「カード会社から緊急の連絡です」「荷物の配送に失敗しました」——こうしたメールやSMSが届いたとき、反射的にリンクをタップしていないでしょうか。フィッシング詐欺は年々手口が巧妙になり、本物の企業サイトとほとんど見分けがつかない偽サイトも増えています。この記事では、被害に遭う前に確認しておきたいチェックポイントと、今日から始められる具体的な対策を、公的機関の最新データとともに解説します。
フィッシング詐欺の最新動向
フィッシング対策協議会が公表した「フィッシングレポート2026」によると、2025年の年間フィッシング報告件数は2,454,297件で、前年の約1.43倍に増え、過去最多を更新しました。2026年に入っても高止まりが続き、同協議会の月次報告では2026年4月単月の報告件数が151,112件(前月比約23.5%増)に達しています。
同月の報告では、悪用されたブランドの上位はAmazon(全体の約14.4%)、Apple(約11.6%)に続き、楽天カード・セゾンカード・PayPayカードが並び、上位5ブランドで報告全体の約47.8%を占めました。分野別では「クレジット・信販系」が約33.1%、「EC系」が約31.3%と、カード会社やネット通販を装う手口が中心になっています。また、IPA(情報処理推進機構)の「情報セキュリティ10大脅威」では、「フィッシングによる個人情報等の詐取」が2019年の初選出から2026年版まで8年連続で個人向けの脅威に選ばれています(個人編は五十音順掲載のため順位ではありません)。
手口そのものも変化しています。同レポートでは、銀行などを装った電話で担当者情報を聞き出し、その後に個別のフィッシングメールを送って電話で指示しながらワンタイムパスワードまで入力させる「ボイスフィッシング」の報告が2024年秋から増えていると指摘されています。メールやSMSの文面だけでなく、電話を組み合わせた手口が増えている点は覚えておく必要があります。
見分けにくくなっている理由
フィッシング対策協議会のレポートでは、利用者が見分けにくくなる検知回避の技術も報告されています。Google翻訳やAWSなど正規サービスのURLを経由してリダイレクトさせる手法、Unicode文字や囲み文字を使った文字の難読化、メール本文のHTML内に人の目には見えない文字を挿入してフィルターをすり抜ける手法などが確認されています。さらに、なりすまし送信元を使うメールの割合は時期によって大きく変動しており、送信元認証の仕組み(DMARC)への対応が進むと攻撃者が独自ドメインの利用に切り替えるという対抗の繰り返しが続いています。「表示だけ見れば分かる」という前提そのものが崩れてきています。次のチェックポイントを確認してください。
事前にできる見分け方チェックポイント
完全に見分けられる方法はありませんが、次の点を確認する習慣をつけると気づける可能性が上がります。
- 送信元のメールアドレス・SMS番号を確認する——表示名が正しくても、実際のアドレスが企業の公式ドメインと異なっていないか確認します。
- URLをその場でタップしない——リンクの文字列と実際の遷移先が異なる場合があります。公式サイトは検索やブックマークからアクセスします。
- 緊急性・不安をあおる文言に注意する——「24時間以内に対応しないと利用停止」のような期限を強調する文面は、冷静な判断をさせないための典型的な手口です。
- SMSに記載された電話番号には自分からかけない——フィッシング対策協議会は、SMSに記載のURLや電話番号を使わず、公式サイトや契約時の書面で確認した正規の連絡先に自分からアクセスする原則を推奨しています。
- 日本語の不自然さだけに頼らない——近年は文面の精度が上がっており、不自然さが少ないメールも報告されています。文面の違和感だけで安全と判断しないことが重要です。
今日からできる事前対策
1. 多要素認証を設定する
ID・パスワードに加えてワンタイムパスワードや認証アプリを使う多要素認証を設定しておくと、パスワードが漏れても不正ログインまで至る可能性を下げられます。カード会社・銀行・主要なECサイトのアカウントで、まだ設定していないものがあれば確認してください。
2. パスワードを使い回さない
複数のサービスで同じパスワードを使っていると、1件のフィッシング被害が他サービスへの不正ログインに連鎖します。サービスごとに異なるパスワードを設定し、管理が難しい場合はパスワード管理ツールの利用を検討します。
3. カード・銀行アプリの通知をオンにする
利用通知をオンにしておくと、身に覚えのない決済や送金に早く気づけます。フィッシング被害そのものを防ぐものではありませんが、被害の拡大を止める初動のスピードに直結します。
4. OS・ブラウザ・セキュリティソフトを更新する
偽サイトへのアクセスをブラウザやセキュリティソフトが警告してくれる場合があります。更新を後回しにせず、最新の状態を保つことが前提になります。PCのセキュリティソフトの選び方はこちらの記事で、公衆Wi-Fi利用時の対策はVPNのできること・できないことの解説も参考にしてください。
5. 公式アプリ・ブックマークを使う習慣をつける
カード会社や通販サイトへは、メールやSMSのリンクではなく公式アプリやブックマークからアクセスする習慣をつけておくと、偽サイトへ誘導されるリスクそのものを減らせます。
6. 家族・高齢の親とチェックポイントを共有する
ボイスフィッシングのように電話を組み合わせた手口は、家族の名前や契約しているカード会社を事前に調べた上で接触してくるケースもあります。自分だけでなく、同居していない高齢の親など、スマートフォンの操作に慣れていない家族とも「SMSの電話番号には自分からかけない」「カード会社から電話で暗証番号やワンタイムパスワードを聞かれることはない」という2点だけでも共有しておくと、家庭全体の備えになります。
対策をしても防げないものがある
ここまでの対策を行っても、フィッシング詐欺の被害を完全に防げるわけではありません。手口は数日単位で文面やブランドを変えながら更新されており、巧妙に作られた偽サイトは見た目だけでは判断できないケースもあります。「これで安全」と言い切れる対策は存在しない前提で、被害に遭った後の対応も合わせて知っておくことが実質的な備えになります。
不審なメール・SMSを受け取ったときの基本行動
チェックポイントに引っかかるメールやSMSを受け取った場合は、リンクを開かず、添付ファイルも開かずに、まず削除するかメールソフトの迷惑メール報告機能を使います。すでにリンクを開いてしまった、情報を入力してしまったという場合の状況別の対処手順はフィッシングメールを開いてしまったときの対処法で詳しく解説しています。また、個人情報の漏洩が疑われる場合は漏洩の確認方法と対処手順、クレジットカードの不正利用に気づいた場合は不正利用時に今すぐやることも確認してください。
相談先・通報先
不安な場合や被害に気づいた場合は、ひとりで判断せず次の窓口に相談してください。
- 警察相談専用電話「#9110」——犯罪に当たるか分からない相談も含めて、管轄の警察本部などの相談窓口につながります(政府広報オンラインの案内による)。緊急性が高い場合は110番を使います。
- 消費者ホットライン「188」——消費者庁が案内する窓口で、契約や支払いに関する消費者トラブルの相談ができます。
- フィッシング対策協議会——受信した不審なメールやSMSの情報提供先として、公式サイトの報告窓口が設けられています。
- カード会社・金融機関の窓口——カード情報や銀行の認証情報を入力してしまった場合は、まずカード会社・金融機関に連絡し、利用停止や口座の確認を依頼します。対応条件や補償範囲は各社の規約によって異なるため、問い合わせ時に必ず確認してください。
- IPA(情報処理推進機構)の相談窓口——ウイルスや不正アクセス、フィッシングへの対応について、一般利用者からの相談を受け付けています。手口の見分け方や被害後の対応に迷う場合の相談先として利用できます。
どの窓口も、まず状況を整理してから連絡すると対応がスムーズになります。受信したメール・SMSのスクリーンショットや、入力してしまった情報の範囲をメモしておくと、相談時に役立ちます。
まとめ:こんな人に今日の対策をおすすめします
フィッシング詐欺は2025年に過去最多の報告件数を記録し、2026年も高い水準が続いています。カード会社やECサイトを名乗るメール・SMSを日常的に受け取る人、複数サービスで同じパスワードを使っている人は、多要素認証の設定とパスワードの見直しから始めてください。完全に防げる対策はない前提で、受信時のチェックポイントと相談先を事前に知っておくことが、被害を小さく抑える一番の備えになります。
