部の顧客の所属組織が実施したセキュリティ訓練の一環であったと判明したと公表し、顧客に混乱と心配を与えたことを謝罪した。同社は訓練を実施する組織に事前通知などの配慮を依頼し、セキュリティ管理および連携体制の強化に努めるとしている。公表された範囲では、情報漏えいや業務停止は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認実際の侵入は公表されていない。確認されたメールは、年末調整業務の不備に伴う「再申請」を求める案内で、リンク先の偽サイトは同社サービスに酷似した画面で必要情報の入力を求めるものだった。同社は12月9日に、このメールが一部の顧客の所属組織で実施されたセキュリティ訓練の一環だったと公表した。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止は公表されていない。訓練メールにより顧客に混乱と心配を与え、同社サービスへの不審を抱かせる結果になったと同社は述べている。
- データ
- なし上限 —確定 —情報漏えいに関する公表は確認できない。当該メールは顧客組織のセキュリティ訓練と判明した。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 当該メールは一部の顧客の所属組織が実施した訓練で、ペイロールのサービス名を用いたもの。同社は他の顧客やサービス提供者に影響が及ばないよう配慮を依頼している。
時系列
- 2025-12-08
- 2025-12-08
- 2025-12-08
- 2025-12-08
- 2025-12-09
- 2025-12-09当該メールは、一部の顧客の所属組織で実施されたセキュリティ訓練の一環であったことが判明したと公表した。3
- 2025-12-09同社は、訓練メールにより顧客に混乱と心配を与え、サービスへの不審を抱かせたことを謝罪した。3
- 2025-12-09同社は訓練を実施する組織に、他の顧客やサービス提供者に影響が及ばないよう、同社への事前通知など最大限の配慮を依頼した。3
- 2025-12-09同社は、セキュリティ管理および連携体制の強化に努めるとした。3
- 2025-12-23ScanNetSecurityが、本件を給与計算クラウドをネタにしたメール訓練とサービス元の注意喚起として報じた。1
技術解説
12月8日の注意喚起の内容 事実
ペイロールは2025年12月8日、同社のe-pay/P3サービスを装ったフィッシング詐欺メール（なりすましメール）が確認されたとして注意喚起を公表した。確認されたメールは、年末調整業務の不備に伴う「再申請」を求める案内で、リンク先の偽サイトは同社サービスに酷似した画面で必要情報の入力を求めるものだった。同社はこれらのメールを、顧客の個人情報やログイン情報を不正に取得する目的で送信されるものと案内した。あわせて、不審なメールのリンクや添付ファイルを開かないこと、ブックマークかURL直接入力でアクセスすること、入力前にURLを確認すること、セキュリティ対策ソフトを最新に保つことを求めた。
12月9日の追加情報：訓練メールと判明 事実
12月9日、同社は先日案内したフィッシング詐欺メールについて追加情報を公表し、このメールが一部の顧客の所属組織で実施されたセキュリティ訓練の一環であったことが判明したと述べた。訓練メールの発信により顧客に混乱と心配を与え、同社サービスへの不審を抱かせる結果となったとして謝罪した。訓練を実施する組織・企業には、他の顧客やサービス提供者に影響が及ばないよう最大限の配慮を、同社への事前通知などとともに依頼した。同社はセキュリティ管理および連携体制の強化に努めるとしている。ブックマークやURL直接入力でのアクセスも改めて依頼した。
訓練が第三者ブランドに及ぼす影響（解釈） 解釈
公表内容からは、訓練メールが実際の攻撃メールと区別しにくい形で、サービス事業者の名称や画面に似せて作られていたことがうかがえる。事業者側は訓練と把握できない状況で顧客保護のために注意喚起を出し、翌日に訓練と判明して追加情報を出したと読める。善意の訓練であっても、第三者のサービス名を使うと、その事業者に調査や周知の負担が生じ、利用者の信頼にも影響し得る。ただし、訓練を実施した組織、設計内容、事前連絡の有無、入力した人の数は公表されていない。ここでの整理は公表された事実からの解釈であり、特定の組織の対応を評価するものではない。
公表の特徴と読み取れる範囲（解釈） 解釈
本件は、公表された範囲では侵入や情報漏えい、業務停止の確認がなく、実被害を伴う攻撃事案とは性質が異なる。一方で、事業者が注意喚起を出し、翌日に訂正に近い追加情報を出した流れは、利用者に正確な情報を早く届ける点で意味があったと考えられる。事業者名義の注意喚起は、訓練であっても本物のフィッシングと同じ手順で扱う必要があるためだ。今後の同種事案では、訓練実施側と事業者の連絡経路が、混乱の大きさを左右する要素になり得る。ただし公表資料だけでは、実際の混乱の規模や問い合わせ件数は分からない。
対応
- 封じ込め
- 顧客への注意喚起として、不審メールのリンクや添付ファイルを開かない、ブックマークまたはURL直接入力でアクセスする、入力前にURLを確認する、セキュリティ対策ソフトを最新に保つ、といった対応を依頼した。追加情報では、訓練実施組織への事前通知などの配慮も依頼した。
- 公表の仕方
- 2025年12月8日に注意喚起を公表し、12月9日に追加情報として、メールが顧客組織のセキュリティ訓練であったことを公表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 他社サービス名を使う訓練は、そのサービス事業者に影響が及ぶ | フィッシング訓練のシナリオ設計時に、自社外のブランド名・ロゴ・ドメイン類似を使う案を審査対象とし、使う場合は事業者への事前通知を必須とする手順を訓練計画書のテンプレートに組み込む。 |
| 訓練と実際の攻撃を事業者が区別できないと、注意喚起まで発生し得る | 訓練メールに識別用のヘッダ（例：X-Training-IDなどの独自ヘッダ）や送信元IP・ドメインの一覧を設け、事前連絡した事業者のセキュリティ窓口が照合できるようにする。 |
| サービスへのアクセス手段を利用者に一貫して示しておく | 公式サイトとメール文面に正規ドメインを明記し、ブックマーク経由のアクセスを案内する。ログイン画面にはPasskeyなどフィッシング耐性のある認証を導入して、偽サイトでの入力被害を減らす。 |
| 訓練の実施組織と事業者の連携窓口を平時から決めておく | 委託先やクラウド事業者ごとのセキュリティ連絡先を台帳で管理し、訓練や脆弱性診断の実施前に連絡するフローをチェックリスト化して運用に載せる。 |
| 不審メール報告の経路を一本化し、訓練メールの報告も同じ経路で受ける | メール製品の報告ボタンやSOC宛の転送先を一つにそろえ、訓練メールには訓練である旨を管理側だけが照合できるIDを付けて、報告時に実攻撃と切り分けられるようにする。 |
自組織などでの確認項目
- 自組織でフィッシング訓練を行うとき、取引先やクラウドサービスの名称を使うシナリオはあるか。使う場合、その事業者への事前連絡の手順は決まっているか。
- 自組織の利用者が受け取る業務系サービス（給与・勤怠・年末調整など）の通知メールについて、正規のドメインとアクセス方法を従業員に周知できているか。
- 訓練メールと実際のフィッシングメールを、セキュリティ担当が短時間で区別できる仕組み（識別ヘッダ、送信元一覧、報告窓口）が自組織にあるか。
未解明点
- 訓練を実施した顧客の所属組織はどこで、対象となった人数はどれくらいか。公表されていない。
- 訓練の実施について、ペイロールへの事前通知があったかどうかは公表されていない。
- 偽サイトに情報を入力した人の数や、顧客からの問い合わせ件数は公表されていない。
- 今後の再発防止として、訓練実施組織との連携体制を具体的にどう強化するのか。詳細は公表されていない。
出典
- 1ScanNetSecurity2025-12-23報道本文確認済
- 2株式会社ペイロール2025-12-08公式本文確認済
- 3株式会社ペイロール2025-12-09公式本文確認済
- 4株式会社ペイロール2025-12-08公式本文確認済
- 5株式会社ペイロール2025-12-09公式本文確認済
- 6株式会社ペイロール2025-12-08公式本文確認済