フィッシング対策協議会が2025年に受け付けたフィッシング報告は2,454,297件でした。前年の約1.43倍で、過去最多です [1]。詐欺師がかたったブランドは229にのぼります。2026年7月には、そのうちの5つ（Amazon、Apple、セゾンカード、JCB、イープラス）が全報告の約69%を占めました [2]。いずれも学生がよく使うサービスであり、それが選ばれた理由でもあります。
かつては、おかしな文法に気をつけるだけでよいと言われていましたが、そのアドバイスはもう時代遅れです。Verizonの「2026年データ漏えい/侵害調査報告書（DBIR）」では、研究者が確認したAIを利用した侵入手法のうち、フィッシングが44%を占めていました [3]。文法の誤りがまったくない流暢な日本語や英語の文章も、はるかに簡単に作れるようになっています。とはいえ、フィッシングメールを見分ける方法のうち、今でもかなり有効なものが5つあります。
最初に注目すべきフィッシングのサインは、突然の切迫感です。「一定の時間までに一定の手続きをしないと、アカウントが停止されます」「24時間以内に確認が必要です」といった文言をはじめ、こうした表現はフィッシングの大きなサインです。攻撃者はこのような脅しの手口をよく使い、受信者をパニックに陥らせます。そうなると、まず状況を分析するための時間を取らずに、よく考えないまま判断してしまうおそれがあります。2025年半ばには、多要素認証を設定するよう、あるいは以前の不正被害に対する補償を申請するよう促す偽の証券会社のメールが大量に出回りました [4]。こうした場合の一般的なアドバイスは、短い期間内に対応しなければ不利益があると脅すメールは、決して信用しないことです。これほど急な要求をしてくる相手はほとんどいませんし、期限付きの要求が送られてくる場合でも、通常はかなり余裕のある期限が設けられていて、確認したうえで安全に手続きできるだけの時間があります。また、アカウントに関する手続きは、メールに記載されたリンクからではなく、公式アプリから行うことをおすすめします。
フィッシングメールの2つ目のサインは、最初はそれほど目立たないかもしれませんが、非公式のドメインです。メールを受け取ったら、送信者名をタップして完全なアドレスを表示させ、@より後ろをすべて読みましょう。攻撃者は、本物のドメインを偽装するよりも、自分たちのドメインを登録するケースが増えています。2026年7月には、協議会のサンプルに含まれるフィッシングメールの約73.5%が攻撃者の所有するドメインから送られており、そのうち約95%がDMARC（メールサービスが送信者を確認するための仕組み）の検証を通過していました [2]。「認証済み」の送信者であることは、そのメールがそのドメインから送られたことを証明するだけです。そのドメインがAmazonのものかどうかについては、何も示していません。逆のケースもあります。7月のサンプルの約4分の1は本物の企業のアドレスを偽装しており [2]、2025年3月にはその割合が63%でした [5]。つまり、アドレスによってメールが怪しいと判断することはできても、安全だと判断することは決してできないのです。最善のアドバイスは、公式のドメインだけを信頼し、ドメインに見慣れない文字が含まれていないかを確認することです。たとえば @gmai1.com と @gmail.com は、ドメインが正規のものかどうかを落ち着いて確かめない人には、同じに見えるかもしれません。落ち着いて、アドレスとドメインを注意深く読みましょう。少しでも怪しいと感じたら、送信者を信用せず、メールが求めることは何もしないでください。
注意すべき3つ目のサインは、ある宛先に向かうように見えて、よく調べるとまったく別のアドレスにつながっている埋め込みリンクです。ノートパソコンでは、ハイライトされた文字の上にカーソルを合わせると、ブラウザの下の隅にリンク先のURLが表示され、埋め込みリンクを確認できます。スマートフォンでは、リンクを長押しするだけで同じことができます。日本のフィッシングのデータでは、2つのパターンが頻繁に見られるようです。1つは .top や .cn といった安価なトップレベルドメインで、2025年7月に報告されたフィッシングURLのほぼ半数を占めました。もう1つは、Google翻訳のような正規のサービスを経由させて本当のリンク先を隠すリンクで、同月には約8.5%にのぼりました [6]。
4つ目のアドバイスは、メールで送られてきたログインページにはサインインしないことです。フィッシングメールには、認証情報を盗むための偽のログイン画面が含まれていることがよくあります。攻撃者は盗んだ認証情報を使って、あなた自身の個人データにアクセスしたり、あなたが任されている、本来は立ち入りが制限されている会社の情報にアクセスしたりします。守るべきルールは単純で、自分でブックマークし、確認済みの公式アプリやウェブサイトからログインすることです。メールで送られてきたログインは信用しないでください。2025年の証券口座の乗っ取り被害の後、日本の金融庁も利用者に同じアドバイスをしており、本物のサイトをブックマークしてそこからログインするよう呼びかけました [7]。メールに書かれた問題が本物であれば、信頼できるリンクからサインインしたときに、いずれにしてもそこで確認できるはずです。指紋認証や顔認証などのパスキーも、偽のドメインでは機能しないため、こうした場面で役に立ちます。
5つ目、そして最後のサインについては、次のような場面を想像してみてください。ギフトカードを求めてくる教授、最初の勤務の前に銀行口座の情報を求めてくるアルバイト、そして「スマホをなくした」と言い、あなたのスマホに今送った認証コードを教えてほしいと頼んでくるLINEの友人です。お金を送る、プリペイドカードを買う、コードを転送するといった依頼は、本人に直接電話するなど、自分で選んだ連絡手段で確認できるまでは、すべて詐欺だと考えてください。以前からやり取りがあり、相手が本人であることが確実にわかっているアカウントを通じて、チャットでその人や会社に連絡しましょう。
では、すでに怪しいリンクをクリックしてしまった場合はどうすればよいでしょうか。恥ずかしい思いをするかどうかよりも、素早い対応と回復のほうがはるかに大切だと理解してください。ログインしてしまったアカウントのパスワードと、同じパスワードを使っていたかもしれない他のすべてのアカウントのパスワードを変更し、パスキーまたはMFA（多要素認証）を有効にしましょう。カード情報を入力してしまった場合は、すぐにカード会社に電話するか銀行のアプリを開いてカードを停止し、不正請求の可能性があるものを金融機関に報告してください。悪意のあるメールはフィッシング対策協議会（[email protected]）に転送し、アカウントに関わることはすべて、その企業や大学のIT部門に報告しましょう。すでに口座からお金が引き出されている場合、消費者ホットラインは188、警察相談専用電話は#9110です。
出典
- ScanNetSecurity. "DMARC 通過する独自ドメインフィッシング急増 ~ フィッシング対策協議会「フィッシングレポート2026」." June 2026. scan.netsecurity.ne.jp
- ScanNetSecurity. "2026年7月のフィッシング報告状況、Amazonをかたるフィッシングが急増." August 2026. scan.netsecurity.ne.jp
- SC World. "Verizon DBIR 2026: Vulnerability exploits top initial access as patching coverage falls." May 2026. scworld.com
- ScanNetSecurity. "2025年7月のフィッシング報告状況、証券会社をかたるフィッシングメールの配信が再び増加." August 2025. scan.netsecurity.ne.jp
- ScanNetSecurity. "フィッシング報告件数過去最高、2025 年 3 月 報告状況." April 2025. scan.netsecurity.ne.jp
- @IT. "フィッシング対策協議会が7月の報告状況を公表." September 2025. atmarkit.itmedia.co.jp
- Infosecurity Magazine. "Japanese Account Hijackers Make $2bn+ of Illegal Trades." 2025. infosecurity-magazine.com
