>
>
公開日
最終更新日
フィッシング詐欺で何が起こるのかという疑問への答えは、偽サイトを開いただけか、認証情報やカード番号を入力したかで大きく変わります。閲覧だけなら直ちに情報を奪われるとは限りませんが、入力後は数分以内にアカウント乗っ取り、不正送金、カード利用、証券口座での無断売買が始まる可能性があります。
目的別の参照先：被害直後の初動対応は「フィッシング詐欺の被害に遭った場合の対処法」を、企業のメール・認証対策は「個人・企業ができる最新のフィッシング対策」を参照してください。
2025年には、生成AIで自然な文面を作る攻撃、QRコードから誘導するQuishing、AI音声を使うVishing、多要素認証のコードまで中継するAiTMが目立ちました。本記事では、個人が今すぐ行える初動対応と、企業の情報システム部門が実装すべき多層防御を、最新統計と国内企業の事例を交えて解説します。
フィッシング詐欺とは
フィッシング詐欺とは、実在する企業や公的機関を装い、偽サイトや偽の窓口へ誘導して認証情報や金融情報をだまし取る犯罪です。
本記事のポイント
2024年の国内フィッシング報告件数は171万8,036件で、1日平均では約4,707件です。
偽サイトに情報を入力すると、口座・カード・メール・クラウド・証券口座が短時間で悪用されます。
SMSや認証アプリのワンタイムコードも、AiTM攻撃ではリアルタイムに中継されます。
個人は初動対応とパスキー、企業はDMARCを含む多層防御で被害範囲を縮小します。
攻撃者は、銀行、クレジットカード会社、通販サイト、通信会社、宅配会社、証券会社、行政機関などの名称やロゴを使います。「支払いに失敗した」「利用を制限した」「税金が未納になっている」など、受信者を焦らせる文面でリンクやQRコードを開かせるのが典型です。
国内の報告件数と被害の拡大
フィッシングは一部の利用者だけが遭遇する例外的な攻撃ではなく、日常的に発生している脅威です。
フィッシング対策協議会は「フィッシングレポート 2025」（https://www.antiphishing.jp/report/wg/phishing_report2025.html、2025年6月参照）で、2024年に同協議会へ寄せられた報告を171万8,036件と集計しています。前年の約1.44倍で過去最多となり、365日で割ると1日平均は約4,707件です。171万8,036件を365日で割ると1日平均は約4,707件になります。
同協議会の2025年月次集計では、2025年3月だけで24万9,936件となり、月間最多を更新しました。2025年1月から6月までの累計は119万6,314件で、前年同期より約89％増えています。報告件数は被害者数や送信総数と同じ指標ではありませんが、利用者が接触する機会の増加を把握する材料になります。
フィッシングメールが届く原因
メールが届く主な原因は、過去の情報漏えい、公開情報の収集、無作為なアドレス生成、取引先アカウントの侵害です。
フィッシングメールを受け取ったからといって、現在利用しているサービスが直ちに情報漏えいを起こしたとは限りません。攻撃者は、過去に流出したメールアドレスのリスト、WebサイトやSNSで公開された連絡先、氏名と会社のドメインから推測したアドレスを利用します。侵害した正規アカウントから既存のやり取りへ返信し、取引先を装うケースもあります。
受信を完全にゼロにはできません。そのため、メールアドレスを用途別に分け、サービスごとに異なるパスワードを設定し、受信後に危険な操作へ進ませない構成にします。
フィッシング詐欺で何が起こるのか
フィッシングサイトを閲覧しただけなら被害が確定するとは限りませんが、情報を入力した後はアカウントや金融資産が短時間で悪用されます。
リンクを開いただけの場合
最新のOSとブラウザでページを表示しただけなら、通常はIDやパスワードが自動的に盗まれるわけではありません。
ただし、追跡用URLへアクセスすると、アクセス時刻、IPアドレス、端末やブラウザの種類などが攻撃者側に記録される場合があります。URLが受信者ごとに発行されていれば、どの宛先がリンクを開いたかも紐付けられます。ブラウザの脆弱性を悪用する攻撃や、不正なファイルの自動ダウンロードもゼロではありません。
開いただけで何も入力していない場合は、ページを閉じ、ダウンロード履歴とブラウザ通知の許可状況を確認します。ファイルやアプリを実行していなければ、端末の初期化を直ちに行う段階ではありません。
認証情報を入力した場合
IDとパスワードを送信すると、攻撃者はメール、通販、クラウド、SNSなどの正規アカウントへログインを試みます。
同じパスワードを複数サービスで使っていると、一つの入力から被害が横に広がります。メールアカウントが乗っ取られた場合、攻撃者はパスワード再設定メールを受け取り、別のサービスまで支配できます。登録メールアドレスや電話番号を変更されると、本人が通常の復旧手順を利用できなくなるケースもあります。
不審な画面へ入力した後は、ブラウザの履歴から戻って操作を続けず、ブックマークまたは公式アプリから正規サービスを開きます。偽サイトの特徴や確認方法は、フィッシングサイトの仕組みと見分け方でも詳しく解説しています。
カード番号や口座情報を入力した場合
カード番号、有効期限、セキュリティコード、暗証番号を入力すると、オンライン決済やカード登録に悪用される可能性があります。
銀行口座では、不正送金先の登録や振込が行われます。証券口座では、保有株式を本人に無断で売却し、攻撃者が事前に保有する流動性の低い銘柄を高値で買わせる手口も確認されています。盗まれた金額だけでなく、売買差損、取引停止中の機会損失、本人確認にかかる時間も被害に含まれます。
多要素認証を入力した場合
SMSや認証アプリのワンタイムコードを入力した場合でも、AiTMによって正規セッションを奪われる可能性があります。
利用者が偽サイトへIDとパスワードを入力します。
攻撃者の中継サーバーが情報を正規サイトへ即時転送します。
正規サービスが利用者へワンタイムコードを送ります。
利用者が偽画面へコードを入力します。
攻撃者がコードを正規サイトへ中継し、発行されたセッションを取得します。
コードは短時間しか使えなくても、攻撃者がリアルタイムで中継すれば有効時間内にログインできます。このため、「二段階認証を設定しているから、メールのリンク先で入力しても安全」という判断は成立しません。
会社情報を入力した場合
企業アカウントが侵害されると、個人の金銭被害だけでなく、社内データの窃取や取引先への二次攻撃が発生します。
Microsoft 365やGoogle Workspaceなどのメール・クラウドアカウントを奪われた攻撃者は、受信箱から請求書、顧客情報、組織図を探します。その後、メール転送ルールを作り、経理担当者と取引先のやり取りを監視して振込先変更を依頼する場合があります。管理者権限まで奪われると、監査ログの削除、追加アカウントの作成、クラウドデータの持ち出しへ進みます。
▲ フィッシングの疑いがあるサイトを開いた際の状況別判断フロー
最新のフィッシング詐欺手口と特徴
近年注意が必要な手口は、生成AI、QRコード、AI音声、正規サービスの悪用、AiTMを組み合わせた複合型です。フィッシング対策協議会の「フィッシングレポート 2025」はQRコードやAI生成文面を使う攻撃の増加を取り上げており、金融庁は証券口座への不正アクセスに関する公表資料でAiTMを含む複合的な手口について言及しています。
主なフィッシング詐欺の種類
攻撃経路はメールだけではなく、SMS、QRコード、電話、検索広告、SNSへ広がっています。
種類 | 主な誘導経路 | 狙われる情報 | 見落としやすい点 |
|---|---|---|---|
メール型 | メール本文のURL・添付ファイル | ID、パスワード、カード情報 | 表示名やロゴは簡単に偽装できます。 |
スミッシング | SMS・メッセージアプリ | 配送情報、認証情報、決済情報 | スマートフォンではURL全体を確認しにくい傾向があります。 |
Quishing | メール・請求書・ポスターのQRコード | クラウド認証情報、決済情報 | URLが画像内に隠れ、メール検査を回避する場合があります。 |
Vishing | 電話・留守番電話・ビデオ会議 | 暗証番号、送金承認、認証コード | AI音声で上司や家族の声を似せられます。 |
AiTM | 正規サイトに似た中継サイト | ID、パスワード、OTP、セッション | ログイン画面の見た目や処理が正規サイトと連動します。 |
検索連動型 | 検索広告・偽サポートページ | 口座情報、遠隔操作権限 | 検索結果の上位表示だけでは正規性を判断できません。 |
生成AIによる自然な文面
生成AIの普及によって、誤字や不自然な日本語だけで偽メールを判別する方法は信頼性が下がりました。
攻撃者は企業の過去の告知、SNS投稿、役員名、製品名を与えるだけで、その会社らしい文面を短時間で作れます。部署や役職ごとに件名を変え、「先ほどの会議の資料」「更新された請求書」など受信者の業務に近い内容を生成することも可能です。自然な敬語や正しい署名があることは、本物である根拠になりません。
QRコード型のQuishing
Quishingは、QRコードを読み取らせて偽サイトへ誘導するフィッシングです。
メール本文に直接URLを書かず、QRコード画像へ変換すると、従来型のURL検査をすり抜ける場合があります。紙の請求書、駐車場の精算案内、飲食店の注文票、街頭ポスターに偽のQRコードシールを重ねる手口にも注意が必要です。
読み取り後は、ブラウザが表示するドメインを確認します。正規ドメインを確認できれば公式アプリから同じ操作を行い、確認できなければ入力を中止します。QRコード自体の見た目から安全性を判定することはできません。
AI音声を使うVishing
Vishingは、電話や音声メッセージを使って送金や認証操作を誘導する手口です。
公開動画や会議録音から声の特徴を学習させ、経営者、取引先、家族などに似た音声を作る攻撃が現れています。「急ぎなので今すぐ振り込んでほしい」「本人確認コードを読み上げてほしい」と要求された場合は、いったん通話を終了し、社内名簿や公式サイトに登録済みの番号へかけ直します。相手が示した番号へ折り返す方法では、攻撃者の窓口へ戻る可能性があります。
SMSを使うスミッシング
宅配の不在通知、通信料金の未払い、金融機関の利用制限を装うSMSは、現在も頻繁に使われる誘導経路です。
小さな画面ではドメイン末尾が隠れやすく、送信者名が正規メッセージと同じスレッドに表示される場合もあります。SMS内のURLからログインせず、公式アプリや登録済みブックマークから状態を確認します。具体的な例はスミッシングの手口と対策で確認できます。
▲ AiTM（中継型フィッシング）攻撃における通信の流れとセッション奪取構造
フィッシング詐欺の被害事例と狙われる情報
現在のフィッシング詐欺は、カード番号の窃取だけでなく、証券取引、行政手続き、生活インフラ、企業間送金まで標的にしています。
証券口座の乗っ取り事例
証券口座では、保有資産を直接引き出す以外に、不正な株式売買で攻撃者側の利益を作る手口が発生しています。
金融庁は「インターネット取引サービスへの不正アクセス・不正取引による被害が急増しています」で、2025年の証券口座乗っ取り等による不正取引件数を9,752件、不正取引の売買金額を約7,393億円と公表しています。この金額は被害者から盗まれた現金額そのものではなく、不正に行われた売買の金額です。
典型例では、攻撃者が正規の証券会社を装った偽サイトでID、パスワード、認証コードを取得します。ログイン後に被害者の保有株式を売却し、別の銘柄を買い付けます。本人が資産残高だけを見ていると、保有銘柄の変化に気づくまで時間がかかります。
金融・カードの被害事例
銀行やカード会社を装うメールでは、利用確認や本人認証を口実に情報を入力させます。
カード情報はオンライン決済、転売目的の商品購入、別サービスへのカード登録に使われます。銀行口座では、送金先追加、振込上限の変更、不正送金が行われます。攻撃者が登録電話番号やメールアドレスを先に変更すると、利用通知が本人へ届かない場合があります。
行政・生活インフラの被害事例
税金、国民年金、水道料金、電気料金などの未納を装い、少額の支払いからカード情報を盗む事例があります。
「本日中に停止する」「差し押さえ手続きへ移行する」と期限を短く設定し、確認する時間を与えないのが特徴です。行政機関やインフラ事業者の名称が書かれていても、メール内の連絡先は使わず、納付書や公式アプリに記載された窓口から未納の有無を照合します。未納が確認できれば公式手段で支払い、確認できなければメールを削除して情報を入力しません。
企業メールの乗っ取り事例
企業では、経営者や取引先を装うビジネスメール詐欺へ発展する点が個人被害との大きな違いです。
攻撃者は乗っ取ったメールアカウントから過去の請求書や返信文を確認し、本物の取引が行われる時期に合わせて振込先を変更します。既存スレッドへの返信であれば、担当者が送信元アドレスを疑いにくくなります。振込先の変更はメールだけで確定せず、登録済み電話番号への折り返しと社内の複数承認を組み合わせます。
狙われる情報の一覧
入力項目が一つでも、別の情報と組み合わせれば攻撃に利用できます。
ID、パスワード、秘密の質問と回答
SMSや認証アプリのワンタイムコード
カード番号、有効期限、セキュリティコード、暗証番号
銀行・証券口座番号、取引パスワード
氏名、住所、生年月日、電話番号
運転免許証やマイナンバーカードなどの本人確認画像
会社の組織図、取引先、請求書、クラウド上のファイル
本人確認書類を送った場合は、パスワード変更だけでは対処が完了しません。提出先を装ったサービスと書類発行元へ連絡し、本人確認への悪用が疑われる記録を残します。
フィッシング詐欺の被害に遭った場合の対処法
情報を入力した場合は、正規窓口への連絡、認証情報の変更、全セッションの無効化、登録情報の確認、証拠保全の順で対応します。
発生直後の対応タイムライン
対処の優先順位は、入力した情報と対象サービスによって変わります。
時点 | 対応 | 具体的な判断と操作 |
|---|---|---|
直後 | 偽サイトとの通信停止 | 画面を閉じ、ファイルやアプリを実行しません。アプリを入れた場合は機内モードなどで通信を切ります。 |
直後から10分 | 金融機関への直接連絡 | 口座・カード・証券情報を入力した場合は、カード裏面、公式アプリ、契約書にある窓口から利用停止と取引保留を依頼します。 |
直後から30分 | 認証情報の変更 | 安全な端末から正規サイトへ直接入り、パスワードを変更します。メールが侵害された場合はメールアカウントを先に処置します。 |
30分以内 | 全セッションの無効化 | 「すべての端末からログアウト」「全セッションを終了」を実行し、攻撃者が取得したログイン状態を切断します。 |
当日中 | 登録情報と履歴の点検 | メールアドレス、電話番号、住所、送金先、振込上限、API連携、メール転送ルール、保有銘柄を確認します。 |
当日中 | 使い回し先の変更 | 同じパスワードを使うすべてのサービスを変更し、優先順位はメール、金融、クラウド、通販、SNSの順にします。 |
当日から翌日 | 証拠保全と相談 | メール、SMS、URL、画面、時刻、入力情報、取引履歴を保存し、警察や消費生活センターへ相談します。 |
入力した情報別の緊急チェックリスト
次の項目に一つでも該当すれば、該当サービスの正規窓口へ直接連絡します。
カード情報を入力した場合：カード停止、再発行、利用履歴の確認
銀行情報を入力した場合：インターネットバンキング停止、送金先と振込上限の確認
証券情報を入力した場合：オンライン取引停止、注文・約定・出金先・保有銘柄の確認
メール情報を入力した場合：パスワード変更、全セッション終了、転送ルールと復旧先の確認
クラウド情報を入力した場合：管理者への連絡、トークン失効、共有設定と監査ログの確認
本人確認書類を送った場合：提出先と発行元への申告、関連する新規契約や本人確認通知の監視
パスワード変更とセッション無効化
パスワード変更だけでは、すでに発行されたセッションが残るサービスがあります。
設定画面にログイン中の端末一覧があれば、不明な端末だけでなく全端末をログアウトさせます。アプリパスワード、APIキー、OAuth連携、バックアップコードも失効させます。登録メールアドレスや電話番号が攻撃者のものへ変わっていれば、通常の復旧ではなくサポート窓口の本人確認手続きへ進みます。
端末へのアプリ導入やファイル実行
不審なアプリやファイルを実行した場合は、認証情報の変更と並行して端末侵害を調査します。
個人端末では通信を一時停止し、別の安全な端末からパスワードを変更します。その後、OSとブラウザを更新し、アンチウイルスと端末スキャンの基礎を参考にフルスキャンを実施します。管理者権限、アクセシビリティ権限、VPN構成、端末管理プロファイルに不審な追加があれば、初期化も選択肢になります。
会社端末の場合は自己判断で初期化するとログが失われます。情シス部門が証拠を保全できるならネットワークから隔離して調査へ進み、保全体制がなければ外部のインシデント対応窓口へ引き継ぎます。
相談先と記録項目
金銭被害が発生した場合は、金融機関への申告を先行し、その受付番号を警察への相談時に共有します。
記録する項目は、受信日時、送信元、件名、URL、入力した情報、認証コードを入力した時刻、利用端末、発見した不正操作、金融機関への連絡時刻です。メールを転送するとヘッダー情報が変わる場合があるため、元データも残します。
▲ フィッシング被害発生直後に実行すべき5つの応急処置ステップ
個人・企業ができる最新のフィッシング対策
フィッシング対策は、利用者の注意だけに依存せず、認証、メール、端末、監視、業務手順を重ねる多層防御で構成します。
個人向けの予防策
個人は、メール内のリンクをログイン経路に使わない運用と、サービスごとに異なる認証情報を持つ構成から着手します。
銀行、カード、証券、通販は公式アプリまたは登録済みブックマークから開きます。
同じパスワードを使い回さず、長く無作為な文字列をサービスごとに設定します。
利用可能なサービスではパスキーを登録します。
取引通知とログイン通知を有効にし、通知先メールも別の認証で保護します。
QRコードを読み取った後は、入力前にドメインを確認します。
OS、ブラウザ、アプリを更新し、脆弱性を放置しません。
複数のパスワードを記憶だけで管理できない場合は、パスワード管理ツールの選び方と使い方を参照し、保管庫自体には長いマスターパスワードと多要素認証を設定します。
フィッシング耐性のあるパスキー
パスキーは、正規ドメインに結び付いた公開鍵暗号を使うため、パスワードやOTPよりフィッシング耐性が高い認証方式です。
秘密鍵は端末や認証基盤側に保存され、Webサイトへ送信されません。偽ドメインでは正規サイト向けの認証が成立しないため、AiTMによるコード中継にも耐性があります。NTTドコモ、メルカリ、Yahoo! JAPAN、楽天など、国内の大規模サービスもパスキー対応を案内しています。
認証方式 | フィッシング耐性 | 主な弱点 | 利用判断 |
|---|---|---|---|
パスワードのみ | 低い | 偽サイトへの入力、使い回し、漏えい | 多要素認証またはパスキーへ移行します。 |
SMSのOTP | 限定的 | AiTM、SIMスワップ、転送 | 他方式がない場合の追加防御として使います。 |
認証アプリのOTP | 限定的 | AiTM、端末侵害、入力誘導 | SMSより通信経路への依存を減らせます。 |
プッシュ承認 | 方式による | 連続通知による誤承認 | 番号照合や端末情報表示があれば精度が上がります。 |
パスキー・FIDO2 | 高い | 端末侵害、復旧経路の乗っ取り、セッション窃取 | 対応サービスでは優先して登録します。 |
パスキーは万能ではありません。端末そのものを奪われてロックを突破された場合、アカウント復旧用のメールを乗っ取られた場合、正規ログイン後のセッションをマルウェアに盗まれた場合は被害が残ります。端末ロック、復旧先の保護、全セッションを失効できる運用と組み合わせます。
企業向けのDMARC運用
企業はSPFとDKIMを整備し、DMARCレポートで正規送信元を把握した後、ポリシーを段階的にrejectへ移行します。
送信元の棚卸し：社内メール、CRM、採用、請求、マーケティング、監視サービスなど、自社ドメインで送信するシステムを列挙します。
SPF・DKIMの整合：各サービスの送信ドメインとReturn-Path、DKIM署名をDMARCのFromドメインに整合させます。
p=noneでの観測：集約レポートを収集し、未把握の正規送信と不正送信を分離します。p=quarantineへの移行：対象割合を小さく設定できる構成なら、一部から迷惑メール隔離へ移します。p=rejectへの移行：正規送信の認証失敗を解消した後、認証不合格メールを受信側で拒否する設定へ進みます。
p=noneは可視化のための開始点であり、なりすましメールを拒否する設定ではありません。月次レポートで正規送信元を識別できればquarantineの限定適用へ進み、識別できなければ先にメール資産の棚卸しを完了します。いきなりrejectへ変更すると、請求書や採用通知などの正規メールまで届かなくなる可能性があります。
国内企業の導入事例
国内企業の公開事例では、DMARCを一度に厳格化せず、送信経路の可視化を挟んで段階移行しています。
企業 | 課題 | 施策 | 公開された成果 |
|---|---|---|---|
株式会社資生堂 | 自社ドメインや類似ドメインを使うメールへの対応 | Proofpointを利用し、DMARCをquarantineからrejectへ段階移行 | なりすましメールと類似ドメインの監視・遮断体制を整備 |
兼松エレクトロニクス株式会社 | 未把握のメール送信経路 | TwoFiveのDMARC分析サービスで認証状況を可視化 | DMARC認証成功率95％を達成 |
株式会社ミカド | 自社ブランドを装うメール | 影響を確認しながらポリシーを段階変更 | 同社の公開情報によると約半年でrejectへ移行。詳細は同社公式情報を参照のこと |
資生堂の事例はProofpointが公開した導入事例に基づきます。兼松エレクトロニクスの事例はTwoFiveが公開した導入事例に基づきます。各社の数値は導入時の環境に依存するため、自社では正規メールのDMARC通過率と誤隔離件数を移行判断の指標にします。
BIMIによるブランド表示の補助
BIMIは、DMARC認証などの条件を満たしたメールにブランドロゴを表示する仕組みであり、なりすまし防止を補助します。
表示可否は受信サービス、証明書、商標、DMARC設定などに依存します。BIMIが設定されていても、類似ドメイン、SMS、QRコード、電話による攻撃は防げません。また、ロゴが見えないことだけを理由に正規メールを偽物とは判断できません。
企業のBIMI導入有無や開始日は、個別の公式発表を根拠に判断します。たとえばファミリーマートを名乗るメールについては、ファミリーマートの公式ニュースリリースで対象施策の個別発表を確認できれば補助材料とし、確認できなければロゴ表示だけで正規メールとは断定しません。
企業規模別の対策範囲
企業規模が大きくなるほど、手動確認から集中管理と自動対応へ切り替えます。
50名未満：主要クラウドへの多要素認証、管理者アカウントの分離、送信元棚卸し、通報窓口の一本化を先に整えます。専任者がいなければ、DMARCレポート分析やインシデント対応を外部サービスで補います。
50〜300名：IdPによる認証統合、条件付きアクセス、端末管理、メールゲートウェイ、訓練結果の部門別集計を組み合わせます。
300名超：SIEMやSOCによる監視、トークン失効の自動化、特権ID管理、ドメイン資産管理、24時間対応の連絡網まで設計します。
メール訓練を実施する場合は、標的型攻撃メールの特徴と対策を参考に、クリック率だけでなく、通報までの時間、認証情報入力率、初動フローの実行時間を測定します。
フィッシング対策の失敗パターンと注意点
フィッシング対策が機能しない主因は、一つの技術や利用者の注意力だけで全経路を防ごうとする設計です。
文章の不自然さだけに頼る判別
誤字脱字や不自然な敬語は警戒材料になりますが、生成AIが作る自然な文章には通用しません。
文面ではなく、操作の要求内容、ドメイン、公式アプリ上の通知、取引履歴を照合します。「文章が自然だから本物」「会社のロゴがあるから本物」という判断は避けます。
SMS認証だけで安全とする設計
SMS認証はパスワードだけの構成より防御を増やしますが、AiTMやSIMスワップには限界があります。
パスキーに対応するサービスならパスキーを優先し、未対応なら認証アプリ、番号照合付きのプッシュ認証、ログイン通知などを重ねます。SMSしか選べない場合でも、メールやSMSのリンクから認証画面を開かない運用でAiTMへの露出を減らせます。
DMARCのnone設定の放置
p=noneをDNSへ登録しただけでは、DMARCに失敗したメールは原則として監視対象にとどまります。
レポートを読まずに放置すると、未把握の正規送信元もなりすましも残ったままです。最初の4週間程度で主要送信元の日次・週次変動を把握し、月末処理や採用一斉送信などの周期イベントを含めて観測します。正規送信の失敗を解消できればquarantineへ進み、解消できなければrejectを急がず送信経路を修正します。
教育だけに依存する対策
訓練は通報行動を定着させますが、すべての攻撃を人の目で見破る制御にはなりません。
メール訓練のクリック率が低くても、QRコード、電話、正規アカウントからの返信型攻撃には別の対策が要ります。パスキー、メール認証、URL検査、端末管理、条件付きアクセス、送金の複数承認を組み合わせます。
過度なパスワード定期変更
侵害の兆候と無関係に短期間で変更を強制すると、末尾だけを変えたパスワードや使い回しを誘発します。
NIST SP 800-63-4は、侵害の証拠がない状態で定期的なパスワード変更を要求せず、恣意的な文字種の構成ルールも課さない方針を示しています。漏えいが判明した場合、端末を紛失した場合、職務や権限が変わった場合には、リスクに基づいて変更とセッション失効を行います。
パスキーとBIMIへの過信
パスキーとBIMIは有効な部品ですが、端末侵害や別チャネルの詐欺まで解消するものではありません。
パスキー導入後も、復旧用メール、ヘルプデスクの本人確認、ログイン後のセッションを保護します。BIMI導入後も、類似ドメインの監視、SMS・SNS上のなりすまし通報、正規窓口の周知を続けます。
よくある質問
フィッシング詐欺について寄せられる疑問のうち、被害の判断と初動対応に関わるものを取り上げます。
Q：フィッシングサイトのリンクをクリックしただけで感染しますか？
A：表示しただけで直ちに感染するとは限りませんが、アクセス情報の記録やブラウザ脆弱性の悪用はあり得ます。ページを閉じ、ダウンロードや通知許可の有無を確認し、ファイルやアプリを実行した場合は通信を切って端末をスキャンします。
Q：二段階認証やSMS認証を設定していれば安全ですか？
A：絶対に安全ではありません。AiTMはID、パスワード、ワンタイムコードをリアルタイムで正規サイトへ中継できるため、対応サービスではパスキーを使い、ログインは公式アプリやブックマークから行います。
Q：DMARCを設定したのに、なりすましメールが送られるのはなぜですか？
A：ポリシーがp=noneの場合、認証失敗を監視しても配送を拒否しません。正規送信元を特定できればquarantineからrejectへ段階移行し、特定できなければ先にSPF・DKIMと外部送信サービスを棚卸しします。
Q：フィッシング行為にはどのような罪名が適用されますか？
A：認証情報の入力を不正に要求する行為には不正アクセス禁止法が適用され、1年以下の拘禁刑または50万円以下の罰金の対象になり得ます。他人のIDを使った不正アクセスには3年以下の拘禁刑または100万円以下の罰金が定められ、金銭や利益を不正に得た事実によっては詐欺罪や電子計算機使用詐欺罪も問題になります。適用される罪名と刑罰は行為の具体的な態様によって異なります。条文と制度の概要は総務省の不正アクセス禁止法に関する解説で確認でき、個別の事案については警察または弁護士へ相談します。
Q：フィッシングという言葉は何に由来しますか？
A：利用者を餌で誘い、情報を釣り上げる「fishing」と、電話網を研究・悪用したハッカー文化の「phreak」などに由来する綴りと説明されています。「Sophisticatedの頭文字を付けた」という説は一般的な語源説明として採用できません。
まとめ
フィッシング詐欺で何が起こるかは、閲覧だけか、情報入力やアプリ実行まで進んだかで変わります。入力した場合は、正規窓口への連絡、パスワード変更、全セッションの無効化、登録情報と取引履歴の確認を直ちに行います。
明日からの最初の一歩は、個人なら銀行・証券・メールのパスキー対応とパスワード使い回しを点検することです。企業なら自社ドメインのDMARCポリシーを確認し、p=noneなら正規送信元の棚卸し日程を決めます。利用者教育だけで終わらせず、認証、メール、端末、監視、初動手順を重ねることで被害範囲を縮小できます。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
