フィッシング詐欺

デジタル大辞泉

フィッシング‐さぎ【フィッシング詐欺】

読み方：ふぃっしんぐさぎ

《phishing》実在する金融機関や企業などを装った偽の電子メールやウェブサイトで、クレジットカードの番号や暗証番号などの個人情報を不正入手する詐欺行為。フィッシング。

法律関連用語集

フィッシング詐欺(ふぃっしんぐさぎ)

消費者問題に関わる用語

インターネット上で、個人情報を入力させるホームページにユーザーを誘い込み、そのページ上で利用者のクレジットカード番号やＩＤ、パスワード等を入力させるなどの方法によって、不正に個人情報を入手し、その情報を悪用して金銭をだまし取る手口。

» 法テラス・法律関連用語集はこちら

IT用語辞典バイナリ

フィッシング

別名：フィッシング詐欺
【英】phishing

フィッシングとは、インターネット詐欺の手法のひとつで、名の通った機関やWebサイトを装って詐欺を働く手法のことである。「フィッシング」（phishing）の語は、「人を釣る」（fishing）と「詭弁を弄する」（sophisticate）を掛け合わせた独自の綴りで表記される。

フィッシング詐欺は、大手のショッピングサイトや金融機関を偽装するか、あるいは巧みに利用することで行われる。まず、有名サイトを装ったメールが（無作為送信の結果）個人あてに送られる。メールには、更新期限が迫っている、といったもっともらしい督促がなされている。そこでWebサイトにジャンプすると、大手サイトの認証の画面にたどり着く。このとき、たどり着いた大手サイトらしいWebサイトは、ソースコードをコピーして再現されたニセモノのサイトである。判別するには、ドメイン名を注意深く確認しなくてはならない。そこでたいていの人はニセサイトが促すとおりに認証フォームへ個人情報を入力してしまう。そのようにして個人情報やクレジットカード番号が盗まれる。

あるいは、メールからジャンプしたWebサイトそのものは本物であり、その上に現れる認証用のポップアップウィンドウだけが詐欺師の設けたニセ認証であることもある。こちらはサイトのドメイン名を確認してもニセモノとはわからないので一層たちが悪い。こちらもニセ認証フォームが個人情報などを入力させ、個人情報を盗む。

フィッシングが登場した背景としては、ネットワークやコンピュータに詳しくない一般利用者も広くネットワークを利用するようになったこと、オンラインショップやホームバンキングなど、金銭取引にネットワークを活用する場面が広がったことなどを挙げることができる。

フィッシングに対する防御策としては、メールに貼られたリンクからはサイトに移動せず、ブラウザでURIを直接入力するか検索するなどして自分で当のサイトに行き事実関係を確認すること、電話などで連絡をとっても用が足せるのであればインターネットよりも電話連絡などを利用すること、アドレスバーを常に確認するようにしてURIが本物であるかどうかを確かめるクセを持つこと、などを挙げることができる。

いわゆるフィッシング詐欺の中でも、誰彼かまわずメールを送りつけて被害者を待つのではなく、特定個人を対象にして誘導、詐欺を試みるタイプのフィッシング詐欺手法は、特にスピアフィッシングと呼ばれる。スピアフィッシングでは個人情報をあらかじめ念入りに調査する手間が必要となるが、その分詐欺内容の信憑性を増すことができ、同時に引っかかりそうな相手を選別することができるという厄介なメリットを持っている。ちなみに「スピアフィッシング」は「spearfishing」と綴るが、これを「spearfishing」と書けば、特定の魚を狙って銛（もり）で突くことによって直接に刺しとどめることを意味する。

セキュリティのほかの用語一覧

オンライン詐欺：

ブラックワード  パスワードリセット詐欺  ビッシング  フィッシング  フィッシングアプリ  不当請求  ファックシング

>>オンライン詐欺カテゴリの他の用語

ウィキペディア

フィッシング (詐欺)

出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2026/08/02 01:46 UTC 版)

情報セキュリティと サイバーセキュリティ
対象別カテゴリ
ネットワーク・セキュリティ インターネットセキュリティ (英語版) コンピュータセキュリティ モバイルセキュリティ 車載セキュリティ
隣接領域
安全保障
脅威
ウェブシェル エクスプロイト 権限昇格 DoS攻撃 サイバー犯罪・サイバー戦争 セキュリティホール スクリプトキディ スパム 盗聴 フィッシング スミッシング マルウェア キーロガー コンピュータウイルス スパイウェア トロイの木馬 バックドア ボット ランサムウェア ロジックボム ワーム ワイパー ルートキット
防御
アクセス制御 アプリケーションセキュリティ アンチウイルスソフトウェア セキュアOS セキュアコーディング セキュリティ・バイ・デザイン 暗号 侵入検知・防止システム データ中心型セキュリティ 認可 認証 多要素認証 FIDO認証 パスキー ファイアウォール ウェブアプリケーションファイアウォール モバイルセキュアゲートウェイ ランタイムアプリケーション自己保護
表 話 編 歴

（架空の）銀行から送られた銀行口座の暗号を取得するための偽サイトへ誘導するための電子メールの例

フィッシング（英: phishing、フィッシング詐欺）とは、実在する信頼できる組織（金融機関、宅配業者、クラウドサービス、官公庁など）になりすまし、ユーザからID、パスワード、クレジットカード情報などの重要な個人情報を詐取する、あるいはマルウェアに感染させるインターネット詐欺行為である。人間の心理的な隙や行動のミスにつけ込む「ソーシャル・エンジニアリング」の一種に分類される。インターネット上で様々なサービスが提供されるにつれ、年々増加と高度化の傾向が顕著である。

概要

フィッシングは、攻撃者が会員制ウェブサイトや有名企業、銀行、政府機関などを装い、個人情報（クレジットカードの会員番号といった個人情報や、銀行預金口座を含む各種サービスのIDやパスワードなど）を詐取することを目的とする。

フィッシングの手口として、最も一般的なのが電子メールである。具体的な手口として、「ユーザーアカウントの有効期限が近づいています」や「新規サービスへの移行のため、登録内容の再入力をお願いします」、「お客様が不在の為お荷物を持ち帰りました。こちらにてご確認ください」、「お客様のクレジットカードで不正な使用を検出しました」などと、本物のウェブサイトを装った偽のウェブサイトへのURLリンクを貼ったメールを送りつけ、重要な個人情報を獲得する。

2024年の国内フィッシング報告件数は過去最多の1,718,036件に達し、前年比で約1.44倍に急増するなど、被害の拡大が続いている。攻撃対象は、クレジットカードや金融系サービスが中心であり、労働金庫、信用金庫、農業協同組合（JA）や消費者金融など、これまで標的とされにくかったブランドへの攻撃が増加しており、対策が手薄な分野が狙われる傾向にある 。また、ID窃盗（識別符号窃用）型の不正アクセス検挙件数においては、パスワード管理の甘さにつけ込む手口の割合が減少する一方で、元従業員や知人など内部事情を知る者による犯行が増加している 。

さらに、生成系AIの利用により自然な文章の詐欺メールの増加、多言語への即時翻訳、セキュリティ検知を回避するための詐欺メールの増加といった現象が見られる。その他では、SMSを用いたスミッシングや、QRコードを用いたクイッシングなどの手口が多く確認されている。近年ではフィッシング詐欺とランサムウェアを組み合わせた攻撃も増加している。

語源

語源については諸説ある。"fishing"（釣り）のハッカー的なスラング（Leet的言い換えと呼ばれる意図的な同音別表記）であるが、fがphに変化しているのは"phreaking"（フリーキング。音声によって電話網を意図的に誤作動させる不正行為）からの類推であると考えられている。このほか、"password harvesting fishing" の略とする説もある。日本の総務省は、「魚釣り（fishing）と洗練（sophisticated）から作られた造語」と「知恵蔵」からの知見を説明している。

ターゲットによる分類

不特定多数型（一般的なフィッシング）

特定のターゲットを定めず、無差別に大量のメール（スパム）を広範囲に送りつける攻撃。ECサイト、宅配業者、公共サービス、金融機関、動画配信サービス、携帯キャリアなどが騙られることが多く、メールの内容は、緊急性や重要性をアピールする文面が使われることが多い（例：「アカウントがロックされました」「不在通知」「当選のお知らせ」）。攻撃者は、電子メールやSMSなどを利用し、リストにある大量の宛先に一斉送信する。

スピアフィッシング

フィッシングのうち、特定の個人、団体を標的としたものをスピアフィッシング（spear phishing、魚突き）と呼ぶ。スピアフィッシングでは、特定の個人や組織を標的とし、本物であると信じ込ませるためにパーソナライズされたメッセージ（特に電子メール）を使用する 。成功率を高めるために、標的対象の個人情報や公開情報を収集（OSINT）し、利用することが多い。 さらに、特定のリンクを誘導する方法や、やり取りを数回行って信用させてから攻撃する手法が増えている。

これらの攻撃は、機密性の高い財務データやサービスにアクセスできる幹部や財務部門の担当者を標的とすることがよくある。会計事務所や監査法人は、従業員がアクセスできる情報の価値が高いため、特にスピアフィッシングに対して脆弱である。

ロシア政府が運営する脅威グループ4127（Fancy Bear、GRU 26165部隊）は、Hillary Clintonの2016年大統領選挙キャンペーンを標的に、1,800以上のGoogleアカウントに対してスピアフィッシング攻撃を行った。その際、 accounts-google.com ドメインを使用して標的ユーザーを脅迫した。

年齢層ごとのスピアフィッシングに対する感受性に関する研究では、21日間にわたる毎日のメールでの模擬フィッシングリンクに対し、18〜25歳の若者の43%、年配ユーザーの58%がクリックしたことが判明した。年配の女性が最も感受性が高く、若年層の感受性は研究期間中に低下したが、年配ユーザーの感受性は変わらなかった。

ホエーリング

スピアフィッシングの一種で、経営層、役員、政治家、有名人など、ビジネスにおける重要人物を標的とするものはホエーリング（whaling、捕鯨）、ホエールフィッシングと呼ばれる。近年ではディープフェイク音声が使われる事例がある。

ビジネスメール詐欺

ビジネスメール詐欺（英:Business Email Compromise、略:BEC）とは、フィッシィングの一種であり、企業の従業員や取引先を装って巧みな偽メールを送り、最終的に偽の口座に送金させるなどして金銭をだまし取る詐欺の手口である。 主に企業の財務部門や経営層、あるいは海外企業と取引を行う担当者が標的となり、ソーシャルエンジニアリングの手法を用いて心理的な隙を突くのが特徴である。スピアフィッシングと比較して、特定の組織を狙うという点では共通しているが、直接的に金銭の詐取するという目的と、メールの文章だけで騙すという手口が異なる。ビジネスメール詐欺では、単なるフィッシングメールとは異なり、事前の入念な調査（偵察）に基づいて行われる。犯罪者は標的企業の組織図や取引先との関係性、過去のメールのやり取りなどをあらかじめ調査し、本物のメールと見分けがつかないような偽のメールを作成する。事例としては、取引先との偽請求書を送りつける、偽の振込先口座の変更指示を依頼するメールを送りつける、などが挙げられる。ビジネスメール詐欺を防ぐためには、振込先口座の変更指示があった場合は二重に確認する、組織内での承認プロセスを厳格化し単独の判断での送金を防ぐ、定期的な従業員向けのセキュリティ教育や訓練を実施する、などが挙げられる。

媒体・経路別の手法

電子メールフィッシング

フィッシング攻撃は、しばしばスパムメールを通じて行われ、個人を騙して機密情報やログイン認証情報を漏洩させようとする。攻撃の大部分は、特定の標的を定めずに大量のメールを広範囲に送りつける無差別攻撃である 。攻撃者の目的は様々だが、金融機関、電子メールおよびクラウド生産性プロバイダー、ストリーミングサービスなどが一般的な標的となる 。盗まれた情報やアクセス権は、金銭の窃取、マルウェアのインストール、あるいは標的組織内の他の人物へのスピアフィッシングなどに悪用される。侵害されたストリーミングサービスのアカウントは、ダークウェブ・マーケットで販売されることもある。

この種のソーシャル・エンジニアリング攻撃では、銀行や政府機関などの信頼できる情報源からのものであるように見せかけた詐欺メールやメッセージの送信が行われる。これらのメッセージは通常、偽のログインページへとユーザーを誘導し、そこで認証情報の入力を促す。

クローンフィッシング

過去に受信した正規のメール（注文確認メールや配送通知など）をそっくりそのままコピーし、その中に含まれるリンクや添付ファイルを悪意のあるものにすり替えて再送するクローンフィッシング（clone phishing）という手法がある。

二段階式フィッシング

二段階式フィッシングとは、1通目にわざと不審なメールを送り、それを見破って警戒した受信者に対して、2通目でシステム担当などを装った注意喚起や受信状況の調査を名目に偽サイトへ誘導する手法である。1通目が怪しいと気づいた人ほど、その後に届く2通目の不審メールへの対策を装った内容を信用してだまされやすくなる心理的な隙を突く特徴がある。

SMSフィッシング（スミッシング）

一般的なSMSフィッシングメッセージの例

SMSフィッシング、またはスミッシング（smishing）は、携帯電話やスマートフォンのSMS（テキストメッセージ）を使用して囮となるメッセージを送信するフィッシング攻撃の一種である 。

攻撃者は被害者の携帯電話番号宛に、不在通知などを装ったSMSを送信する。被害者は通常、リンクをクリックするか、電話番号に電話するか、あるいは攻撃者が提供したメールアドレスに連絡するよう求められる。その後、他のウェブサイトのログイン認証情報などの個人情報を提供するよう促す。

多くのスマートフォンは高速なインターネット接続を備えており、URLの表示が制限されるため、スミッシングは電子メールフィッシングと同様に効果的である。スミッシングのメッセージは、見慣れない電話番号から届くこともある。

近年では、IMSIキャッチャーを利用したSMSブラスター攻撃という手法が増えている。IMSIキャッチャーを搭載した車で移動しながら、周辺のスマホを強制的に偽基地局（IMSIキャッチャー）に接続させ、宅配業者や金融機関、通信キャリアなどを装ったスパムSMSを送信するという手口である。

ビッシング

ビッシング（vishing）または、ボイスフィッシングは、自動音声（ロボコール）を利用して多数の人々に電話をかける。このとき、攻撃者はVoIPの仕組みを悪用し、発信元の電話番号を偽装（スプーフィング）することもある。被害者に対し、法的な脅迫や、PCサポート業者を装った内容を伝えることで、情報を入手するためにソーシャル・エンジニアリングを使用する攻撃者に接続される。その後、機密情報を詐取したり、マルウェアをインストールさせたりする。ビッシングは、電子メールフィッシングに比べて音声通話に対する一般の警戒心が低く、信頼性が高いという点を利用している。

クイッシング

クイッシング、またはQRコードフィッシングは、詐欺師はQRコードの利便性を悪用し、悪意のあるウェブサイトへのリンクが埋め込まれたコードをスキャンさせることで、ユーザーから機密データを騙し取る手法である。電子メールやウェブサイトを用いた従来のフィッシングとは異なり、QRコードを使用することで電子メールフィルターを回避し、 被害者が詐欺に引っかかる可能性を高めている。偽のコードは、電子メールやソーシャルメディアで送信されるほか、広告ポスターや駐車場の掲示物などの正当なQRコードの上に物理的なステッカーとして貼られることもある 。被害者が電話やデバイスでQRコードをスキャンすると、個人情報、ログイン認証情報、または財務詳細を盗むように設計された偽のウェブサイトにリダイレクトされる。

この手法は、人々がQRコードを信頼する傾向があり、URLやメールリンクほど注意深く精査しない傾向を利用している。電子マネーの決済、イベントのチェックイン、製品情報などでQRコードの使用が広まるにつれ、クイッシングはセキュリティ上の重大な懸念事項として浮上している。英国の国立サイバーセキュリティセンター（NCSC）は、このリスクを他の種類の誘引手法よりも低いと評価しているものの 、ユーザーは見慣れないQRコードをスキャンする際には注意を払い、信頼できるソースからのものであることを確認するよう助言されている。

検索エンジンフィッシング

検索エンジンフィッシングは、攻撃者がSEOポイズニングを行うことで、正規のサイトを装ったフィッシングサイトが検索で上位に表示されるように仕掛ける手口である。誘導したフィッシングサイトで、重要な個人情報の入力を促したり、マルウェアをダウンロードさせることで、情報を詐取する。銀行、送金サイト、ソーシャルメディア、ショッピングサイトなどが主な標的となる。

SNSのDM機能を用いたフィッシング

SNSが普及するに伴い、SNSのDM（ダイレクトメール）機能を用いたフィッシングが増加している。X、Instagram、LINEなどのダイレクトメッセージ（DM）や投稿を利用し、「この写真、あなたが写ってる？」等のメッセージを送り、偽のログイン画面へ誘導して個人情報を詐取する。このDMを利用したフィッシング詐欺を応用し、殺猪盤（国際ロマンス詐欺）と呼ばれる長期間かけて信頼関係を築きフィッシングサイトの一種へ誘導して巨額を詐取する手口が世界的な問題となっている。攻撃者が架空の投資を持ち掛けるケースも報告されている。攻撃者が乗っ取ったアカウントを利用するケースも多い。

攻撃技術

AiTM攻撃

従来のフィッシング攻撃は通常、不正なウェブサイトに直接入力されたユーザー資格情報を取得することに限定されている。AiTM（Adversary-in-the-Middle）攻撃は、フィッシング攻撃を高度化することにより、単にID・パスワードを盗むだけでなく、ユーザーと正規サイトの間の通信に割り込み、認証済みのセッションCookieを盗み取ることが可能になっている。これにより、攻撃者は、多要素認証（MFA）を突破することが可能になっている。

AiTM攻撃では、フィッシングメールなどを送ることで、ユーザーを偽のログインページに誘導する。ユーザーが偽サイトでID・パスワードを入力すると、その情報は攻撃者のサイトを経由して本物のサービスに送信する。この時、攻撃者は通信の中間に割り込み（プロキシサーバーとして機能し）、ユーザーの認証情報と、MFA完了後に発行されるセッションCookieを盗み取る。これにより、通常は盗まれたデータを保存するフィッシングサイトを探すセキュリティシステムによる検出が困難になる。ログイントークンとセッションクッキーを即座に取得することで、攻撃者はアカウントに侵入し、セッションがアクティブである限り、実際のユーザーと同様にそれを使用できる。

AiTM攻撃では、元々はペネトレーションテストのためのオープンソースツールとして作成されたEvilginxが利用されることがある。Evilginxは仲介者として機能し、パスワードやログインコードを保存することなく、被害者と実際のウェブサイト間で情報を中継する。

ユーザーの操作に合わせて攻撃者が即座に認証を突破することから、リアルタイムフィッシングとも呼ばれる。

URLおよび表示の偽装

フィッシング攻撃には、正当な組織からのものであるかのように見せかけた偽のリンクの作成が含まれることがある 。ホモグラフ攻撃という、URLのホスト名の文字として、真正なサイトに酷似した、異なる文字（ = 見た目の形が紛らわしい文字）を用いて偽装する手法が利用されることがある。この例として http://www.exаmple.com/ があり、ここでの3文字目はラテン文字の「a」ではなく、キリル文字の「а」である。被害者がリンクをクリックした際、3文字目が実際にはキリル文字の「а」であることに気づいていない場合、悪意のあるサイト http://www.xn--exmple-4nf.com/ にリダイレクトされる。

同様の例として、リンクの表示テキストとリンク先を変えておくリンク偽装や、サブドメインを悪用し正規サイトに見せかける手法がある。いずれの場合も、リンク先を確認するために、多くの電子メールクライアントやウェブブラウザでは、マウスをリンクの上に置くとステータスバーにURLが表示される。しかし、一部のフィッシング詐欺師はこのセキュリティ対策を回避できる場合がある。

ファーミング

また、DNSキャッシュポイゾニングや、偽のWifiアクセスポイント（Evil Twin攻撃）を利用することで、正しいURLを入力しているのに偽のウェブサイトに誘導されてしまうファーミングという手法がある。また宅配便の不在通知を装った偽のSMSを送りつけ、マルウェアをダウンロードさせる手法もある。

クロスサイトスクリプティング

フィッシングにおいて、クロスサイトスクリプティング（XSS）は、正規のウェブサイトを侵害し、ユーザーを欺くための手段として悪用される。攻撃者は、MPackなどのエクスプロイトキットを正規のウェブサイトに埋め込み、そのサーバーを訪れたユーザーを悪意あるサイトへリダイレクトさせる「ページハイジャック」を行うことがある。この際、悪意あるインラインフレームを挿入することでエクスプロイトキットを読み込ませる手法がとられ、特定の企業などを標的とした水飲み場型攻撃と併用されることが多い。 また、XSSはWebサイトの模造にも用いられる。攻撃者は、ユーザーが信頼する正規サイトの脆弱性を攻撃し、JavaScriptや画像を利用してアドレスバーやコンテンツを偽装する。これにより、正規サイトと模造サイトがあたかも連携して動作しているかのように見せかけ、本物のサイトであると誤認させることが可能となる。このような攻撃を実行するためのツールとして、BeEF（Browser Exploitation Framework）などが存在する。

ソーシャル・エンジニアリング

偽のウイルス通知

フィッシングでは、技術的な手法だけではなく、人間の心理的な隙や恐怖心を利用するソーシャル・エンジニアリングの手法頻繁に使用される。

多くの場合、信頼できる実体になりすまし、被害者の銀行口座や保険口座を閉鎖または差し押さえると脅すなどして、緊急性や重要性をアピールすることが多い。また、PCサポート業者を装った内容を伝えることで、安心感を与える手法もある。

なりすまし以外の方法では、被害者を騙して悪意のあるリンクをクリックさせるためにフェイクニュース記事を使用する方法がある。これらのリンクは、一見すると正当に見える偽のウェブサイトにつながることが多いが、実際には攻撃者によって運営されており、マルウェアをインストールしようとしたり、被害者に偽のウイルス通知を表示したりすることがある。

ソーシャル・エンジニアリングを利用したフィッシング詐欺として、サポート詐欺があげられる。サポート詐欺は、フィッシング、スケアウェア（恐怖による不安を煽るソフトウェア）、なりすましなどのソーシャルエンジニアリング技術を複合的に利用し、偽の警告や不安を煽る言葉でユーザーに恐怖心を与え、マルウェアのインストールや金銭の支払いをさせたり、情報を提供させたりする手口である。

攻撃ツール

フィッシング攻撃には、専用のソフトウェアツールが利用されることがある。不正アクセス禁止法により、許可なく他者のシステムへ不正アクセスを行う目的でこれらのツールを使用することは処罰の対象となる。

フィッシングキットとPhaaS

攻撃者は、フィッシングサイトの構築から被害者への誘導までを一括して行う「フィッシングキット」を利用することがある。フィッシングキットは、実在するウェブサイトを模した偽サイトのHTMLテンプレート、認証情報を収集するスクリプト、メール送信機能などを一式にまとめたものである。

近年では、こうしたツール一式をサービスとして提供するPhaaS（Phishing as a Service）が登場している。PhaaSでは、Telegramなどのメッセージングアプリを通じてフィッシングキットが販売されており、高度な技術を持たない者でも月額サブスクリプション形式でAiTM機能付きのフィッシングサイトを開設できる。このような攻撃インフラの商品化は、フィッシング攻撃件数の増加と手口の高度化の一因とされる。

侵入テストツールの悪用

本来はセキュリティ専門家によるペネトレーションテストを目的として開発されたツールが、フィッシング攻撃に転用される事例がある。

Metasploitフレームワークはその代表例で、Rapid7が開発したオープンソースのセキュリティ検証ツールである。Metasploit Proにはフィッシングメールの一斉送信、ウェブサイトの複製（クローン）、認証情報の収集といった機能が実装されており、本来はセキュリティ担当者が組織の脆弱性を評価するために設計されたものである。しかし2009年のBlack Hatカンファレンスにおける発表では、同フレームワークのモジュールがスピアフィッシング攻撃の実行に転用できることが実証された。

同様に、ウェブブラウザの脆弱性を悪用するオープンソースツールBeEF（Browser Exploitation Framework）も、攻撃者によってフィッシングサイトへの誘導や偽のウイルス警告の表示に利用されることが知られている。

Evil Twin攻撃（偽Wi-Fiアクセスポイント）

Evil Twin攻撃は、正規の公衆Wi-Fiアクセスポイントに見せかけた偽のアクセスポイントを設置し、接続したユーザーの通信を傍受する手口である。攻撃者は空港・カフェ・ホテルなど公衆Wi-Fiの利用が多い場所に偽のアクセスポイントを設け、ユーザーを偽のログインページへ誘導して認証情報を詐取する。ファーミングと組み合わせて使用されることもある。

SMSなりすまし送信

SMSの送信元を詐称（スプーフィング）する手法を利用したスミッシング攻撃が確認されている。攻撃者は宅配業者や通信事業者、公的機関になりすましたSMSを不特定多数に送信し、偽サイトへ誘導して個人情報を詐取する。IPAによれば、かたられるブランドは宅配業者から通信事業者・公的機関へと変化しながら継続しており、フィッシング対策協議会の報告では2024年の国内フィッシング件数急増の背景の一因として指摘されている。

対策

社会的対策

フィッシング詐欺に対する相談窓口・情報提供先は以下のとおりである。

• フィッシング110番（警察庁）
• フィッシング対策協議会：2005年設立。フィッシングに関する情報集約、共有、対策推進を行う。
• IPA（情報処理推進機構）セキュリティセンター
• 国民生活センター

フィッシングサイトを早く見つけて、早く閉鎖することは被害を極小化するためには重要な取り組みである。社内の限られて人員で対応するには限界もあり、２４時間対応していくれる、専門のセキュリティベンダーや脅威インテリジェンスプラットフォームを利用することが効率的である。

認証関係の対策

FIDO2認証の導入

フィッシング詐欺の中でも高度なAiTM攻撃に対抗するために、指紋や顔認証、物理セキュリティキーを利用したFIDO2認証があげられる。FIDO認証では、正規のドメインと認証情報が暗号技術で紐付けられている。ユーザーは従来のIDやパスワードの替わりに、パスキーが発行される。パスキーによる認証ではユーザ側のデバイス上で生体認証などのローカル認証が必須なため、万が一ユーザーが偽サイト（フィッシングサイト）を開いてしまっても、認証プロセスが作動せず、物理的にログイン情報を渡すことができない。

アプリ認証

SMSによるワンタイムパスワードは傍受されやすいため、認証アプリ（Google AuthenticatorやMicrosoft Authenticator）や、スマートフォンへのプッシュ通知による承認へ移行する。

メール・通信の対策

DMARC

DMARCは、送信元アドレスが詐称されていないかを検証する技術である。認証に失敗したメール（なりすまし）を迷惑メール扱いにするか受信拒否するように制御できる。

BIMI

BIMI（Brand Indicators for Message Identification）は、DMARCを導入した正規の企業からのメールに対し、受信トレイで企業のブランドロゴを表示させる技術。ユーザーが一目で公式メールだと判断できる。

高レベルのサーバ証明書

金融機関などでは高レベルのサーバ証明書であるEV証明書を導入することで、正規サイトであることをユーザーに確認させることができる。近年では、フィッシングに使われるURLにおいても、DVレベルのサーバ証明書が導入されているため、サーバ証明書の有無やHTTPSの表示だけで安全性は担保できない。HTTPSフィッシングという、HTTPSの表示を利用し、フィッシングサイトを合法的で信頼できるように見せかける攻撃もある。

ユーザー側の対策

CSIRTの組織化

フィッシング詐欺では初動の遅れが被害拡大につながる恐れがあるため、CSIRT（インシデント対応チーム）を組織し、認証・メール・ログの監視・対応体制を平時から整備しておくことが重要である。

パスワードマネージャー、クレジットカードマネージャーの利用

パスワードマネージャーは、記録された正しいURLと現在のページを検証し、一致しない限りパスワードを自動入力しない。人間が見落とすような微細なURLの偽装（ホモグラフ攻撃など）を機械的に検知できる。

ウォレットアプリの利用

スマートフォンのOSやブラウザに組み込まれているウォレットアプリでは、カード情報はプライベートサーバーに安全に保管され、実際の店舗での支払い時には販売者にカード番号ではなくバーチャルアカウント番号が送信される。このため、フィッシングによりカード情報そのものが流出しない。

個人情報を入力する前に、本物であることの確認

重要な個人情報（クレジットカード番号や暗証番号、パスワードなど）を入力するよう促されたら、自分が今アクセスしているサイトが偽サイトではないか、本物であるかを、ドメイン名を今一度確認することが有効である。

Webブラウザやウイルス対策ソフトの対策機能

大部分のWebブラウザにはフィッシング対策機能が実装されている。

• Internet Explorer 7.0以降
• Microsoft Edge - Microsoft Defender SmartScreenが実装されている。
• Google Chrome - Google セーフ ブラウジングが実装されている。
• Mozilla Firefox 2.0以降
• Opera 9.10以降
• Safari 3.2以降 - 「不正なWebサイトへの警告」機能が実装されている。

メール/SMSに書かれているリンクを安易にクリックしない

リンクによってはクリックした時点でメールアドレスが特定されてしまうことがある。必要な場合は、ブラウザのアドレス欄やブックマークを利用して自ら該当するサイトにアクセスする。その上で、該当サイト上にメールと同じ内容の告知が無いかを見て判断する。また、金融機関などの事業者は、「メールを配信することはない」と明言していたり、対策方法を公開している所もあるので、情報を確認しておくことも予防策の一つとなる。

関連項目

• スパム (メール)
• ワンクリック詐欺
• スパイウェア
• スキミング
• ファーミング
• スミッシング
• ビッシング（ボイスフィッシング）
• ソーシャル・エンジニアリング
• DNSスプーフィング - DNSのキャシュを改ざんすることで、悪意のあるサイトにリダイレクトする攻撃
• DNSハイジャック - DNSの設定やサーバを改ざんすることで、悪意のあるサイトにリダイレクトする攻撃
• クリックベイト
• フィッシング詐欺事件の一覧

外部リンク

• フィッシング対策協議会
• フィッシング対策 - 警察庁
• フィッシング詐欺とは？ - 総務省
• 情報セキュリティ安心相談窓口 - 情報処理推進機構
• フィッシング詐欺被害に遭わないための注意事項 - 日本クレジット協会
• 警視庁 小島よしおのサイバーセキュリティ教室

Weblio日本語例文用例辞書

「フィッシング (詐欺)」の例文・使い方・用例・文例

• どこでスポーツフィッシングができますか？
• グランド・オペラとゲーム・フィッシングのような異種のアトラクション
• フライフィッシングに用いられる長くしなやかな釣り竿
• ゲームフィッシングという,指定魚の重量を競う釣りのゲーム
• 国土交通省は，｢フィッシングパーク・サポーター制度｣を始めることを計画している。