「このメール、本物でしょうか？」
情シスや総務部門の担当者であれば、従業員からこのような相談を受けたことがあるかもしれません。最近では、銀行、クレジットカード会社、ECサイト、配送会社、公的機関を装ったメールやSMSが非常に巧妙になっており、一目で偽物と判断するのが難しくなっています。
フィッシング詐欺は、偽のメール・SMS・Webサイトなどを使って、ID、パスワード、クレジットカード情報、認証コード、口座情報などを盗み取る詐欺です。個人だけでなく、企業のメールアカウントやクラウドサービスの認証情報が狙われることもあり、不正ログイン、情報漏えい、不正送金、取引先へのなりすまし被害につながります。
本記事では、CyberCrewのホワイトハッカーの視点から、フィッシング詐欺の意味、主な手口、見分け方、企業がとるべき対策、万が一被害に遭った場合の初動対応までを、できるだけ分かりやすく解説します。
なお、サイバー攻撃へは事前の対策が重要となっており、脆弱性診断やペネトレーションテストが有効です。CyberCrewでは、複数名のホワイトハッカーが在籍し、攻撃者が実際に狙うポイントから現場感のあるテストでリスクを評価します。まずは無料でご相談ください。
TABLE OF CONTENTS
フィッシング詐欺とは？意味をわかりやすく解説
フィッシング詐欺とは、実在する企業やサービスを装い、偽のメール・SMS・Webサイトなどに利用者を誘導して、ID、パスワード、クレジットカード情報、認証コードなどを盗み取る詐欺です。
たとえば、「アカウントが停止されます」「支払い方法を確認してください」「未払い料金があります」といった文面で不安を煽り、メールやSMS内のリンクを押させます。リンク先は本物そっくりの偽サイトになっており、そこで入力した情報が攻撃者に送られる仕組みです。
フィッシング対策協議会も、フィッシングを「実在する組織を騙って、ユーザネーム、パスワード、アカウントID、ATMの暗証番号、クレジットカード番号といった個人情報を詐取すること」と説明しています。詳しくは、フィッシング対策協議会のフィッシングとはでも確認できます。
この記事では、まずフィッシング詐欺の基本を整理し、その後、メール・SMS・電話・QRコード・標的型攻撃などの手口、見分け方、企業が実施すべき対策、被害時の対応を順番に解説します。
狙われるのはID・パスワード・カード情報
フィッシング詐欺で狙われる情報は、主にID、パスワード、クレジットカード情報、銀行口座情報、認証コード、個人情報です。
攻撃者は、これらの情報を使って不正ログイン、不正送金、クレジットカードの不正利用、なりすまし、アカウント乗っ取りなどを行います。企業の場合は、従業員のメールアカウントやMicrosoft 365、Google Workspace、VPN、クラウドサービスの認証情報が狙われることもあります。
たとえば、従業員が偽のログイン画面にIDとパスワードを入力してしまうと、攻撃者は社内メールやクラウドストレージにアクセスできる可能性があります。そこから請求書、顧客情報、取引先情報、契約書などが盗まれたり、社内外へなりすましメールが送られたりすることがあります。
つまり、フィッシング詐欺は単に「個人が騙される詐欺」ではありません。企業にとっては、情報漏えい、不正送金、取引先への被害、信用低下につながる重大なセキュリティリスクです。
人がフィッシング詐欺に騙される理由
フィッシング詐欺は、技術だけでなく人の心理を突く攻撃です。
よく使われるのは、「急がせる」「不安にさせる」「本物に見せる」という3つの手口です。たとえば、「本日中に確認しないとアカウントを停止します」「不正ログインを検知しました」「未払い料金があります」といった文面で、冷静に確認する時間を奪います。
さらに、偽サイトの見た目は年々精巧になっています。ロゴ、色、ボタン、ログイン画面、メールの文体まで本物に近づけられており、スマートフォンの小さな画面ではURLの違いにも気づきにくくなります。
フィッシング対策協議会の2026年度版ガイドラインでも、生成AIを活用した自然な文章表現や個別最適化されたメッセージによって、従来のような「不自然な日本語」を手掛かりに判別することが難しくなっていると指摘されています。詳細はフィッシング対策ガイドライン2026年度版で確認できます。
だからこそ、「注意していれば大丈夫」と個人任せにするのは危険です。企業では、従業員教育、メールセキュリティ、送信ドメイン認証、多要素認証、インシデント対応手順を組み合わせて、組織として備える必要があります。
フィッシング被害の件数と損失額
フィッシング詐欺は、現在も非常に多く報告されています。
フィッシング対策協議会の月次報告によると、2026年5月に同協議会へ寄せられたフィッシング報告件数は126,061件、報告されたフィッシングサイトのURL件数は40,912件、悪用されたブランド件数は112件でした。特に楽天カード、PayPayカード、Amazon、Apple、日本年金機構などをかたる報告が多く、上位5ブランドで全体の約60.4%を占めています。詳しくは2026年5月 フィッシング報告状況で確認できます。
金銭被害も深刻です。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」では、インターネットバンキングに係る不正送金事犯の発生件数が4,747件、被害総額が約103億9,700万円となっており、フィッシングがその手口の約9割を占めるとされています。詳細は警察庁のサイバー空間をめぐる脅威の情勢等にまとめられています。
また、IPAの「情報セキュリティ10大脅威 2026」では、個人向け脅威として「フィッシングによる個人情報等の詐取」が選出され、組織向け脅威では「ビジネスメール詐欺」が10位に入っています。IPAの情報セキュリティ10大脅威 2026も、経営層への説明材料として参考になります。
企業にとっての損失は、直接の不正送金だけではありません。調査費用、復旧費用、顧客対応、取引先への説明、監査対応、ブランド毀損まで含めると、被害は広がります。
フィッシング詐欺の主な手口・種類
フィッシング詐欺の手口は、メールだけではありません。現在は、SMS、SNS、電話、QRコード、チャットツール、クラウドサービスの共有リンクなど、さまざまな経路が使われます。
また、個人を広く狙うばらまき型だけでなく、特定の企業、部署、役職者を狙う標的型の手口もあります。忙しい月末に取引先らしい名前で請求書メールが届く、上司名義で「至急確認してほしい」と連絡が来る、スマホで見たSMSのURLが途中までしか見えない。こうした日常の中に、攻撃の入口が紛れ込みます。
ここでは、経路・標的・巧妙化という3つの切り口で、代表的なフィッシング詐欺の種類を整理します。
メール・SMS・SNSのリンクから偽サイトへ誘導する
最も一般的なのは、メールやSMSに記載されたリンクから偽サイトへ誘導する手口です。
たとえば、次のような文面がよく使われます。
| よくある文面 | 狙い |
|---|---|
| アカウントが停止されます | 不安を煽り、急いでログインさせる |
| 支払い方法を更新してください | クレジットカード情報を入力させる |
| 不正ログインを検知しました | 本人確認を装ってID・パスワードを盗む |
| 荷物をお届けできませんでした | 配送会社を装い、SMSから誘導する |
| 未払い料金があります | 決済画面へ誘導し、支払い操作をさせる |
SMSを使うフィッシングは「スミッシング」と呼ばれます。スマートフォンでは画面が小さく、URL全体を確認しにくいため、メールよりも偽サイトに気づきにくい場合があります。
フィッシング対策協議会の2026年5月月次報告でも、SMSから誘導されるフィッシング、つまりスミッシングの報告が増加傾向にあり、PayPayや東京電力をよそおった文面が多かったとされています。
SNSやチャットツールでも、知人や取引先になりすましてリンクを送る手口があります。知っている相手から届いたように見えても、アカウントが乗っ取られている可能性があるため注意が必要です。
電話やQRコードで信用させて情報を抜き取る
フィッシング詐欺には、電話やQRコードを使う手口もあります。
電話を使う手口は「ビッシング」と呼ばれます。銀行、カード会社、サポート窓口、警察、公的機関などを名乗り、「不正利用が確認された」「本人確認が必要」「認証コードを読み上げてほしい」といった形で情報を聞き出します。
QRコードを使う手口は「クイッシング」と呼ばれることがあります。メールやチラシ、ポスター、請求書、駐車場の案内などにQRコードを表示し、読み取った先の偽サイトで情報を入力させる手口です。
QRコードは、読み取る前にリンク先のURLを目で確認しにくいという弱点があります。特に、オフィスや店舗に貼られたQRコードが差し替えられている場合、利用者は正規の案内だと思ってアクセスしてしまう可能性があります。
企業では、社内掲示物、イベント受付、決済案内、アンケートフォームなどでQRコードを使う機会が増えています。便利な一方で、QRコードの掲示場所やリンク先の管理もセキュリティ対策の一部として考える必要があります。
特定の企業や担当者を狙い撃ちにする
不特定多数へばらまくフィッシングに対し、特定の企業や担当者を狙う手口もあります。これをスピアフィッシングと呼びます。
たとえば、経理担当者に対して取引先を装った請求書メールを送る、役員を装って「至急送金してほしい」と指示する、IT担当者に対してクラウドサービスのログイン画面を装う、といった手口です。
役員や経営層を狙う場合は、ホエーリングと呼ばれることもあります。一般社員よりも権限や情報を持っているため、攻撃者にとって価値の高い標的になります。
ビジネスメール詐欺、いわゆるBECもこの領域に含まれます。JPCERT/CCは、BECについて、取引先や経営者になりすまして送金を指示する手口として注意喚起しています。国内でも日本語のメールを用いたBECが確認されており、実際のCEOの名前やメールアドレスを使うなど、巧妙な文面が使われた事例が紹介されています。詳細はJPCERT/CCのビジネスメール詐欺の事例が参考になります。
法人にとって、標的型フィッシングは単なるメール詐欺ではありません。1通のメールが、不正送金、情報漏えい、取引先被害、経営責任に直結することがあります。
認証を突破しAIで巧妙化が進んでいる
最近のフィッシングは、多要素認証を設定していても安心できないケースがあります。
たとえば、リアルタイムフィッシングやAiTM（Adversary-in-the-Middle）と呼ばれる手口では、攻撃者が被害者と本物のログインサイトの間に入り、ID、パスワード、ワンタイムコード、セッション情報をリアルタイムに中継して認証を突破しようとします。
これにより、SMS認証や認証アプリのコードを入力していても、タイミング次第では攻撃者にログインされる可能性があります。多要素認証は非常に重要ですが、万能ではありません。
一方で、パスキーやFIDO2のようなフィッシング耐性の高い認証方式は、偽サイトに認証情報を入力させる従来型のフィッシングに強いとされています。CISAも、広く利用可能なフィッシング耐性認証としてFIDO/WebAuthnを挙げ、組織に移行計画を促しています。詳しくはCISAのMFAに関する解説で確認できます。
さらに、生成AIによってメール文面の自然さも上がっています。以前のような不自然な日本語、文字化け、誤字脱字だけを手掛かりにするのは危険です。今後は「見た目で見抜く」だけでなく、仕組みとして騙されにくい環境を作ることが必要です。
フィッシング詐欺を見分ける5つのポイント
フィッシング詐欺を完全に見抜くことは簡単ではありません。
それでも、不審なメールやSMSを受け取った瞬間に確認すべきポイントを知っていれば、被害を大きく減らせます。
まずは、次の5つを確認してください。
| 確認ポイント | 見るべきところ |
|---|---|
| ①URL・ドメイン | 公式サイトと微妙に違わないか |
| ②不安を煽る文面 | 「至急」「停止」「未払い」などで焦らせていないか |
| ③日本語の自然さ | 不自然な敬語や翻訳調がないか |
| ④入力要求 | ID・パスワード・カード情報を求めていないか |
| ⑤送信元 | 表示名だけでなく実際のアドレスを確認したか |
①URL・ドメインが公式と微妙に違う
フィッシングサイトでは、本物に似たURLが使われます。
たとえば、公式サイトのドメインに見えるように、一部の文字を変えたり、ハイフンを足したり、別の単語を前後につけたりします。スマートフォンではURLが途中までしか見えないため、特に注意が必要です。
確認するときは、メール内のリンクをそのまま押すのではなく、公式アプリやブックマークからログインしてください。検索結果からアクセスする場合も、広告枠や偽サイトが紛れ込む可能性があるため、公式サイトのURLを確認しましょう。
注意したいのは、「httpsだから安全」とは言い切れないことです。現在ではフィッシングサイトでもhttpsが使われることがあります。鍵マークは通信が暗号化されていることを示すだけで、そのサイトが本物であることを保証するものではありません。
②「アカウント停止」など不安を煽る内容
フィッシングメールでは、読者を焦らせる言葉がよく使われます。
代表的なのは、次のような表現です。
| 典型的な言葉 | 狙い |
|---|---|
| 至急確認してください | 冷静に確認する時間を奪う |
| アカウントが停止されます | 不安を煽る |
| 不正ログインを検知しました | 本人確認を装う |
| お支払いが確認できません | カード情報を入力させる |
| 本日中に手続きが必要です | 判断を急がせる |
本物の企業からの連絡でも重要なお知らせはあります。しかし、メールやSMSのリンクからすぐにログインさせたり、カード情報や認証コードを入力させたりする場合は警戒してください。
特に、業務中は忙しく、経費精算、請求書確認、社内システム通知などのメールを流れ作業で処理しがちです。攻撃者はその隙を狙います。少しでも違和感がある場合は、リンクを開く前に情シスや上長へ確認する運用にしておくと安全です。
③日本語や言い回しが不自然
以前のフィッシングメールには、不自然な日本語や翻訳調の文章が多く見られました。
たとえば、敬語の使い方がおかしい、漢字とひらがなのバランスが不自然、句読点が極端に多い、会社名やサービス名の表記が揺れている、といった特徴です。
ただし、現在はこの見分け方だけでは不十分です。生成AIや翻訳技術の進歩により、自然な日本語のフィッシングメールも増えています。フィッシング対策協議会の2026年度版ガイドラインでも、生成AIを活用した自然な文章表現や個別最適化されたメッセージによって、従来の見分け方だけでは防ぎきれない状況になっていると指摘されています。
そのため、「日本語が自然だから本物」と判断するのは危険です。日本語の不自然さはあくまで参考情報であり、URL、送信元、入力要求、公式アプリでの確認を組み合わせて判断しましょう。
④リンク先・ポップアップで情報入力を求める
メールやSMSのリンク先で、ID、パスワード、カード番号、認証コード、口座情報を入力させる場合は、強く警戒してください。
正規サービスでもログインや本人確認を求めることはあります。しかし、重要なのはアクセス経路です。メール内のリンクから直接ログインするのではなく、公式アプリやブックマークから自分でアクセスする習慣をつけることが大切です。
特に危険なのは、次のような入力要求です。
| 入力を求められる情報 | 危険性 |
|---|---|
| ID・パスワード | 不正ログインにつながる |
| ワンタイムパスワード | 多要素認証を突破される可能性がある |
| クレジットカード番号 | 不正利用につながる |
| セキュリティコード | カード決済に悪用される |
| 口座番号・暗証番号 | 不正送金につながる |
| マイナンバー・本人確認書類 | なりすましに使われる可能性がある |
メールやSMSから開いた画面で情報入力を促されたら、いったん閉じてください。その後、公式アプリや公式サイトから同じ通知が本当に来ているか確認しましょう。
⑤送信元アドレス・ヘッダーの確認手順
フィッシングメールでは、送信者名だけを本物らしく見せることがあります。
たとえば、表示名には「楽天カード」「Amazon」「銀行サポート」などと表示されていても、実際のメールアドレスは無関係なドメインである場合があります。まずは表示名ではなく、実際の送信元アドレスを確認してください。
スマートフォンでは、メールアプリ上で送信者名をタップすると、実際のメールアドレスが表示されることがあります。PCでは、メールの詳細表示や「メッセージのソース」「ヘッダーを表示」などから、送信元アドレスや認証結果を確認できます。
ただし、メールアドレスも偽装されることがあります。そのため、送信元確認だけで本物と断定するのは危険です。企業では、SPF、DKIM、DMARCなどの送信ドメイン認証を導入し、受信側でも認証結果を確認できる仕組みを整えることが重要です。
フィッシング対策協議会の2026年5月月次報告では、調査用メールアドレス宛に届いたフィッシングメールのうち、実在するサービスのメールアドレスやドメイン名を使った「なりすまし」フィッシングメールが約36.4%だったとされています。
企業が狙われるフィッシングの実例
フィッシング詐欺は、個人のクレジットカード情報を盗むだけのものではありません。企業では、従業員の認証情報、取引先とのメール、請求書、送金フロー、クラウドサービス、社内システムが狙われます。
さらに厄介なのは、自社が直接だまされるだけでなく、自社の名前やドメインが悪用され、取引先や顧客が被害を受けるケースです。攻撃者にとって、信頼されている企業名や担当者名は強力な武器になります。
ここでは、法人が特に注意すべき実例を整理します。
自社を語るなりすましメール（取引先・顧客への被害）
自社を語るなりすましメールが取引先や顧客に送られると、被害は自社だけで終わりません。
たとえば、自社名を名乗る偽メールが顧客に届き、偽サイトでカード情報を入力させるケースがあります。取引先に対して、請求書の振込先変更を装うメールが送られるケースもあります。
この場合、実際にメールを送ったのは攻撃者であっても、顧客や取引先から見れば「その会社から来たメール」に見えてしまいます。結果として、問い合わせ対応、注意喚起、ブランド毀損、場合によっては賠償や契約上のトラブルに発展する可能性があります。
フィッシング対策協議会の2026年度版ガイドラインでは、事業者に対して、管理下のドメイン名を自社ブランドとして管理し、なりすましメール送信などに不正利用されないようDMARCで保護することを求めています。特に、メールを送らないドメインや保有だけしているドメインはrejectポリシーにすることが推奨されています。
つまり、なりすましメール対策は「受信側の迷惑メール対策」だけではありません。自社ブランドを守るための対策でもあります。
取引先・公的機関になりすます手口
企業では、取引先や公的機関を装ったメールも多く使われます。
たとえば、実在する取引先の担当者名を使って「請求書を再送します」「振込先が変わりました」と連絡する手口があります。経理担当者が普段の業務メールだと思って対応すると、不正送金につながる可能性があります。
また、公的機関や税務関連の通知を装うケースもあります。税金、社会保険、年金、補助金、助成金、行政手続きなどは、企業担当者が無視しにくいテーマです。攻撃者はその心理を利用します。
フィッシング対策協議会の2026年5月月次報告でも、日本年金機構をかたるフィッシングが上位に入っており、国民年金や住民税の納付依頼をよそおうフィッシングも緊急情報として紹介されています。
業務メールでは、「いつもの取引先だから大丈夫」と思い込みやすいのが危険です。振込先変更、緊急送金、認証コード入力、ファイル共有リンク、クラウドログインを求めるメールは、必ず別経路で確認する運用が必要です。
楽天・銀行・カード会社など実在サービスの詐称例
個人向けにも、実在サービスをかたるフィッシングは多く確認されています。
フィッシング対策協議会の2026年5月月次報告では、楽天カードをかたるフィッシングが約18.5%、PayPayカードをかたるフィッシングが約17.1%とされ、クレジットカードブランドの報告が急増しています。
楽天カードは公式サイトで、不審なメールの見分け方や、誤って情報を入力してしまった場合の対応方法を案内しています。三井住友カードも、同社を装った不審なメールやSMSの見分け方を公式サイトで紹介し、カード番号や個人情報の入力を求める内容に注意を促しています。
ここで重要なのは、攻撃者が「誰も知らない会社」ではなく、誰もが使っている有名サービスを装うことです。楽天、Amazon、Apple、銀行、カード会社、配送会社、公的機関などは、利用者が多いため、ばらまき型のフィッシングで悪用されやすいブランドです。
企業の従業員も、個人としてこれらのサービスを使っています。私用メールに見える攻撃が、会社端末や社内ネットワーク上で開かれることもあるため、個人向けの手口も企業リスクとして無視できません。
企業がとるべきフィッシング対策
企業のフィッシング対策は、従業員に「気をつけてください」と伝えるだけでは不十分です。
もちろん教育は重要ですが、人は忙しいとき、焦っているとき、信頼している相手からの連絡に見えたときに判断を誤ります。そのため、教育、技術対策、認証強化、端末管理、セキュリティ製品、訓練、インシデント対応を組み合わせる必要があります。
ここでは、企業が現実的に取り組むべき対策を整理します。
従業員教育・標的型攻撃メール訓練の実施
フィッシング対策の基本は、従業員が不審なメールやSMSに気づけるようにすることです。
教育では、フィッシングメールの見分け方、リンクを押す前の確認方法、怪しい添付ファイルの扱い、認証コードを他人に教えないこと、被害に気づいたときの報告先を明確にします。
ただし、座学だけでは十分ではありません。実際の業務では、忙しい時間帯に、取引先や上司を装ったメールが届きます。そのため、標的型攻撃メール訓練を行い、従業員が実際に見抜けるか、報告できるかを確認することが重要です。
訓練の目的は、従業員を責めることではありません。どの部署が引っかかりやすいか、どの文面が危険か、報告ルートが機能しているかを把握し、組織全体の対応力を高めることです。
訓練後は、クリック率だけを見るのではなく、報告率、初動までの時間、再発防止の理解度も確認しましょう。
送信ドメイン認証（SPF・DKIM・DMARC）でなりすましを防ぐ
企業が必ず取り組むべき技術対策の一つが、送信ドメイン認証です。
送信ドメイン認証とは、メールが本当にそのドメインの正規サーバーから送られているかを確認する仕組みです。代表的なものにSPF、DKIM、DMARCがあります。
| 技術 | 役割 |
|---|---|
| SPF | そのドメインからメールを送ってよいサーバーを指定する |
| DKIM | メールに電子署名を付け、改ざんされていないことを確認する |
| DMARC | SPFやDKIMの結果をもとに、なりすましメールをどう扱うか決める |
非エンジニア向けに言うと、SPFは「送信できるサーバーの名簿」、DKIMは「メールの署名」、DMARCは「認証に失敗したメールをどう処理するかのルール」です。
DMARCは特に重要です。p=noneのままでは、認証に失敗したメールを監視するだけで、受信側で拒否や隔離がされない場合があります。フィッシング対策協議会の2026年度版ガイドラインでは、オンラインサービス提供事業者に対してDMARCポリシーをrejectへ変更する計画を立てることが求められています。
ただし、DMARCをいきなりrejectにすると、正規のメールマガジン、請求書配信サービス、問い合わせ管理システム、MAツールからのメールが届かなくなることがあります。まずは現状調査、p=noneでの監視、送信元整理、DKIM対応、段階的なquarantine、rejectという流れで進めるのが安全です。
ID・パスワードの使い回し防止
IDとパスワードの使い回しは、フィッシング被害を大きく広げます。
あるサービスで盗まれたパスワードが、Microsoft 365、VPN、勤怠システム、クラウドストレージ、EC管理画面などでも使われていれば、攻撃者は次々にログインを試みます。これを防ぐには、サービスごとに異なる強いパスワードを使い、パスワードマネージャーで管理することが有効です。
多要素認証も必須です。パスワードだけでログインできる状態は、企業システムでは危険です。特に、管理者アカウント、メールアカウント、クラウドサービス、VPN、リモートアクセスには必ず設定すべきです。
ただし、多要素認証にも限界があります。SMS認証やワンタイムコードは、リアルタイムフィッシングで中継される可能性があります。そのため、可能であればパスキーやFIDO2のようなフィッシング耐性のある認証方式を検討してください。
FIDO Allianceも、パスキーをフィッシング攻撃を防ぐための重要な認証手段として紹介しています。また、フィッシング対策協議会の2026年5月月次報告でも、詐取された認証情報の不正利用対策として、パスキーなどフィッシング耐性のある多要素認証への対応が勧められています。
OS・ソフトを最新に保つ
フィッシング対策というと、メールやパスワードの話に目が行きがちですが、OSやブラウザ、ソフトウェアを最新に保つことも重要です。
リンクを開いただけで必ず被害に遭うわけではありません。しかし、古いOS、古いブラウザ、古いプラグイン、脆弱な拡張機能を使っている場合、悪意あるサイトを開いただけでマルウェア感染につながる可能性があります。これをドライブバイダウンロードと呼びます。
現在の主要ブラウザやOSは、以前より防御機能が強化されています。それでも、更新を止めた端末、サポート切れのOS、古い業務端末、放置されたブラウザ拡張機能は攻撃対象になります。
企業では、Windows UpdateやmacOSの更新、ブラウザ更新、スマートフォンOS更新、EDRやウイルス対策ソフトの定義ファイル更新を、従業員任せにせず管理することが大切です。
セキュリティ製品を導入する
フィッシング詐欺は、人の判断だけで防ぐには限界があります。
そのため、メールセキュリティ、EDR、DNSフィルタリング、Webフィルタリング、CASB、SASE、DMARC監視、フィッシングサイト検知、ダークウェブ監視などの製品を組み合わせることが有効です。
たとえば、メールセキュリティ製品は、不審な添付ファイル、危険なURL、なりすましメール、マルウェア付きメールを検知・隔離します。EDRは、端末上で不審な挙動が起きた場合に検知・調査・隔離を支援します。DNSフィルタリングは、危険なドメインへのアクセスを止める役割を持ちます。
ただし、製品を導入すれば万全というわけではありません。攻撃者は、正規サービスのURL、短縮URL、クラウドストレージ、メール配信サービス、AIで作った自然な文面などを使い、フィルターをすり抜けようとします。
重要なのは、製品導入後に「本当に機能しているか」を確認することです。標的型攻撃メール訓練、ログ確認、インシデント対応演習、外部診断を組み合わせ、組織としての対応力を高める必要があります。
フィッシング詐欺にあってしまったときの対処法
フィッシング詐欺に遭った可能性がある場合は、焦って行動しないことが重要です。ただし、何をしてしまったかによって初動は変わります。
リンクを開いただけなのか、ID・パスワードを入力したのか、カード情報や決済情報まで入力したのかで、優先順位は異なります。特に企業では、本人が「大したことではない」と思っても、同じメールが社内の他の従業員にも届いている可能性があります。
ここでは、段階別に対応方法を整理します。個人利用の場合も、会社端末や業務メールを使っていた場合は、社内ルールに従って報告してください。
リンクを開いただけ・情報は未入力の場合
リンクを開いただけで、IDやパスワード、カード情報を入力していない場合、被害リスクは比較的低いと考えられます。
ただし、「クリックしただけなら100%安全」と断定するのは危険です。古いOSやブラウザを使っている場合、悪意あるサイトを開くだけでマルウェア感染につながる可能性があります。
まずは、ページを閉じてください。その後、次の対応を行います。
| 対応 | 内容 |
|---|---|
| ページを閉じる | 追加のクリックや入力をしない |
| OS・ブラウザを更新する | 古い脆弱性を悪用されるリスクを下げる |
| ウイルススキャンを実行する | 不審な挙動がないか確認する |
| 履歴やURLを保存する | 社内報告や相談時の証跡にする |
| 社内ルールに従って報告する | 情シス・管理部門へ共有する |
会社端末で開いた場合は、自己判断で終わらせず、情シスや管理部門へ報告してください。早期に共有されれば、他の従業員への注意喚起やメール隔離につなげられます。
ID・パスワードを入力してしまった場合
ID・パスワードを入力してしまった場合は、すぐに該当サービスのパスワードを変更してください。
最優先は、攻撃者がログインする前に正規サイトからパスワードを変更することです。メール内のリンクではなく、公式アプリやブックマークからアクセスしてください。
次に、同じパスワードを使い回している他のサービスも変更します。特に、メール、クラウドストレージ、SNS、ECサイト、銀行、カード会社、業務システム、VPN、Microsoft 365、Google Workspaceなどは優先度が高いです。
あわせて、多要素認証の設定状況を確認してください。未設定であれば有効化し、すでに設定済みの場合でも、不審なログイン履歴、登録済み端末、バックアップコード、メール転送設定、連携アプリを確認します。
企業アカウントの場合は、本人だけで対応しないでください。情シス側でパスワードリセット、セッション失効、ログ確認、条件付きアクセス確認、メール転送ルール確認、EDRスキャンを行う必要があります。
クレジットカード・決済情報を入力してしまった場合
クレジットカード番号、セキュリティコード、口座情報、決済サービスの認証情報を入力してしまった場合は、すぐにカード会社や決済サービスへ連絡してください。
最優先は、カードの利用停止、不正利用の確認、再発行手続きです。すでに決済や送金操作をしてしまった場合は、利用明細や送金履歴を確認し、スクリーンショットやメール本文、URL、日時を保存します。
企業カードや法人決済サービスの場合は、経理部門、上長、情シス、法務、必要に応じて経営層へ速やかに共有します。個人のカードであっても、会社端末や業務メールを経由した場合は、社内インシデントとして扱うべきです。
相談先も整理しておきましょう。警察への相談は、緊急性が高い場合は110番、緊急ではない相談は警察相談専用電話「#9110」が案内されています。#9110は、犯罪や事故に当たるか分からない相談を、管轄の警察相談窓口につなぐ番号です。政府広報オンラインの#9110に関する案内でも確認できます。
サイバー事案については、警察庁のサイバー事案に関する通報・相談・情報提供窓口から相談することもできます。技術的な相談ではIPAの情報セキュリティ安心相談窓口、フィッシングサイトの報告ではフィッシング対策協議会やJPCERT/CCへの報告も選択肢になります。
カードや決済、請求トラブルが絡む場合は、消費者ホットライン188も相談先になります。消費者庁は、188を通じて身近な消費生活センターや消費生活相談窓口を案内すると説明しています。詳しくは消費者庁の消費者ホットラインをご確認ください。
企業のフィッシング・セキュリティ対策なら CyberCrew
フィッシング対策は、「従業員に注意喚起した」「多要素認証を入れた」「メールセキュリティ製品を入れた」だけでは終わりません。
実際の攻撃では、自然な日本語のメール、取引先を装った文面、正規サービスのURLを悪用した誘導、リアルタイムフィッシング、多要素認証の中継、クラウドアカウントの乗っ取りなど、複数の手口が組み合わされます。
CyberCrewでは、攻撃者視点を踏まえたセキュリティ診断、ペネトレーションテスト、標的型攻撃メール訓練、クラウド環境のリスク評価、ダークウェブ調査などを通じて、企業の実際の弱点を可視化します。
たとえば、次のような観点を確認できます。
| 確認観点 | 内容 |
|---|---|
| メール対策 | SPF・DKIM・DMARCの設定状況、なりすまし耐性 |
| 従業員対応 | フィッシングメールを見抜けるか、報告できるか |
| アカウント防御 | 多要素認証、パスキー、条件付きアクセス |
| クラウド設定 | 不正ログイン後の影響範囲、権限過剰 |
| 監視体制 | 不審ログイン、メール転送、外部共有の検知 |
| 漏えい確認 | 認証情報が外部に出回っていないか |
重要なのは、対策を「入れているか」ではなく、「実際に機能するか」です。訓練や診断を通じて、従業員がどこで迷うのか、攻撃者がどこまで到達できるのか、被害時に初動対応できるのかを確認できます。
CyberCrewは、サイバーセキュリティを専門とする企業として、攻撃者視点に基づいた実践的な支援を行っています。自社のフィッシング対策に不安がある場合、従業員教育や訓練を検討している場合、なりすましメール対策やクラウドアカウント防御を見直したい場合は、CyberCrewへご相談ください。
フィッシング詐欺に関するよくある質問（FAQ）
ここでは、フィッシング詐欺についてよくある質問に簡潔に回答します。
個人として不審なメールを受け取った方にも、企業の担当者として社内説明をしたい方にも使いやすいよう、まず結論を短く示し、その後に補足を加えます。FAQは、検索結果から直接読まれることも多い部分です。短くても、誤解を生まないように「安心してよい範囲」と「注意すべき範囲」を分けて整理します。
Q.フィッシング詐欺とはどんな詐欺ですか？
フィッシング詐欺とは、実在する企業やサービスを装い、偽サイトへ誘導してIDやカード情報を盗む詐欺です。
メール、SMS、SNS、電話、QRコードなど、さまざまな経路が使われます。企業では、従業員アカウントや取引先とのメールが狙われることもあります。
個人の場合はカード不正利用やアカウント乗っ取り、企業の場合は情報漏えい、不正送金、取引先へのなりすまし被害につながる可能性があります。単なる迷惑メールではなく、実害につながるサイバー攻撃として扱う必要があります。
Q.クリックしただけで被害に遭いますか？
情報を入力していなければ、被害リスクは比較的低いです。ただし、100%安全とは言い切れません。
古いOSやブラウザでは、悪意あるサイトを開いただけでマルウェア感染につながる可能性があります。ページを閉じ、OS・ブラウザ更新、ウイルススキャン、社内報告を行いましょう。
また、企業端末でリンクを開いた場合は、自己判断で放置しないことが重要です。同じメールが他の従業員にも届いている可能性があります。URL、受信日時、メール本文を保存し、情シスや管理部門に共有すれば、社内全体への注意喚起やメール隔離につなげられます。
Q.偽の請求画面が出た場合（ワンクリック詐欺）は支払う必要がありますか？
基本的に、突然表示された偽の請求画面に従って支払う必要はありません。
国民生活センターは、アダルトサイトで突然「登録完了」と表示された相談について、確認画面がない場合は電子消費者契約法により契約の取消しを主張でき、料金を請求されても支払う必要はないと案内しています。詳しくは国民生活センターの相談事例で確認できます。
ただし、ワンクリック詐欺はフィッシング詐欺とは別の手口です。連絡先に電話したり、退会メールを送ったりすると、追加で個人情報を渡してしまう可能性があります。心配な場合は消費生活センターや188へ相談してください。
Q.フィッシング詐欺はどこまで詐欺になりますか？
偽サイトで情報を盗み、不正ログインや不正送金を行えば、詐欺罪や不正アクセス禁止法などに関係する可能性があります。
たとえば、他人のID・パスワードを使ってサービスにログインする行為は、不正アクセス禁止法上の問題になる可能性があります。偽の請求や送金指示によって金銭をだまし取る行為は、詐欺罪に関係する場合があります。
ただし、具体的な法的評価は行為内容や被害状況によって変わります。被害に遭った場合や判断に迷う場合は、警察、弁護士、消費生活センターなど専門機関に相談してください。
企業の場合は、法務・総務・情シス・経営層と連携し、証跡を保全したうえで対応することが重要です。メール本文、送信元、URL、アクセス日時、入力した情報、決済履歴などを残しておくと、その後の調査や相談が進めやすくなります。
まとめ｜「見分ける×最新に保つ×組織で備える」
フィッシング詐欺とは、実在する企業やサービスを装い、偽のメール・SMS・Webサイトなどを使って、ID、パスワード、クレジットカード情報、認証コードなどを盗み取る詐欺です。
被害は個人だけにとどまりません。企業では、従業員アカウントの乗っ取り、不正送金、情報漏えい、自社をかたるなりすましメール、取引先や顧客への被害につながります。
対策の基本は、次の3つです。
| 対策軸 | 内容 |
|---|---|
| 見分ける | URL、送信元、文面、入力要求、公式アプリで確認する |
| 最新に保つ | OS、ブラウザ、メール環境、認証方式を更新する |
| 組織で備える | 教育、訓練、DMARC、多要素認証、セキュリティ製品、初動対応を整える |
特に企業では、従業員教育だけに頼らず、SPF・DKIM・DMARCによる送信ドメイン認証、多要素認証、パスキー、メールセキュリティ、EDR、標的型攻撃メール訓練、インシデント対応手順を組み合わせることが重要です。
そして、対策は導入して終わりではありません。本当に従業員が見抜けるのか、なりすましメールを防げているのか、不正ログイン時に検知できるのか、初動対応が機能するのかを定期的に検証する必要があります。
CyberCrewでは、攻撃者視点での診断・訓練・リスク評価を通じて、企業のフィッシング対策が実際に機能するかを確認します。自社の備えに不安がある場合は、早めに現状を点検することをおすすめします。
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
