迷惑メールとは-2025年の国内フィッシング報告件数245万件超、6年で44倍。公的データで読む現代の脅威と企業が取るべき多層防御

「迷惑メールは今でも多いですが、ちゃんとフィルターが弾いてくれています」——このような認識でいる組織は、もはや安全とは言えません。フィッシング対策協議会の公式データによると、2025年の国内フィッシング報告件数は約245万件に達し、過去最多を大幅に更新しました。これは2020年（約56,000件）と比較して、わずか5年間で約44倍という異常な増加です。そして2025年後半からはDMARCなどのメール認証をすり抜けるために攻撃者が独自ドメインを取得する手口が急増し、12月には報告されたフィッシングの75%超がこの方式を使っていることが確認されています。

サーバーサイドエンジニアとして5年間メールシステムの構築・運用に携わってきた立場から言えば、この変化は技術的に深刻な意味を持ちます。私たちが「安全の指標」として設定してきたフィルタリングの大前提が崩れつつあります。

本記事では、フィッシング対策協議会・IPA・警察庁などの最新の公的データに基づきながら、迷惑メールが情報システム部門にとってどのような脅威であるかを整理します。

2025〜2026年の迷惑メール・フィッシングの実態サマリー

• 2025年の国内フィッシング報告件数：約245万件（フィッシング対策協議会。過去最多、2020年比で約44倍）
• 2026年4月単月：151,112件（前月比+23.5%）
• 2025年後半から急増：DMARC認証をパスする「独自ドメイン」を使ったフィッシングが12月に全体の**75.3%**を占める
• 悪用されたブランド数：117ブランド（2026年4月）。上位はAmazon・Apple・楽天カード・PayPayカード
• 分野別：クレジット・信販系（33.1%）、EC系（31.3%）、証券系（7.9%）の順（2026年4月）
• IPA「情報セキュリティ安心相談窓口」：2026年Q1のフィッシング相談件数が前四半期比34.4%増
• BEC（ビジネスメール詐欺）による国内被害：2025〜2026年に確認分だけで21件・約22億740万円超

整理表——フィッシング・迷惑メールの主要指標

指標	数値・内容	出典
2025年国内フィッシング報告件数	約245万件（過去最多、2020年比約44倍）	フィッシング対策協議会
2026年4月月次報告件数	151,112件（前月比+23.5%）	フィッシング対策協議会
悪用ブランド数（2026年4月）	117ブランド	フィッシング対策協議会
独自ドメイン使用フィッシングの割合	75.3%（2025年12月）	フィッシングレポート2025
IPA個人向け相談（2026年Q2）	3,832件。フィッシング146件（前四半期比+5.0%）	IPA
国内BEC・ニセ社長詐欺被害（2025〜2026年）	21件・約22億740万円超	各社公表・警察庁

迷惑メールの概要——「邪魔なメール」から「攻撃インフラ」へ

迷惑メールとは、受信者の同意なく一方的に送信される電子メールを指します。ビジネス上不要なメールをすべて指すこともありますが、現代のセキュリティ文脈では、それはあくまでも表層の定義に過ぎません。

かつては愉快犯的なチェーンメールや単純な広告配信でした。しかし現在の迷惑メールは、マルウェアの配布・フィッシング詐欺・BECの入口として高度に設計されたものです。攻撃者はリストを購入し、メール本文をAIで生成し、ドメインをローテーションし、メール認証をすり抜ける技術を研究します。「スパムフィルターが弾いている」という状況の裏では、フィルターをくぐり抜けたもっと巧妙なメールが届いています。

実際にスパムフィルターの精度が向上した2025年後半、攻撃者がとった対応は「フィルターに捕捉されないドメインを取得する」という方向転換でした。フィッシング対策協議会の分析によると、総務省の要請等によるDMARC普及を受けて、攻撃者は正規のDMARC認証を通過する独自ドメインを大量取得し、迷惑メールフィルターを回避する試みが急増しました。守る側の防御技術が進歩するたびに、攻撃者はその一歩先を行く設計で対応してきます。

2025〜2026年のフィッシング報告件数——公的データが示す急増の実態

フィッシング対策協議会が毎月公表する月次レポートは、国内の迷惑メール・フィッシングの量的実態を把握できる最も信頼性の高い公的データです。

<cite index=”41-1″>2025年の国内フィッシング報告件数は年間累計で約245万件に達し、過去最多を更新しました。2020年と比較すると、直近5年間で約44倍以上に増加しており、単年の異常値ではなく構造的なリスク増大として捉えるべき段階になっています。</cite>

月次で見ると、2025年9月の224,693件・2026年4月の151,112件など、毎月10万〜20万件規模の報告が継続しています。この数字は「フィッシング対策協議会に報告されたもの」に限られており、実際に届いている迷惑メールの件数はこれをはるかに上回ります。

<cite index=”43-1″>2025年後半は攻撃者がDMARCの普及に対抗して「独自ドメイン」を取得して迷惑メールフィルターを回避しようとする試みが急増し、12月には報告の約75.3%を占めるに至りました。</cite>

悪用されているブランドは2026年4月時点で117に上り、Amazon・Apple・楽天カード・セゾンカード・PayPayカードの上位5ブランドで全体の約47.8%を占めています。クレジット・信販系（33.1%）とEC系（31.3%）だけで全体の3分の2近くを占めており、消費者が日常的に使うサービスのブランドが集中的に悪用されています。

迷惑メールがもたらす問題——量的な問題から質的な脅威へ

マルウェア感染のトリガー

添付ファイルや本文中のリンクを介したマルウェア感染は、依然として最も一般的な攻撃経路の一つです。Emotet（エモテット）の再流行が典型的な例で、感染後は企業のメール送受信履歴を窃取し、その情報をもとに取引先に見せかけた返信形式のスパムメールを送信します。これにより、攻撃は単一組織から取引先へと連鎖します。

企業がEmotetに感染した際に残存するメールデータが、後に別の標的型攻撃の材料として活用されるという流れは、メールを通じたマルウェア感染が「組織を超えて伝播する」性質を持つことを示しています。

フィッシングと認証情報の窃取

当サイトでもAmazonを装ったフィッシングメールの実例を分析していますが、特に注目すべきはSPF・DKIM・DMARCのすべてをPASSして届くフィッシングメールが確認されている点です。これはドメイン認証が「有効な対策ではない」ということではなく、攻撃者が認証を通過するドメインを取得して運用するという方法にシフトしていることを意味します。認証の通過だけを信頼の根拠にすることへのリスクが高まっています。

IPA「情報セキュリティ安心相談窓口」には2026年第1四半期にフィッシング相談が前四半期比34.4%増の139件寄せられており、2026年第2四半期も146件とさらに増加傾向が続いています。また、日本赤十字社をかたる熊本地震義援金詐欺メールのように、社会的な関心が高いイベントに便乗した詐欺メールも継続して確認されており、受信者の善意を利用する手口も高度化しています。

BECの経済的被害——社会問題レベルの規模に

ビジネスメール詐欺（BEC）・ニセ社長詐欺による被害は2025〜2026年に確認分だけで21件・約22億740万円超に上ります。はてな（11億7,900万円）・ZUU（9,600万円）・信和（2億5,000万円）などの上場企業も被害を受けており、単なる「迷惑な通信」を超えた経営リスクです。BECの特徴は、マルウェアや不正アクセスを一切使わずに、人間の判断を直接操作することにあります。フィルタリング技術がいかに進化しても、「人」が最終的な防衛ラインである以上、人的な訓練が不可欠です。

業務効率の低下と対応コスト

大量の迷惑メールは業務効率の低下だけでなく、ITシステム上のリソース（ストレージ・回線帯域・スキャン処理）を消費します。フィッシングメールを開封・応答してしまった場合、CSIRTによる調査・隔離・報告対応が必要となり、数人日規模の工数が発生することも珍しくありません。

迷惑メールの種類——手口別の最新分類

広告目的型スパム

最も古典的な形態で、一斉送信による商品宣伝・サービス勧誘が目的のメールです。量的には依然として多く存在しますが、フィルタリング技術の向上により以前ほど直接的な被害にはなりにくくなっています。ただし、巧みな件名でクリックを誘導するケースは現在も多く、安易なクリックを習慣化させる「慣れ」を生む点でリスクがあります。

フィッシングメール

正規の金融機関・ECサイト・取引先企業を装い、ログイン情報やクレジットカード情報を詐取します。2025年後半以降、攻撃者は独自ドメインを取得してDMARC認証をパスさせる手口に移行しています。以前は「差出人ドメインを確認せよ」というのが一次チェックの基本でしたが、現在はドメイン自体が正規のように見えるため、URLの細部確認や接続先の確認がより重要になっています。

マルウェア配布型

WordファイルやPDFに悪意あるマクロ・スクリプトを仕込み、開封と同時にマルウェアを実行させます。「請求書」「納品書」「見積書」などの業務用語を件名に使い、担当者が疑わずに開いてしまうよう設計されています。

標的型攻撃メールとスピアフィッシング

特定の企業・個人を狙い撃ちする攻撃で、事前に組織の内部構造・担当者名・取引先情報を調べたうえで作成されます。企業名・担当者名・実際の業務文脈が含まれるため、社員が本物と誤認するリスクが高くなります。

BEC（ビジネスメール詐欺）

経営層・財務部門を装い、送金指示や機密情報の送付依頼を行います。社内の承認フロー・業務慣行を把握したうえで、それに合わせた文面で送られるケースが増えています。フィッシング詐欺の仕組みと手口を詳しく知ることは、BECを含む多様な手口を見抜く基礎となります。

メールインフラ自体が攻撃対象となるリスク——KDDIの事案が示す教訓

迷惑メールを「届くもの」として受動的に処理するだけでなく、自社のメールシステム自体が侵害されるリスクも考慮する必要があります。

KDDIのISP向けメールシステムへの不正アクセスでは、不正アクセスにより約762万件の利用者のメールアドレス・パスワードが漏洩し、総務省からパスワードの平文保存と22日間の公表遅延を問題視する行政指導を受けました。メールアカウントの認証情報が漏洩した場合、攻撃者は正規のメールアカウントを使ってフィッシングメールや標的型攻撃メールを送信できるようになります。「自社メールアカウントが迷惑メールの発信元になる」というリスクも、迷惑メール対策の文脈として捉える必要があります。

企業が取るべき多層防御の対策

迷惑メールへの対策は、単一の技術的施策で解決できるものではなくなっています。

①ドメイン認証（SPF/DKIM/DMARC）の整備と監視。自社ドメインからのなりすましを防ぐ基盤です。DMARCはp=noneから始め、ログを確認しながらp=quarantine→p=rejectへ段階的に引き上げることが推奨されます。ただし2025年後半の傾向として、攻撃者が独自ドメインを取得してDMARC認証をパスするケースが急増しており、DMARC対応だけで安心することには注意が必要です。

②ゲートウェイレベルのフィルタリング強化。URLの書き換え・サンドボックス実行・ブランド偽装検知を組み合わせたゲートウェイ製品の活用が有効です。AIによるコンテキスト分析型のフィルタリングは、従来のシグネチャベースでは捕捉できない未知の手口への対応力を高めます。

③多要素認証（MFA）の徹底。フィッシングによる認証情報の窃取に備えるには、MFAの標準化が不可欠です。Microsoft 365・Google Workspaceなどのクラウドサービスでは条件付きアクセスポリシーと組み合わせて運用することが推奨されます。

④送金手続きの二経路確認。BECへの最も確実な対策は、メールのみでの送金指示を完結させない手順の制度化です。電話など別チャネルでの確認を義務付けることで、巧妙に作り込まれたBECメールへの耐性を大幅に高められます。

⑤フィッシング訓練の定期実施。四半期ごとのフィッシング模擬訓練を実施し、開封率・クリック率・報告率をKPIとして管理することで、組織全体の対応力を継続的に向上させられます。実際にフィッシングシミュレーションサービスの選び方を参照した上で、自組織に合ったプログラムを設計することを推奨します。

⑥インシデント対応手順の整備。フィッシングメールを誰かが開封・応答した場合の一次対応フローを1ページにまとめ、担当者・判断基準・初動手順を明確にしておくことが、被害拡大の防止に直結します。

---

出典

• フィッシング報告状況（月次）——フィッシング対策協議会（2025年〜2026年）
• フィッシングレポート2025——フィッシング対策協議会（2026年6月公開）
• 情報セキュリティ安心相談窓口の相談状況（2026年第1四半期・第2四半期）——IPA
• 令和7年におけるサイバー空間をめぐる脅威の情勢等について——警察庁（2026年3月）
• Amazonの「返金処理に関する確認のお願い」を装うフィッシングメールの実例——セキュリティ対策Lab
• 日本赤十字社をかたる熊本地震義援金フィッシングメール——セキュリティ対策Lab
• BEC・ニセ社長詐欺 不正送金被害まとめ【2026年最新版】——セキュリティ対策Lab
• KDDIのISPメールシステム不正アクセスと行政指導——セキュリティ対策Lab
• 標的型攻撃メールとは——セキュリティ対策Lab
• フィッシング詐欺とは——セキュリティ対策Lab