はじめに
メールやSMS、SNSなどを利用したフィッシング詐欺は、個人情報や金銭を狙う攻撃の中でも最も身近な脅威です。IPAによると、2024年にフィッシング対策協議会に寄せられた報告件数は過去最高を記録し、多くの利用者が偽メールや偽SMSによる被害に遭いました。攻撃者は実在の企業や行政機関を装い、巧妙な文面や誘導リンクで利用者をだますため、被害が拡大しています。本記事では、フィッシング詐欺の最新の手口と、防御策を解説します。
フィッシングの多様化
メールフィッシング
従来のフィッシングは、メールで偽のログインページへ誘導し、IDやパスワード、クレジットカード情報を入力させる手口が主流でした。攻撃者は企業の公式ロゴや書式を模倣し、利用者が不安を感じるような件名（例：支払い遅延通知や利用停止予告）を用います。偽のURLには正規ドメインに似せた文字列や、入力欄が表示され、利用者は気付かずに情報を入力してしまいます。
SMSフィッシング（スミッシング）
近年増加しているのがSMSを用いたフィッシングです。携帯電話会社や運送会社、公共料金支払いサイトを装ったSMSが送られ、本文のリンクから偽サイトに誘導されます。スマートフォンはメール以上に画面が小さくURLの確認が難しいため、騙されやすい傾向があります。
QRコードフィッシング（クイッシング）
最近注目されているのが、QRコードを使ったフィッシングです。イベント会場や広告チラシなどに貼られたQRコードを読み取らせ、偽の決済画面やアンケートサイトに誘導し、情報入力を促します。URLが視覚的に隠れているため、怪しいと気付きにくいのが特徴です。
音声フィッシング（ビッシング）
電話を利用した音声フィッシングでは、税務署や銀行の職員を名乗る人物から電話があり、「還付金の手続き」「不正利用の確認」などの名目で個人情報やワンタイムパスワードを聞き出そうとします。攻撃者は相手の名前や電話番号を事前に把握しており、本物の電話番号を偽装する手口も確認されています。
被害事例
フィッシング詐欺による被害は後を絶ちません。例えば、2024年には国税庁を装ったメールが大量に送信され、「税金の還付手続きを行うため」として偽サイトに誘導する事案が報じられました。偽サイトにマイナンバーや銀行口座を入力した利用者の中には、預金を不正送金された人もいます。また、宅配業者を名乗るSMSから偽の再配達依頼ページに誘導され、クレジットカード情報を入力した結果、大量の不正決済が行われる被害も確認されています。このように、日常的に利用するサービスを装ったフィッシングは特に警戒が必要です。
フィッシング攻撃が増加する理由
攻撃者がフィッシングを好む理由は、低コストかつ大量に送信できる点にあります。生成AIの発達により、文体や言葉遣いが巧妙になり、個人の属性に合わせたメッセージを自動生成することも可能になりました。スマホ決済やオンライン手続きの普及で、本人確認に必要な情報がオンラインで入力される機会が増え、攻撃者にとって格好の餌場となっています。また、コロナ禍以降は行政や企業からの連絡がメールやSMSで届くことが増えたため、利用者が本物かどうかを見分けるハードルが上がっています。
新手口: AIとサイバー犯罪の融合
生成AIの登場によって、フィッシングの文面がますます説得力を増しています。攻撃者はSNSやデータブローカーから収集した個人情報を利用し、氏名、勤務先、購入履歴などを含む個人に特化した内容を自動生成します。自然な口調で書かれた詐欺メールは、従来の機械翻訳調の文面よりも違和感が少なく、利用者が疑いを持ちにくくなります。また、チャットボットに偽装したウェブサイトに生成AIを組み込み、問い合わせに対して即座に応答しながら個人情報を引き出す手口も確認されています。AIは巧妙なソーシャルエンジニアリングのツールとなっており、フィッシング攻撃をさらに高度化させています。
さらに、ディープフェイク技術を利用して企業のCEOや金融機関の担当者になりすまし、ビデオ通話や音声メッセージで指示を出す「ビデオフィッシング」も登場しています。実際に2024年には香港の企業がこの手口でAI生成のCFOの動画と電話を信じ込み、約30億円相当の送金を行ってしまったケースが報じられました。従来のメールやSMSに加え、動画や音声まで偽装の対象となりつつあり、利用者は複数チャネルにわたって注意を払う必要があります。
フィッシングの統計と世界的傾向
IPAの個人向け解説によれば、2024年のフィッシング報告件数は前年比で大幅に増加し、国内の金融機関を装ったメールが突出して多かったといいます。世界的にも、APWG（Anti‑Phishing Working Group）の統計では2024年上半期だけで約二千万件のフィッシングサイトが検出され、攻撃は多言語化・国際化の傾向を示しています。日本ではカード情報や個人番号を狙う事案が多いのに対し、欧米では暗号資産取引所やクラウドサービスアカウントを標的にするケースが増えています。
統計から分かる特徴として、攻撃者が公的機関や大手企業のブランドを悪用するケースが90%以上を占めています。攻撃メールの多くは、偽のドメイン名やサブドメインを使い、クリック率や入力率が高いように綿密なテストが行われています。さらに、休日や祝日などサポート窓口が閉まっている時間帯に大量送信する傾向も見られ、利用者が不安を感じて問い合わせ先に電話してしまう心理を巧みに突いています。
多要素認証を破る攻撃と対策
近年では、ログイン時の二要素認証を突破する手法も増えています。たとえば、攻撃者がSMSで認証コードを盗み取る「MFAリレー攻撃」や、SIMカードの再発行をなりすまして行う「SIMスワップ」を使ってワンタイムパスワードを奪うケースが報告されています。また、一部のSNSではセッションCookieが盗まれると再認証なしでログインできるため、フィッシングメールで特定のスクリプトを読み込ませてCookieを抜き取る攻撃も確認されています。
これに対抗するには、認証アプリやハードウェアトークンなど、SMS以外の多要素認証方式を採用することが有効です。さらに、一定回数以上の失敗試行でアカウントをロックする機能や、新しい端末からのログイン時に別途通知・承認が必要となる設定を有効にしましょう。サービス提供者側も、ブラウザベースのセッション管理を強化し、セッションハイジャックが困難な設計へと移行する必要があります。
企業・組織の防衛策
企業や組織にとってフィッシングは最も多い侵入経路の一つであり、従業員教育と技術的対策の両面から備える必要があります。まず、従業員向けのフィッシング対策研修や模擬攻撃を定期的に実施し、怪しいメールの見分け方や報告手順を共有します。加えて、メールサーバでSPFやDKIM、DMARCを設定することで、なりすましメールの受信を防ぐとともに、AIを活用したメールフィルタリングやサンドボックスによる動的解析を導入し、悪意のあるURLや添付ファイルを自動検出する仕組みを整備します。
さらに、ゼロトラストの考え方を取り入れ、メール経由の侵入を前提とした内部ネットワークの分割や最小特権アクセスを実施します。侵入検知システム（IDS）やエンドポイント検出応答（EDR）の導入により、フィッシングを起点としたマルウェア感染や横移動を早期に発見し、被害を最小限に抑えることができます。また、企業が保有する顧客データが流出した場合は、個人情報保護法に基づく迅速な報告と通知が必要であることを従業員に認識させておきましょう。
法制度と社会的対応
フィッシング詐欺への対策は、個人や企業だけでなく社会全体で取り組むべき課題です。日本の「不正アクセス禁止法」や「個人情報保護法」は、無断で他人のIDやパスワードを利用する行為を禁じており、罰則も設けられています。また、フィッシング対策協議会や金融ISAC（Information Sharing and Analysis Center）などの業界団体が情報共有や注意喚起を行い、被害拡大の防止に貢献しています。
消費者側の被害を減らすため、クレジットカード会社や銀行では被害補償制度を整備し、不正利用が発覚した場合のチャージバックや返金手続きを迅速化しています。本人認証の強化や早期通知によって被害額を最小限に抑える取り組みも進んでいます。国際的には、EUのPSD2（第2次決済サービス指令）により、オンライン決済における強固な顧客認証が義務化されました。日本でも、決済法改正やキャッシュレス推進法の枠組みの中で、セキュリティ要件の整備が進められています。
防御策まとめ
メッセージの真偽を疑う
フィッシング詐欺を防ぐ基本は、不審なメールやSMSに記載されたリンクを不用意にクリックしないことです。差出人のメールアドレスやドメインが正規のものか確認し、本文に不自然な日本語や過度に緊急を強調する文言がないかチェックしましょう。自治体や金融機関が個人情報やパスワードをメールで要求することはありません。
正規サイトからのアクセス
ログインや支払い手続きを行う際は、メールやSMSに記載されたリンクではなく、公式サイトをブックマークするか検索エンジン経由でアクセスします。スマートフォンからでもブラウザのアドレスバーを確認し、SSL暗号化を示す鍵マークや正しいドメイン名を必ず確認してください。
二要素認証と取引通知
多要素認証（MFA）を利用することで、IDとパスワードが盗まれても攻撃者がログインするのを防げます。金融機関のサービスや重要なアカウントでは、ワンタイムパスワードや生体認証を設定し、取引通知メールやSMSで不審なアクセスを検知できるようにしましょう。
フィッシング報告と情報共有
疑わしいメールやSMSを受け取ったら、リンクを踏まないままフィッシング対策協議会や企業の窓口に報告することが重要です。フィッシングサイトは短期間で閉鎖されることが多いため、早期報告が被害拡大を防ぎます。また、家族や職場で情報共有を行い、具体的な詐欺の例を共有して注意を促すことも有効です。
おわりに
フィッシング詐欺はメールだけでなくSMSやQRコード、電話、動画まで多様化しており、生成AIやディープフェイクによる巧妙な偽装で利用者をだます手口が増えています。しかし、メールやSMSのリンクを安易にクリックしない、正規サイトにアクセスする、多要素認証を導入する、企業側でDMARCやAIフィルタを整備するなど、基本的な対策を徹底することで被害を大きく減らすことができます。最新の詐欺事例に注意を払い、家族や職場で情報共有を図り、法制度や保険制度を活用して、フィッシング詐欺から身を守りましょう。
