ネット

フィッシングメールはなぜ本物そっくり？送信元とリンク先で確かめられること

※この記事にはアフィリエイト広告（PR）を含みます。リンク先のショップで購入・申し込みをされると、紹介料が入ることがあります。

今も毎月数万件の報告がある

フィッシング対策協議会の月次報告によると、2026年9月に寄せられたフィッシングの報告は94,661件でした。8月は82,338件、7月は66,119件です。同じ協議会の報告で2025年9月は224,693件だったので、前の年よりは少ない水準です。減った理由は報告に書かれていません。

警察庁がまとめた2025年の年間の報告件数は2,454,297件で、2024年の1,718,036件を上回りました。集計する組織と対象が違うため、協議会の月次の数字とは並べて比べられません。

お金の被害も続いています。警察庁によると、2025年のインターネットバンキングの不正送金は4,747件、被害額は約103億9,700万円でした。偽サイトへ誘導された経路は、メールが2,211件、SMSが1,695件です。IPAの「情報セキュリティ10大脅威 2026」でも、個人向けの脅威に「フィッシングによる個人情報等の詐取」が8年連続で入っています。

本物そっくりになる3つの理由

1つ目は、偽サイトが本物のコピーであることです。フィッシング対策協議会のガイドラインは、フィッシングサイトは本物のWebサイトをコピーして作られることが多いと説明しています。ロゴも配色も同じなので、画面を見比べても違いは見つかりません。

2つ目は、文面が本物の通知に寄せてあることです。2026年9月の報告では、注文・配達・返金／支払いや契約の更新／不正利用の検知／本人確認／ポイントの期限などを装うメールが目立ちました。受信者の氏名が入ったメールもあります。不自然な日本語が残るメールがある一方、見えない文字を混ぜて迷惑メールの判定を避け、表示上は整って見えるメールもあります。

3つ目は、だれもが使う大手の名前をかたることです。9月に名前を使われたのはAmazonが約33.2%、Appleが約11.1%で、セゾンカード・アメリカン・エキスプレス・国税庁が続きました。上位5つで約65.3%を占めます。ふだん本物の通知が届く相手ほど、偽物が紛れても気付きません。かたる会社や文面は、数日ごとに切り替わります。

差出人の表示は「名前札」にすぎない

メールの差出人に出る名前とアドレスは、送り主がメールソフトの設定で書き込む「名前札」のようなものです。IPAは、表示名を「Amazon顧客サービス」にし、アドレスも正規のドメインに見せかけたメールの例を挙げています。そのうえで、一般の利用者が送信元の情報で真偽を判断するのは難しいと説明しています。スマホのメールアプリは表示される項目が少なく、さらに見分けにくくなります。

送ってきたサーバーも手掛かりになりません。9月の報告では、フィッシングメールの送り元はMicrosoft Azureが約36.3%、Google Cloudが約25.0%でした。大手のクラウドから届くため、「怪しいところから来るメール」とは限りません。

逆に、本物の側に付く目印はあります。送信ドメイン認証（送り主が本当にそのドメインの持ち主かを確かめるしくみ）に通ったメールに、会社のロゴやマークを出すメールサービスが増えています。協議会のガイドラインは、Gmail・iCloudメール・Yahoo!メール・ドコモメール・auメールを例に挙げています。ただし、これは2024年度版のガイドラインの時点の情報です。

SMSにも目安があります。携帯会社の認証を受けた事業者は、「0005」で始まる10桁の番号から送ることが増えています（2023年1月から全キャリアが対応）。「+1」で始まる番号や英字の送信元など、海外の回線を通ったSMSはフィッシングを疑ってください。

確かめられること・確かめられないこと

見分ける手掛かりとしてよく挙がるものを、分かることと分からないことに分けました。

ガイドラインによると、https://から始まるフィッシングサイトは増えています。httpsは通信が暗号化されているという意味で、運営する組織が正規だという意味ではありません。Chromeでは、アドレスバーに鍵マークが出ない表示に変わっています。

リンクは押さずに、公式の入口から確かめる

やりがちな失敗は、本物か確かめようとしてメールのリンクを押すことです。ガイドラインは、認証済みの正規のメールだと確認できないメールのリンクは開かず、ブックマークや正規のアプリから入るよう勧めています。手順は次の3つです。

1. 用件だけ覚えて、メールを閉じる。注文の確認や本人確認など、何を求められたかを覚えておきます。
2. いつもの公式アプリかブックマークから開く。メールの中のリンクは使いません。
3. ログインして、同じ用件があるか確かめる。お知らせや注文履歴に何もなければ、そのメールは無視してかまいません。

リンク先の文字列だけ見たいときは、パソコンならリンクにマウスを重ね、スマホなら長押しすると表示されます。ただし、1文字違いの偽ドメイン（タイポスワッピング）は見落としやすく、補助にとどまります。ブックマークを作る時やアプリを入れる時にも、この偽物に注意が要ります。

IPAが勧める対応は4つです。添付ファイルを開かない。メールのURLからアクセスしない。書かれた電話番号にかけない。返信しない。

不正なアプリを入れさせる手口もあります。協議会は2026年9月30日、国税庁をかたってアプリのインストールへ誘導するメールの緊急情報を出しました。9月は特にAndroid向けの誘導が急増しています。

入力してしまった時の対処

ガイドラインは、被害に気付くきっかけの例を次のように挙げています。

• 入力したあと、サイトの動きがおかしい
• IDとパスワードでログインできなくなった
• 覚えのない取引やキャリア決済の明細がある
• 頼んでいない認証コードが届いた

気づいたら、まずそのサービスの会社に連絡します。銀行やカード会社には、できるだけ早く連絡してください。公式アプリかブックマークから入り直し、入力したパスワードを変えます。同じパスワードを他のサービスでも使っていれば、そちらも変えます。

相談先は、警察のサイバー犯罪相談窓口・消費生活センター・法テラスです。届いたフィッシングメールは、フィッシング対策協議会の報告フォームか、[email protected] へ報告できます。

ブラウザの警告と、セキュリティソフトの役目

ソフトを買わなくても、ブラウザには標準の警告があります。Chrome・Safari・FirefoxはGoogleセーフブラウジング、EdgeはMicrosoft SmartScreenで、フィッシングサイトを開く前に警告画面を出します。Windowsには、Microsoft Defenderも標準で入っています。

セキュリティソフトは、そこに「偽サイトを開いた時の警告」を足す道具です。偽メールの文面やかたる会社は数日ごとに変わるため、入れれば防げるわけではありません。公式の入口から入る習慣と組み合わせて使います。価格は台数・年数や時期で変わるので、リンク先の公式ストアで確かめてください。

ウイルスバスター クラウド（トレンドマイクロ公式ストア）。公式の機能一覧によると、「詐欺/危険サイトをブロック」はWindows・Mac・Android・iPhone/iPad・Chromebookに対応し、フィッシングサイトへのアクセスを止めます。「詐欺メール対策」はWindows・Mac・Chromebookが対象で、Gmail・Yahoo!メールなどのメールに含まれる詐欺の特徴を検出して警告します。スマホは対象外です。
向いている人：パソコンでGmailやYahoo!メールを読むことが多い人。向かない人：メールはスマホでしか読まない人。
注意：自動更新を選ぶと、更新時に登録したカードから自動で課金されます。止め方はメーカーの案内を確認してください。
公式ストア：ウイルスバスターのご購入はこちら

ESET HOME セキュリティ エッセンシャル（キヤノンITソリューションズ）。独自のフィッシング対策機能で、詐欺サイトへのアクセスをブロックします。Windows・macOS・Android・iOSに対応し（iOS版の提供状況は公式ページで確認してください）、台数は1台・3台・5台、期間は月額・1年・3年から選べます。
向いている人：家族のパソコンとスマホをまとめて、台数を選んで用意したい人。向かない人：Windows1台だけで、標準の機能で足りると考える人。
注意：自動更新の有無は購入前に公式ストアで確認してください。自動更新の場合、更新時に自動で課金されます。止め方はメーカーの案内を確認してください。
公式ストア：AI時代のネット詐欺からあなたと家族を守るセキュリティソフト

よくある疑問

自分の名前が書いてあれば、本物ですか？

本物とは限りません。フィッシング対策協議会の2026年9月の報告では、受信者の氏名が入ったフィッシングメールも確認されています。名前の有無ではなく、公式アプリやブックマークから同じ用件があるかで確かめてください。

怪しいメールが届いたら、どう対応しますか？

リンクや添付は開かず、返信もしません。フィッシング対策協議会の報告フォームか [email protected] へ報告できます。

まとめ

フィッシングメールは、本物のコピーと書き換え自由な差出人でできています。だから見た目で見分けるより、メールのリンクを使わないほうが確実です。

今日のうちに、よく使う銀行・カード会社・通販のサイトをブックマークするか、公式アプリを入れてください。家族とも「メールのリンクからはログインしない」と決めておくと、迷ったときの判断が速くなります。

← 記事一覧へ戻る