フィッシング詐欺とは? 手口や対策を解説

セキュリティ用語

投稿日時: 更新日時:

フィッシング詐欺とは 手口や対策を解説

ネット証券や銀行を騙ったメール、法人向けインターネットバンキングを狙う電話、フランチャイズ申請者や加盟店情報の流出を悪用した二次攻撃など、フィッシング詐欺の入口は年々増えています。以前のように、怪しい日本語のメールを見抜けば済む話ではありません。

フィッシング対策協議会の月次報告では、2026年6月の国内フィッシング報告件数は72,370件、確認されたフィッシングサイトURL件数は42,241件でした。警察庁・国家公安委員会が公表した令和7年の概況でも、フィッシング報告件数は約245万4,300件、インターネットバンキングに係る不正送金被害額は約103億9,700万円とされています。数字だけを見ても、フィッシングは個人の注意不足で片付けられる段階を過ぎています。

企業の情報システム部門にとって重要なのは、フィッシングをメールセキュリティだけの問題として見ないことです。ID管理、送金承認、端末管理、教育、インシデント対応、取引先管理まで含めて、組織の弱い部分を横断的に突いてくる攻撃として捉える必要があります。

フィッシング詐欺のサマリー

  • フィッシング詐欺は、実在する企業・金融機関・公的機関・取引先になりすまし、ID、パスワード、認証コード、口座情報、送金操作などを詐取する攻撃です。
  • 国内では、2026年6月だけでフィッシング報告件数が72,370件、フィッシングサイトURL件数が42,241件確認されています。
  • 警察庁・国家公安委員会の公表では、令和7年のフィッシング報告件数は約245万4,300件、インターネットバンキングの不正送金被害額は約103億9,700万円でした。
  • 米FBIのIC3 2025年版では、サイバー犯罪苦情件数が100万件を超え、被害額は208億7,700万ドル超でした。フィッシング・スプーフィングは苦情件数で最多の191,561件でした。
  • APWGの2026年第1四半期レポートでは、世界のフィッシング攻撃件数が971,181件に達し、通信、SaaS、Webメールが主要な標的として示されています。
  • 企業に必要なのは、従業員に注意喚起するだけではありません。DMARC、フィッシング耐性のある多要素認証、送金承認フロー、電話折り返し確認、リモート操作ソフト制御を組み合わせた多層防御です。

フィッシング詐欺の整理表

観点 内容
主な目的 認証情報、クレジットカード情報、ワンタイムパスワード、口座情報、送金操作、業務情報の詐取
主な手口 メール型フィッシング、スピアフィッシング、ビジネスメール詐欺、スミッシング、ボイスフィッシング、QRコード型フィッシング、AiTM型フィッシング
国内統計 2026年6月のフィッシング報告件数は72,370件、フィッシングサイトURL件数は42,241件
国内の被害傾向 ネット証券、インターネットバンキング、法人口座、宅配、EC、クレジットカード、通信キャリアを騙る手口が目立つ
海外統計 FBI IC3 2025年版では、フィッシング・スプーフィングが苦情件数で最多。APWG 2026年第1四半期では世界のフィッシング攻撃件数が971,181件
法人で特に危険な領域 経理、財務、役員秘書、総務、人事、情シス、クラウド管理者、営業管理、委託先窓口
優先すべき対策 DMARCの段階的強化、フィッシング耐性MFA、送金時の二重承認、電話の折り返し確認、訓練、監視、被害時の即時遮断
注意点 多要素認証を導入していても、SMS、TOTP、プッシュ承認だけではAiTM型攻撃や電話誘導に弱い場合があります

フィッシング詐欺とは何か

フィッシング詐欺とは、実在する企業、金融機関、公的機関、取引先、社内関係者になりすましたメッセージや偽サイトを使い、利用者に機密情報や操作を渡させる詐欺です。詐取されるものは、IDやパスワードだけではありません。ワンタイムパスワード、SMS認証コード、クレジットカード番号、インターネットバンキングの契約者番号、証券口座の認証情報、社内クラウドのセッション情報、振込承認そのものまで狙われます。

フィッシングという言葉は、釣りを意味する英語の fishing をもじった表現です。攻撃者が大量の偽メールや偽SMSをばらまき、引っかかった利用者から情報を抜き取る構図が釣りに似ているためです。ただし、現在のフィッシングは昔のような雑なばらまきだけではありません。企業の役員名、取引先名、実際の請求タイミング、社内で使っているクラウドサービス名まで調べたうえで、かなり自然な文面を作ってきます。

私がネットワークやサーバー運用を見ていた頃は、フィッシング対策といえばメールゲートウェイ、URLフィルタ、社員教育が中心でした。今もそれらは必要ですが、それだけでは足りません。攻撃者はメールが難しければSMSを使い、SMSが難しければ電話を使い、電話で信用させた後にリモート操作ソフトや偽サイトへ誘導します。入口は変わっても、最終的には認証情報と承認操作を奪うという一点に収束します。

国内統計で見るフィッシング被害の大きさ

国内のフィッシング動向を見るうえで、フィッシング対策協議会の月次報告は外せません。2026年6月の報告では、フィッシング報告件数が72,370件、フィッシングサイトURL件数が42,241件でした。悪用されたブランド数は98で、Amazon、VISA、Appleなど、生活や業務で日常的に使うサービスが上位に並んでいます。

この数字は、利用者から寄せられた報告や確認されたURLの集計です。実際には、報告されずに消えるフィッシングメール、短時間で閉じられる偽サイト、SMSやSNS上だけで拡散する不正URLもあります。月数万件という数字は、国内の攻撃量の一部を見ているにすぎないと考えた方が現実に近いです。

警察庁・国家公安委員会が示した令和7年のサイバー空間をめぐる脅威の概況でも、フィッシング報告件数は約245万4,300件とされ、過去最多の水準にあります。同じ公表では、インターネットバンキングに係る不正送金被害額が約103億9,700万円に上ったことも示されています。フィッシングは迷惑メールの延長ではなく、実際に資金流出を起こす犯罪インフラになっています。

金融庁も、ネット証券とインターネットバンキングの双方で注意喚起を続けています。ネット証券では、フィッシングサイトに入力されたIDやパスワードを使い、攻撃者が正規利用者になりすましてログインし、保有株を売却して別の銘柄を買い付ける手口が確認されています。2025年1月から4月までの証券口座における不正アクセスは6,380件、不正取引は3,505件、売却額は約1,612億円、買付額は約1,437億円と説明されています。

インターネットバンキングでも状況は深刻です。金融庁が公表している預貯金の不正送金被害状況では、令和7年のインターネットバンキングに係る不正送金被害は3,946件、平均被害額は360万円でした。前年より件数は減っているものの、平均被害額は大きくなっており、攻撃が高額口座や法人利用へ寄っていることがうかがえます。

海外統計が示すフィッシングの広がり

海外統計を見ると、フィッシングが世界的にも最上位の入口であり続けていることが分かります。米FBIのInternet Crime Complaint Center、いわゆるIC3の2025年版レポートでは、苦情件数が1,008,597件、損失額が208億7,700万ドルを超えました。類型別では、フィッシング・スプーフィングが191,561件で最も多く、ビジネスメール詐欺も24,768件、損失額約30億4,600万ドルとされています。

重要なのは、フィッシングの件数が多いだけではない点です。フィッシングは、ランサムウェア、ビジネスメール詐欺、クラウドアカウント侵害、暗号資産詐欺、投資詐欺など、別の犯罪類型へ接続する入口として使われます。FBIの統計上は分類が分かれていても、実際の攻撃では、最初のメールやSMSで認証情報が抜かれ、そこからメールボックスを乗っ取られ、取引先へ請求書差し替えメールが送られる、といった流れが珍しくありません。

APWGの2026年第1四半期レポートでは、世界のフィッシング攻撃件数が971,181件に達しました。2025年第4四半期から13.8％増加しており、標的ブランド数も766に上っています。業種別では、通信、SaaS、Webメールが目立ちます。企業の業務で使うメール、チャット、クラウドストレージ、ID管理基盤が狙われるのは、そこを突破すれば社内の他システムへ横展開しやすいからです。

英国政府のCyber Security Breaches Survey 2025/2026でも、フィッシングは企業が経験する代表的な攻撃として示されています。サイバー攻撃や侵害を認識した企業の中では、フィッシングが最も多い攻撃類型として扱われており、教育機関向け調査でも同様の傾向が出ています。規模や国を問わず、フィッシングが攻撃の入口に残り続けていることは、企業の防御設計にとってかなり重い事実です。

フィッシング詐欺が増加している背景

フィッシングが増えた理由を、単に攻撃者が増えたからと見ると対策を誤ります。背景には、業務環境そのものの変化があります。

一つ目は、クラウド利用の拡大です。メール、ファイル共有、SaaS、営業支援、会計、人事、グループウェア、開発基盤など、多くの業務がクラウドIDでつながりました。攻撃者にとっては、VPN機器や社内サーバーを直接攻撃しなくても、クラウドアカウントを奪えば業務データに届く場面が増えています。

二つ目は、リモートワークとモバイル利用の定着です。従業員は社外ネットワーク、私物に近い利用感の端末、スマートフォン通知、チャットアプリを使いながら仕事をします。昔のように、社内メールだけを見ていればよいわけではありません。攻撃者は、業務メール、SMS、SNS、個人メール、電話を組み合わせ、最も反応しやすい経路から接触してきます。

三つ目は、生成AIの普及です。警察庁・国家公安委員会の公表でも、生成AIを用いたフィッシングサイト作成やマルウェア作成などの悪用に触れられています。以前は、不自然な日本語や機械翻訳っぽい言い回しが見抜く手がかりになりました。しかし、今は日本語の自然さだけでは判断できません。社内文書に近い語調、取引先らしい文面、自然な謝罪や催促文まで簡単に作れるためです。

四つ目は、攻撃基盤の分業化です。偽サイトを作る人、SMSを配信する人、電話をかける人、盗んだ認証情報を売る人、最終的に不正送金や不正取引を行う人が分かれている場合があります。フィッシングは、単独犯のメール詐欺ではなく、犯罪エコシステムの一部として見た方が実態に近くなっています。

メール型フィッシングとスピアフィッシング

メール型フィッシングは、現在でも最も基本的な手口です。実在するECサイト、金融機関、クラウドサービス、配送会社、クレジットカード会社を装ったメールを送り、偽ログインページへ誘導します。本文には、アカウント停止、支払い失敗、不審ログイン、本人確認、請求書確認、契約更新といった理由が使われます。

一般利用者向けのばらまき型に対し、特定の企業や人物を狙うものがスピアフィッシングです。部署名、役職、担当業務、実際の取引先、公開資料、SNS投稿、採用情報などを調べたうえで送られるため、見た目だけでは正規の連絡と区別しにくくなります。

企業で特に危ないのは、経理、財務、役員秘書、総務、人事、情シスのように、権限や機密情報に近い部署です。攻撃者は、誰に送れば支払いが動くか、誰なら役員の指示に見えるか、誰ならアカウント再設定を急ぐかを考えています。つまり、標的はシステムではなく業務フローそのものです。

ビジネスメール詐欺はフィッシングの延長線にある

ビジネスメール詐欺、いわゆるBECは、フィッシングと切り離して考えない方がよい手口です。BECでは、経営幹部、取引先、弁護士、海外拠点、仕入先などになりすまし、振込先変更や緊急送金を指示します。最初からメールを偽装する場合もあれば、フィッシングで実際のメールアカウントを乗っ取り、過去のやり取りに割り込む場合もあります。

国内で有名な事例として、日本航空のビジネスメール詐欺があります。IPAの注意喚起でも、2017年12月に国内大手航空会社が約3億8,000万円の被害に遭った事例として取り上げられています。取引先や請求情報を装ったメールを正規のものと誤認させ、指定口座へ送金させる構図でした。

近年は、メールだけでなくチャットを使ったなりすましも増えています。当サイトでも、ビジネスメール詐欺やなりすまし チャットによる不正送金 被害まとめで、経営者や取引先になりすました不正送金事例を整理しています。メール、チャット、電話のどれを使うかは攻撃者にとって手段の違いにすぎません。重要なのは、承認者が本人確認を別経路で行わないまま資金移動に応じてしまうことです。

スミッシングは個人向けだけの問題ではない

スミッシングは、SMSを使ったフィッシングです。宅配業者、金融機関、通信キャリア、クレジットカード会社、行政手続きなどを装い、短い文面で不正URLへ誘導します。SMSは画面が小さく、URLの全体を確認しにくいうえ、受信者がスマートフォン上でそのまま操作してしまいやすい特徴があります。

個人向けの詐欺として語られがちですが、企業にとっても無関係ではありません。業務用スマートフォンに届いたSMSから、クラウドアカウントや金融機関の認証情報が入力される可能性があります。SMS認証を使っている場合、攻撃者が同時進行でログインを試み、被害者に届いたコードを入力させることもあります。

従業員教育では、メールの見分け方だけでは足りません。SMS、メッセージアプリ、SNSのDM、QRコード、電話で届いたURLを、同じフィッシングの入口として扱う必要があります。

ボイスフィッシングは法人被害に直結している

ボイスフィッシング、またはヴィッシングは、電話で相手を信用させ、認証情報や送金操作を引き出す手口です。以前は個人向けの特殊詐欺として語られることが多かったものの、2025年以降、国内では法人口座を狙う事例が目立っています。

警察庁のサイバー警察局便りでは、銀行を装った自動音声の電話から始まり、担当者を装う人物がメールアドレスや電話番号を聞き出し、偽メールやSMSで遠隔操作ソフト、偽サイトへ誘導する流れが紹介されています。全国銀行協会も、法人向けインターネットバンキングを狙うボイスフィッシングに注意を呼びかけています。

この手口が厄介なのは、メールと電話が組み合わされる点です。電話で銀行員らしく説明されると、その後に届いたメールやSMSを正規のものと思い込みやすくなります。さらに、リモート操作ソフトを入れさせられると、攻撃者は画面を見ながら利用者の操作を誘導できます。偽の更新画面を表示し、裏側で送金手続きを進めるような手口も確認されています。

当サイトでは、2025年に発生したボイスフィッシング(ビッシング)の事例で国内事例を整理しています。個別事例としては、香川県で法人口座を狙ったボイスフィッシング詐欺が発生、被害額5000万円、山形鉄道が山形銀行を装った ボイスフィッシングで1億円の被害、琉球銀行、ボイスフィッシングにより約1億円 不正送金 被害などがあります。

これらの事例から分かるのは、法人の銀行取引では、システムの脆弱性がなくても被害が成立するということです。銀行を名乗る電話、メール、SMS、遠隔操作ソフト、偽サイト、ワンタイムパスワードが一本の線でつながると、担当者個人の注意だけで止めるのは難しくなります。

ネット証券を狙うフィッシングは資金詐取だけでは終わらない

ネット証券を狙うフィッシングは、銀行口座の不正送金とは少し違う動きをします。攻撃者は証券口座に不正ログインし、保有株式を売却したうえで、流動性の低い銘柄や特定銘柄を買い付ける場合があります。これは、単に預り金を引き出すだけでなく、相場操縦や資金移転に近い使われ方をするためです。

金融庁は、フィッシングサイトを通じて証券口座の認証情報が盗まれ、不正アクセスや不正取引につながるリスクを繰り返し注意喚起しています。金融庁が公表した2025年1月から4月までの数字では、不正アクセス6,380件、不正取引3,505件、売却額約1,612億円、買付額約1,437億円と説明されています。

当サイトでも、マネックス証券へのフィッシング詐欺 手口と注意点を解説で、証券会社を装うフィッシングメールの例を取り上げています。証券口座は個人資産の問題に見えますが、役員や経理担当者の個人口座が狙われた場合、社内メールや端末との使い回し、個人端末での業務利用、パスワード再利用のリスクにもつながります。

フランチャイズ申請者情報や加盟店情報の流出が二次フィッシングを強くする

フィッシングは、単独で発生するとは限りません。過去に流出した個人情報や申請情報が、次のフィッシングの材料として使われることがあります。たとえば、フランチャイズ申請者、加盟店候補、取引先担当者、採用応募者、資料請求者の情報が漏れると、攻撃者はかなり自然な連絡文面を作れます。

フランチャイズ申請者であれば、審査結果、加盟金、契約書、面談日程、開業支援、保証金の振込先変更といった話題が使われる可能性があります。加盟店であれば、管理画面の再認証、売上金の振込口座確認、規約改定、決済端末の更新、キャンペーン申請などが口実になります。受け手にとっては、まったく知らないサービス名ではなく、実際に関心を持った相手からの連絡に見えるため、警戒心が下がります。

ここで重要なのは、情報漏えいそのものとフィッシング被害を分けて考えないことです。漏れた情報が氏名、メールアドレス、電話番号だけであっても、文脈が加わると攻撃の精度は上がります。情報システム部門は、漏えい時の影響評価で、クレジットカード番号やパスワードの有無だけを見るのではなく、その情報を使えばどのようななりすまし連絡が可能になるかまで考える必要があります。

AiTM型フィッシングはMFAを過信する組織を狙う

多要素認証を入れていればフィッシングは止まる、と考えるのは危険です。近年は、AiTM、つまりAdversary-in-the-Middle型のフィッシングが増えています。これは、攻撃者が利用者と正規サービスの間に偽サイトを挟み、ID、パスワード、ワンタイムパスワード、認証済みセッションを中継・窃取する手口です。

利用者から見ると、偽サイトに入力した情報がそのまま正規サイトへ転送されるため、ログインが成立したように見える場合があります。その裏で、攻撃者はセッションCookieやトークンを取得し、認証済み状態でアカウントへアクセスします。SMS認証、TOTP、プッシュ通知型MFAは、導入しないよりは確実に強いものの、フィッシング耐性という意味では限界があります。

NISTのSP 800-63B-4では、AAL2でも実務上可能な場合はフィッシング耐性のある認証を推奨し、AAL3ではフィッシング耐性を持つ暗号学的認証器を要求しています。CISAも、重要アカウントについてはパスキーやセキュリティキーなど、フィッシング耐性のあるMFAへ移行する重要性を示しています。

当サイトのMFAとは？メリットや必要性を解説でも触れている通り、MFAは必要です。ただし、現在の脅威環境では、MFAを入れるだけでなく、どの方式をどのアカウントへ適用するかが問われます。管理者、経理、役員、クラウド管理、ソースコード管理、金融取引に関わるアカウントから優先的にフィッシング耐性MFAへ移すべきです。

国内事例から見る被害の現実

国内事例を見ると、フィッシングは一つの業界だけに集中しているわけではありません。航空、金融、鉄道、地方企業、SaaS利用企業、EC、証券、自治体関連など、業種を問わず被害が出ています。

日本航空のBEC事例は、法人の送金フローが狙われた代表的な例です。攻撃者はシステムに侵入しなくても、取引先を装うメールで担当者を動かせれば資金を奪えます。ここから学ぶべき点は、請求書や振込先変更をメールだけで処理しないことです。特に海外送金、初回口座、大口支払い、役員指示、緊急案件は、必ず別経路で確認する必要があります。

山形鉄道や琉球銀行関連の被害は、電話を起点にした法人向けボイスフィッシングの危険性を示しています。銀行を名乗る電話で信用させ、偽サイトや遠隔操作ソフトに誘導し、法人口座から資金を移す流れです。銀行システムに問題がなくても、利用者側の認証情報と操作が奪われれば被害は成立します。

香川県の法人口座を狙った事例も同じ文脈で見るべきです。金融機関を名乗る電話やメールをきっかけに、法人のインターネットバンキングが狙われています。個人向け特殊詐欺の延長としてではなく、法人の資金管理を狙うサイバー犯罪として扱う必要があります。

ネット証券の不正取引は、個人投資家だけでなく企業にも示唆があります。役員や従業員が使う個人端末、個人メール、業務利用アカウントが混ざると、攻撃者は個人向けフィッシングから企業側へ足場を広げる可能性があります。不正アクセスとはでも整理している通り、正規のIDとパスワードを使われると、システム側では正常ログインに見えやすい点が厄介です。

海外事例から見る同じ構造

米国では、FBI IC3の統計が示す通り、フィッシング・スプーフィングは苦情件数で最大の類型です。BECの損失額も大きく、2025年は約30億4,600万ドルに達しています。BECは、標的企業の請求・支払い・契約フローを調べ、取引先や幹部になりすます攻撃です。業務上は自然に見える依頼であるため、メールの不審点だけを探す教育では限界があります。

英国でも、政府のサイバーセキュリティ侵害調査において、フィッシングは企業・教育機関の主要な攻撃類型として示されています。英国NCSCは、疑わしいメールやSMS、詐欺サイトを報告する仕組みを整え、利用者からの通報をテイクダウンにつなげています。日本企業も、自社内の報告窓口を作るだけでなく、フィッシング対策協議会、警察、金融機関、JPCERT/CCなど外部との連携を前提にした運用が必要です。

APWGのレポートでは、通信、SaaS、Webメールが主要な標的として示されています。これは、海外だけの話ではありません。日本企業でも、Microsoft 365、Google Workspace、Slack、Teams、Box、Dropbox、Salesforce、GitHubなどのアカウントが奪われれば、社内外の連絡、ファイル、顧客情報、開発情報へ連鎖します。攻撃者は、ID基盤とコミュニケーション基盤を狙えば、企業の中心部へ入れることを理解しています。

企業が実施すべき技術的対策

技術的対策では、最初に送信元ドメイン認証を見直すべきです。SPF、DKIM、DMARCは、なりすましメールを完全に止める魔法ではありませんが、自社ドメインを悪用されにくくし、取引先や顧客を守るうえで重要です。フィッシング対策協議会も、DMARCのreject設定やBIMIの活用に言及しています。

DMARCは、noneでレポートを集め、quarantineで隔離を試し、最終的にrejectへ移行するのが現実的です。いきなりrejectにすると、正規の外部配信サービスや委託先メールが止まることがあります。マーケティング、採用、請求、サポート、グループ会社、委託先が自社ドメインで送っているメールを棚卸しし、送信元を整理したうえで進める必要があります。

受信側では、メールゲートウェイ、URL書き換え、添付ファイル無害化、サンドボックス、ブランド偽装検知、クラウドメールの高度な保護機能を組み合わせます。ただし、メールだけを見ても足りません。SMS、チャット、SNS、QRコード、電話を含めた報告窓口を用意し、従業員が迷ったときにすぐ相談できる導線を作る必要があります。

端末側では、EDR、ブラウザ保護、DNSフィルタリング、危険URLブロック、パスワードマネージャーの導入が有効です。パスワードマネージャーは、偽ドメインでは認証情報を自動入力しないため、地味ですがフィッシング対策として効果があります。

認証対策はフィッシング耐性を基準に見直す

MFAは必須です。ただし、今後はMFAの有無ではなく、フィッシング耐性があるかどうかを基準に見直す必要があります。SMS認証、メール認証、TOTP、プッシュ承認は、パスワード単独よりは強いものの、攻撃者にコードを入力させられたり、AiTM型でセッションを奪われたりする可能性があります。

優先順位としては、管理者アカウント、IDプロバイダ、メール管理、クラウド管理、経理・財務、役員、開発基盤、リモートアクセス、金融取引関連から、パスキー、FIDO2セキュリティキー、端末紐づきの強い認証へ移行するのが現実的です。

多要素認証を導入している組織でも、例外設定が多いと意味がありません。古いメールプロトコル、共有アカウント、緊急用アカウント、退職者アカウント、外部委託先アカウント、MFA除外グループが穴になります。フィッシング対策は、メール訓練より先に、こうした例外の棚卸しから始めた方が効果が出る場合があります。

送金・契約・申請フローの対策

法人被害を防ぐには、技術対策だけでなく業務フローの対策が必要です。特に送金、振込先変更、契約書差し替え、口座登録、加盟金、保証金、返金処理、給与振込先変更は狙われやすい処理です。

大口送金や新規口座への送金では、メールやチャットの依頼だけで処理しないルールが必要です。電話で確認する場合も、メール本文や相手から指定された番号にかけてはいけません。契約書、取引先マスタ、公式サイト、過去に確認済みの代表番号など、別経路で確認した番号へ折り返すことが重要です。

法人口座のボイスフィッシング対策では、銀行を名乗る電話に対して、契約者番号、ID、パスワード、ワンタイムパスワード、SMS認証コード、電子証明書情報を伝えないことを徹底します。銀行や警察を名乗る相手から、遠隔操作ソフトのインストールを求められた場合は、その時点で詐欺の可能性が高いと判断すべきです。

リモート操作ソフトは、情シスが管理する正規ツール以外を業務端末へインストールできないようにします。利用を完全に禁止できない場合でも、インストール権限、起動制御、アプリケーション制御、ログ監視、管理者承認を組み合わせるべきです。

従業員教育は見分け方よりも止まり方を教える

フィッシング教育というと、怪しいメールを見分ける訓練になりがちです。もちろん、それも必要です。ただ、最近のフィッシングは見た目がかなり自然です。従業員に完璧な判定を求めるより、迷ったら止まる、押さない、入力しない、別経路で確認する、すぐ報告するという行動を定着させる方が現実的です。

訓練メールを送る場合も、クリックした社員を責める運用は避けるべきです。罰則型にすると、実際にクリックしたときに報告が遅れます。大事なのは、クリック後すぐに報告できる文化です。初動が早ければ、パスワードリセット、セッション失効、MFA再登録、メール転送ルール確認、端末隔離、金融機関への連絡を早く始められます。

経理や財務向けには、メール訓練とは別に、請求書差し替え、振込先変更、役員指示、海外送金、電話誘導、遠隔操作ソフトのケーススタディを行うべきです。人事や採用向けには、応募者情報や添付ファイル、クラウド共有リンクを悪用するシナリオが必要です。情シス向けには、ヘルプデスクを装ったMFA再登録依頼、管理者パスワードリセット依頼、IDプロバイダの偽通知を訓練に入れるべきです。

被害が疑われる場合の初動対応

フィッシング被害では、初動の速さが被害範囲を左右します。従業員がIDやパスワードを入力した、ワンタイムパスワードを伝えた、不審サイトでカード情報を入れた、遠隔操作ソフトを入れた、銀行を名乗る電話で指示に従った。こうした場合は、事実関係が完全に分かる前でも初動を始める必要があります。

業務アカウントであれば、直ちにパスワード変更、全セッションの失効、MFA再登録、メール転送ルール確認、OAuth連携アプリ確認、ログイン履歴確認を行います。クラウド管理者や経理担当者であれば、同じ端末・同じ認証情報で触れる範囲を広めに確認します。

金融被害の可能性がある場合は、金融機関へすぐ連絡します。送金が完了していても、組戻しや口座凍結につながる可能性があります。警察、フィッシング対策協議会、JPCERT/CCなどへの相談も、組織内のインシデント対応手順に入れておくべきです。

端末に遠隔操作ソフトを入れた場合は、単にアンインストールして終わりにしてはいけません。攻撃者が画面を見ていた可能性、認証情報を入力した可能性、ブラウザに保存されたパスワードを見られた可能性、追加ツールを入れられた可能性があります。端末隔離、EDR確認、認証情報の再発行、ログ確認まで必要です。

フィッシング対策の優先順位

すべてを一度にやるのは難しいため、企業では優先順位をつける必要があります。私なら、まず金融・ID・メールの三つから着手します。

金融では、送金承認フロー、新規振込先登録、大口送金、口座変更依頼、電話折り返し確認、遠隔操作ソフト禁止を確認します。ここは被害が即座に金銭損失につながるため、最優先です。

IDでは、管理者、役員、経理、情シス、クラウド管理、開発基盤、外部委託先のアカウントを棚卸しし、MFA例外を潰します。可能なところからフィッシング耐性MFAへ移します。古い認証方式、共有アカウント、退職者アカウントも同時に見直します。

メールでは、SPF、DKIM、DMARCの整備、自社ドメインの悪用監視、送信元棚卸し、受信側のフィッシング検知を進めます。顧客や取引先へ届くなりすましを減らすことは、自社ブランドを守る対策でもあります。

そのうえで、訓練と報告体制を整えます。従業員が迷ったときに、メールでも電話でもチャットでも同じ窓口に相談できるようにすることが大事です。報告が増えると情シスの負担は増えますが、報告されない被害よりはずっとましです。

よくある質問

Q. フィッシングメールかどうか見分ける一番のポイントは何ですか？

A. 送信元表示名ではなく、実際のドメイン、リンク先、文脈、求められている操作を確認してください。ただし、現在は正規クラウドサービスや短縮URL、広告配信、正規ドメインの悪用もあるため、見た目だけで判断するのは危険です。少しでも迷う場合は、メール内リンクを使わず、ブックマークや公式アプリからアクセスする方が安全です。

Q. MFAを導入していればフィッシング被害は防げますか？

A. MFAは必須ですが、万能ではありません。SMS、TOTP、プッシュ承認は、フィッシングやAiTM型攻撃で突破される場合があります。重要アカウントでは、パスキーやFIDO2セキュリティキーなど、フィッシング耐性のあるMFAを優先してください。

Q. 銀行を名乗る電話が来た場合、どうすべきですか？

A. その場で契約者番号、ID、パスワード、ワンタイムパスワード、認証コードを伝えてはいけません。電話を切り、銀行の公式サイトや契約書類に記載された番号へ自分でかけ直してください。相手が指定した電話番号、メール、SMS、URLは使わないことが重要です。

Q. フィッシング訓練はどのくらいの頻度で実施すべきですか？

A. 年1回の集合研修だけでは足りません。全社員向けには定期的な訓練、経理・人事・情シス・役員秘書など高リスク部門には業務シナリオ型の訓練を組み合わせるべきです。訓練の目的は処罰ではなく、早期報告と確認行動を定着させることです。

Q. フィッシングサイトに情報を入力したかもしれない場合、最初に何をすべきですか？

A. すぐに社内の情報セキュリティ窓口へ報告し、該当アカウントのパスワード変更、セッション失効、MFA再登録、ログ確認を進めてください。金融情報を入力した場合は金融機関へ連絡します。報告が早いほど、被害を小さくできる可能性があります。

情報システム部門への示唆

情報システム部門は、フィッシングを従業員教育だけに閉じ込めない方がよいです。フィッシングは、人間の判断ミスを突く攻撃であると同時に、組織の業務設計、認証設計、権限設計、承認設計の隙を突く攻撃です。

優先すべきは、被害が起きたときに金銭や機密情報へ直結する経路を洗い出すことです。経理の送金、証券口座、法人インターネットバンキング、クラウド管理者、メール管理者、IDプロバイダ、ソースコード管理、顧客情報管理、外部委託先アカウントを棚卸しし、MFA方式、権限、ログ監視、承認ルールを確認してください。

法人向けボイスフィッシングへの備えも急務です。銀行を名乗る電話を受けた際の社内ルール、折り返し確認先、遠隔操作ソフトの扱い、金融機関への連絡フロー、警察への相談手順を文書化しておくべきです。電話対応は経理担当者だけの問題ではありません。代表電話、総務、営業拠点、店舗、工場、支社が入口になる可能性があります。

メール対策では、DMARCをnoneのまま放置せず、レポート分析からquarantine、rejectへ段階的に進めることが重要です。外部配信サービスや委託先を含めた送信元の棚卸しは手間がかかりますが、自社ドメインを悪用され続ける方が長期的な損失は大きくなります。

認証では、重要アカウントからフィッシング耐性MFAへ移行してください。MFAを入れているから安全、という説明はもう通用しません。SMSや認証アプリのコードを入力させるフィッシング、プッシュ疲れを狙う攻撃、AiTM型のセッション窃取を前提に、方式を選ぶ段階に入っています。

最後に、報告しやすい文化を作ることです。クリックした人を責める組織では、実際の被害報告が遅れます。フィッシング対策で本当に重要なのは、従業員が完璧に見抜くことではなく、迷ったときに止まり、押してしまったときにすぐ報告し、組織が素早く封じ込められる状態を作ることです。

出典

    関連記事

    Insecamとは？概要を解説Insecamとは 世界のWEBカメラ/監視カメラを閲覧できるサイト ソーシャルエンジニアリングとは 手法や手口を解説 iPhoneのジェイルブレイク（脱獄）とは？を解説iPhoneの脱獄（ジェイルブレイク）とは？ LockBit(ロックビット)とはサイバー攻撃集団 ロックビット(LockBit)とは？ RAT(Remote Access Trojan: 遠隔操作ウイルス)とは？IT用語・情報セキュリティ用語として解説RAT(Remote Access Trojan: 遠隔操作ウイルス)とは？IT用語・情報セキュリティ用語として解説 ワームとは？トロイの木馬やコンピューターウイルスとの違いを解説ワームとは トロイの木馬との違いを解説 情報セキュリティ用語の「Compromise」や「Compromised」の意味とは情報セキュリティ用語の「Compromise」や「Compromised」の意味とは AIや生成AIの悪用事例やサイバー攻撃の事例を紹介AIや生成AIの悪用事例や事件を解説 エクスプロイ（Exploit）とは？エクスプロイト（Exploit）とは？