フィッシング詐欺は、実在する企業や行政機関をかたったメールやSMSで偽サイトに誘導し、IDやパスワード、カード番号などをだまし取る手口です。最近のフィッシングメールは送信元アドレスまで本物と同じに見えることがあり、見た目だけで見分けるのは難しくなっています。いちばん確実なのは、メールやSMSのリンクを使わず、公式アプリやブックマークからログインして確認することです。
フィッシング詐欺の現状
警察庁によると、令和7年（2025年）にフィッシング対策協議会に寄せられたフィッシングの報告は245万4,297件で、右肩上がりの増加が続いています。盗まれた情報はネットバンキングの不正送金やクレジットカードの不正利用に使われています。
令和7年には、証券会社をかたるフィッシングメールの報告が31万6,414件にのぼり、証券口座への不正アクセスと不正取引が急増しました。法人を狙って銀行を名乗る電話をかけ、メールアドレスを聞き出してからフィッシングメールを送る「ボイスフィッシング」も確認されています。
よくかたられる企業と文面
2026年9月の月次報告書によると、かたられたブランドの上位はAmazon（約33.2%）、Apple（約11.1%）で、セゾンカード、アメリカン・エキスプレス、国税庁が続きました。上位5ブランドで報告全体の約65.3%を占めています。
なりすまされた業種の割合（2026年9月）
文面には、注文、配送、返金、支払いや契約の更新、不正利用の通知、本人確認、ポイントの期限切れ、会員特典といった「急いで対応しないと損をする」と感じさせる題材がよく使われます。受信者の名前を入れたメールも出てきています。国税庁やカード会社、オンラインサービスをかたり、Androidアプリのインストールや更新を促すメールも増えていると報告されています。
見分けるときのチェックポイント
怪しいと感じたら、次の点を確認してください。ただし、どれにも当てはまらないから安全とは言えません。
フィッシングを疑うサイン
| 確認する点 | 怪しいサイン |
|---|---|
| 届いたタイミング | 心当たりのない注文・請求・不正利用の通知が突然届く |
| 急がせる表現 | 「本日中に」「アカウントを停止します」など、すぐの対応を迫る |
| 本文の中身 | 不自然な日本語、ブランド名や問い合わせ先がない、AIへの指示文のような文字が残っている |
| 求められる操作 | リンクからのログイン、カード番号・認証コード・ワンタイムパスワードの入力、アプリのインストール |
| アプリの入手先 | 公式ストア以外からのインストールを求める |
| リンク先のURL | 正規のサービスとは関係のないドメインや、正規のものに似せたドメイン |
| 運営者の情報 | 見慣れないサイトで、運営者や連絡先が確認できない |
URLの確認は有効ですが、限界もあります。偽サイトのドメインは正規のものと紛らわしく作られていることが多く、スマートフォンでは全体が表示されないこともあります。
見た目だけでは判断できない理由
フィッシング対策協議会の2026年9月の報告では、受信したフィッシングメールの約37.8%が、実在するサービスのドメインを送信元に使ったなりすましでした。差出人欄に正しいドメインが出ていても、本物とは限りません。
見た目で判断しにくくなった点
- 差出人に正規のドメインが表示される
- 受信者の名前が入っている
- 画面上は普通の文章に見えるが、フィルターを避けるための見えない文字が埋め込まれている
- 件名や差出人を右から左に表示させる細工
見た目に頼らない確認方法
- メールやSMSのリンクは開かない
- 公式アプリやブックマーク、自分で入力したURLからログインして通知を確認する
- 電話は公式サイトに載っている番号にかけ直す
- パスワード管理アプリの自動入力が働くか確かめる
警察庁は、令和元年ごろから、利用者が偽サイトに入力した情報をその場で正規サイトに中継し、二段階認証まで突破する「リアルタイム型フィッシング」が横行していると指摘しています。ワンタイムパスワードを使っていても、偽サイトに入力してしまえば防げません。
パスワード管理アプリは、登録したサイトでしか自動入力しません。そっくりな偽サイトで自動入力が働かなければ、それが偽物に気づくきっかけになります。偽サイトでは使えないパスキーに対応しているサービスなら、パスキーに切り替えるのも有効です。
被害を防ぐための習慣
フィッシング対策協議会と警察庁の注意喚起をもとに、ふだんから心がけたい行動をまとめました。
リンクからログインしない
心当たりのある企業からのメールやSMSでも、本物と確認できるまではリンクを開かず、添付ファイルも開きません。
入力の前に一度手を止める
カード番号、電話番号、認証コード、ワンタイムパスワード、口座情報を求められたら、入力する前に公式アプリなどで本当に必要か確認します。
アプリは公式ストアから入れる
メールのリンクからアプリをインストールしません。通信事業者を装ったSMSから不正なアプリを入れさせる手口も確認されています。
多要素認証とパスキーを設定する
対応しているサービスでは多要素認証を有効にし、パスキーが使えるなら利用します。
銀行からの電話は折り返して確認する
警察庁は、銀行から電話があった場合は営業店や代表電話にかけ直して確認し、ネットバンキングは公式サイトやアプリからアクセスするよう勧めています。
入力してしまったときの対処と相談先
フィッシングサイトに情報を入力してしまったら、すぐに行動してください。
入力してしまったときの対処（2026年10月時点）
| 入力した情報 | すぐにやること |
|---|---|
| ID・パスワード | 正規のサイトやアプリからパスワードを変更する。同じパスワードを使っているほかのサービスも変更する |
| クレジットカード番号 | カード裏面などに書かれた正規の番号でカード会社に連絡する |
| ネットバンキング・証券口座の情報 | 金融機関の正規の窓口に連絡し、取引の停止などを相談する |
| アプリをインストールした | アプリを削除し、端末のセキュリティ設定を確認する |
| 被害が出た | 警察のサイバー事案相談窓口に相談する（警察庁のサイトからオンラインで受け付けている） |
怪しいメールやSMSは、利用しているメールサービスの事業者や、フィッシング対策協議会（info@antiphishing.jp）に報告できます。技術的な相談はIPAの情報セキュリティ安心相談窓口（03-5978-7509、平日10時〜17時）で受け付けています。ブラウザに偽の警告が表示された場合は、ブラウザを閉じてください。
よくある質問
フィッシングメールを開いただけで被害に遭いますか？
フィッシングの多くは、リンク先の偽サイトで情報を入力させる手口です。開いただけで慌てる必要はありませんが、リンクや添付ファイルは開かず、メールを削除するか報告してください。リンク先で何かを入力したりアプリを入れたりした場合は、上の表に沿って対処します。
差出人のアドレスが本物なら安全ですか？
安全とは限りません。2026年9月の報告では、受信したフィッシングメールの約37.8%が実在するサービスのドメインを送信元に使っていました。メールの内容を確認したいときは、公式アプリや自分で入力したURLからログインしてください。
二段階認証を設定していれば大丈夫ですか？
警察庁は、偽サイトに入力された情報をリアルタイムで中継して二段階認証を突破する手口が横行していると指摘しています。ワンタイムパスワードも偽サイトに入力すれば盗まれます。偽サイトでは機能しないパスキーへの切り替えが有効です。
会社として社員をフィッシングから守るには？
自社のドメインをかたるメールを防ぐため、送信ドメイン認証（SPF、DKIM、DMARC）を導入し、DMARCは受信拒否などを求めるポリシーで運用することが推奨されています。社員向けには、リンクからログインしないこと、銀行からの電話は折り返して確認することを周知してください。
出典: フィッシング対策協議会「月次報告書 2026/09」、フィッシング対策協議会「消費者の皆さま」、警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」、総務省「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（PDF）、警察庁「サイバー事案に関する相談窓口」、IPA「情報セキュリティ安心相談窓口」
