# フィッシング詐欺の見分け方｜メール・SMSで確認する点と入力後の対処

フィッシング詐欺の見分け方を、フィッシング対策協議会と警察庁の最新データをもとに解説。よく使われる文面や送信元の偽装、見た目では判断できない理由、入力してしまったときの対処と相談先までまとめます。

フィッシング詐欺は、実在する企業や行政機関をかたったメールやSMSで偽サイトに誘導し、IDやパスワード、カード番号などをだまし取る手口です。最近のフィッシングメールは送信元アドレスまで本物と同じに見えることがあり、見た目だけで見分けるのは難しくなっています。いちばん確実なのは、メールやSMSのリンクを使わず、公式アプリやブックマークからログインして確認することです。

<Points>

- フィッシング対策協議会への報告は2026年9月だけで9万4,661件。Amazonをかたるものが約33%で最多
- 送信元に本物のドメインが表示されるメールもある。差出人の表示だけで判断しない
- 入力してしまったら、すぐに正規サイトでパスワードを変更し、カード会社や金融機関に連絡する

</Points>

## フィッシング詐欺の現状

警察庁によると、令和7年（2025年）にフィッシング対策協議会に寄せられたフィッシングの報告は245万4,297件で、右肩上がりの増加が続いています。盗まれた情報はネットバンキングの不正送金やクレジットカードの不正利用に使われています。

<Stats source="警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」、フィッシング対策協議会「月次報告書 2026/09」">
<Stat value="245万4,297件" label="令和7年のフィッシング報告件数" />
<Stat value="約103億9,700万円" label="令和7年のネットバンキング不正送金の被害総額（4,747件）。手口の約9割がフィッシング" />
<Stat value="9万4,661件" label="2026年9月のフィッシング報告件数（前月比約15%増）" />
<Stat value="105" label="2026年9月に悪用されたブランド数" />
</Stats>

令和7年には、証券会社をかたるフィッシングメールの報告が31万6,414件にのぼり、証券口座への不正アクセスと不正取引が急増しました。法人を狙って銀行を名乗る電話をかけ、メールアドレスを聞き出してからフィッシングメールを送る「ボイスフィッシング」も確認されています。

## よくかたられる企業と文面

2026年9月の月次報告書によると、かたられたブランドの上位はAmazon（約33.2%）、Apple（約11.1%）で、セゾンカード、アメリカン・エキスプレス、国税庁が続きました。上位5ブランドで報告全体の約65.3%を占めています。

<BarChart
  title="なりすまされた業種の割合（2026年9月）"
  source="フィッシング対策協議会「月次報告書 2026/09」"
  unit="%"
  data={[
    { label: "EC（通販）", value: 47.9, highlight: true },
    { label: "クレジット・信販", value: 35.0 },
    { label: "官公庁", value: 5.2 },
    { label: "航空", value: 4.6 },
    { label: "オンラインサービス", value: 1.9 },
  ]}
/>

文面には、注文、配送、返金、支払いや契約の更新、不正利用の通知、本人確認、ポイントの期限切れ、会員特典といった「急いで対応しないと損をする」と感じさせる題材がよく使われます。受信者の名前を入れたメールも出てきています。国税庁やカード会社、オンラインサービスをかたり、Androidアプリのインストールや更新を促すメールも増えていると報告されています。

## 見分けるときのチェックポイント

怪しいと感じたら、次の点を確認してください。ただし、どれにも当てはまらないから安全とは言えません。

<Figure title="フィッシングを疑うサイン">

| 確認する点 | 怪しいサイン |
| --- | --- |
| 届いたタイミング | 心当たりのない注文・請求・不正利用の通知が突然届く |
| 急がせる表現 | 「本日中に」「アカウントを停止します」など、すぐの対応を迫る |
| 本文の中身 | 不自然な日本語、ブランド名や問い合わせ先がない、AIへの指示文のような文字が残っている |
| 求められる操作 | リンクからのログイン、カード番号・認証コード・ワンタイムパスワードの入力、アプリのインストール |
| アプリの入手先 | 公式ストア以外からのインストールを求める |
| リンク先のURL | 正規のサービスとは関係のないドメインや、正規のものに似せたドメイン |
| 運営者の情報 | 見慣れないサイトで、運営者や連絡先が確認できない |

</Figure>

URLの確認は有効ですが、限界もあります。偽サイトのドメインは正規のものと紛らわしく作られていることが多く、スマートフォンでは全体が表示されないこともあります。

## 見た目だけでは判断できない理由

フィッシング対策協議会の2026年9月の報告では、受信したフィッシングメールの約37.8%が、実在するサービスのドメインを送信元に使ったなりすましでした。差出人欄に正しいドメインが出ていても、本物とは限りません。

<Compare>
<Column title="見た目で判断しにくくなった点">

- 差出人に正規のドメインが表示される
- 受信者の名前が入っている
- 画面上は普通の文章に見えるが、フィルターを避けるための見えない文字が埋め込まれている
- 件名や差出人を右から左に表示させる細工

</Column>
<Column title="見た目に頼らない確認方法" tone="accent">

- メールやSMSのリンクは開かない
- 公式アプリやブックマーク、自分で入力したURLからログインして通知を確認する
- 電話は公式サイトに載っている番号にかけ直す
- パスワード管理アプリの自動入力が働くか確かめる

</Column>
</Compare>

警察庁は、令和元年ごろから、利用者が偽サイトに入力した情報をその場で正規サイトに中継し、二段階認証まで突破する「リアルタイム型フィッシング」が横行していると指摘しています。ワンタイムパスワードを使っていても、偽サイトに入力してしまえば防げません。

パスワード管理アプリは、登録したサイトでしか自動入力しません。そっくりな偽サイトで自動入力が働かなければ、それが偽物に気づくきっかけになります。偽サイトでは使えない[パスキー](/passkey/)に対応しているサービスなら、パスキーに切り替えるのも有効です。

## 被害を防ぐための習慣

フィッシング対策協議会と警察庁の注意喚起をもとに、ふだんから心がけたい行動をまとめました。

<Steps>
<Step title="リンクからログインしない">

心当たりのある企業からのメールやSMSでも、本物と確認できるまではリンクを開かず、添付ファイルも開きません。

</Step>
<Step title="入力の前に一度手を止める">

カード番号、電話番号、認証コード、ワンタイムパスワード、口座情報を求められたら、入力する前に公式アプリなどで本当に必要か確認します。

</Step>
<Step title="アプリは公式ストアから入れる">

メールのリンクからアプリをインストールしません。通信事業者を装ったSMSから不正なアプリを入れさせる手口も確認されています。

</Step>
<Step title="多要素認証とパスキーを設定する">

対応しているサービスでは多要素認証を有効にし、パスキーが使えるなら利用します。

</Step>
<Step title="銀行からの電話は折り返して確認する">

警察庁は、銀行から電話があった場合は営業店や代表電話にかけ直して確認し、ネットバンキングは公式サイトやアプリからアクセスするよう勧めています。

</Step>
</Steps>

<Note title="要追記：実体験">（ここに実際に届いたフィッシングメールの画面と、どこで怪しいと気づいたかを書く。個人情報やURLはぼかす）</Note>

## 入力してしまったときの対処と相談先

フィッシングサイトに情報を入力してしまったら、すぐに行動してください。

<Figure title="入力してしまったときの対処（2026年10月時点）">

| 入力した情報 | すぐにやること |
| --- | --- |
| ID・パスワード | 正規のサイトやアプリからパスワードを変更する。同じパスワードを使っているほかのサービスも変更する |
| クレジットカード番号 | カード裏面などに書かれた正規の番号でカード会社に連絡する |
| ネットバンキング・証券口座の情報 | 金融機関の正規の窓口に連絡し、取引の停止などを相談する |
| アプリをインストールした | アプリを削除し、端末のセキュリティ設定を確認する |
| 被害が出た | 警察のサイバー事案相談窓口に相談する（警察庁のサイトからオンラインで受け付けている） |

</Figure>

怪しいメールやSMSは、利用しているメールサービスの事業者や、フィッシング対策協議会（info@antiphishing.jp）に報告できます。技術的な相談はIPAの情報セキュリティ安心相談窓口（03-5978-7509、平日10時〜17時）で受け付けています。ブラウザに偽の警告が表示された場合は、ブラウザを閉じてください。

## よくある質問

### Q. フィッシングメールを開いただけで被害に遭いますか？

フィッシングの多くは、リンク先の偽サイトで情報を入力させる手口です。開いただけで慌てる必要はありませんが、リンクや添付ファイルは開かず、メールを削除するか報告してください。リンク先で何かを入力したりアプリを入れたりした場合は、上の表に沿って対処します。

### Q. 差出人のアドレスが本物なら安全ですか？

安全とは限りません。2026年9月の報告では、受信したフィッシングメールの約37.8%が実在するサービスのドメインを送信元に使っていました。メールの内容を確認したいときは、公式アプリや自分で入力したURLからログインしてください。

### Q. 二段階認証を設定していれば大丈夫ですか？

警察庁は、偽サイトに入力された情報をリアルタイムで中継して二段階認証を突破する手口が横行していると指摘しています。ワンタイムパスワードも偽サイトに入力すれば盗まれます。偽サイトでは機能しないパスキーへの切り替えが有効です。

### Q. 会社として社員をフィッシングから守るには？

自社のドメインをかたるメールを防ぐため、送信ドメイン認証（SPF、DKIM、DMARC）を導入し、DMARCは受信拒否などを求めるポリシーで運用することが推奨されています。社員向けには、リンクからログインしないこと、銀行からの電話は折り返して確認することを周知してください。

出典: [フィッシング対策協議会「月次報告書 2026/09」](https://www.antiphishing.jp/report/monthly/202609.html)、[フィッシング対策協議会「消費者の皆さま」](https://www.antiphishing.jp/consumer/)、[警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf)、[総務省「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（PDF）](https://www.soumu.go.jp/main_content/001059979.pdf)、[警察庁「サイバー事案に関する相談窓口」](https://www.npa.go.jp/bureau/cyber/soudan.html)、[IPA「情報セキュリティ安心相談窓口」](https://www.ipa.go.jp/security/anshin/about.html)