用語辞典13分で読める

フィッシングとは：手口の種類と、見分けるより確実な防御

フィッシングは、信頼できる相手になりすまして偽サイトへ誘導し、パスワードや情報を盗む詐欺です。ソフトの脆弱性ではなく『人』を狙う点が特徴です。種類（スピアフィッシング・BEC・スミッシング・中間者型）と、『気をつける』より確実な防御（フィッシング耐性MFA・ドメイン確認・メール認証）を、攻撃手順を伏せて防御目線で解説します。

本文を読む

#フィッシング対策 #MFA #メールセキュリティ #ソーシャルエンジニアリング

公開日: 2026-06-13
更新日: 2026-10-06

フィッシングは、信頼できる相手のふりをして偽サイトへ誘い込む詐欺です。手口の種類と、確実な防御を解説します（攻撃手順は載せません）。

仕組み：ソフトの欠陥ではなく人の判断を狙う

XSSやSQLインジェクションがソフトの欠陥を突くのに対し、フィッシングが突くのは人間の判断です。「アカウントが停止されました」「至急ご確認ください」といった緊急性・権威・恐怖で考える隙を奪い、本物そっくりの偽サイトへ誘導してパスワードを入力させます。技術的な脆弱性がゼロのサイトでも、利用者が騙されれば認証情報は流出します。

侵入経路No.1

ランサムウェアや情報漏えいの多くがフィッシング起点。最初の侵入経路になりやすい

緊急・権威・恐怖

『今すぐ』『公式から』『止められます』で考える隙を奪うのが常套手段

AiTM

中間者型。偽サイトがワンタイムコードまで中継し、通常のMFAを突破しうる

手口の種類（呼び名は違っても、なりすまして誘導する点は同じ）

通常フィッシング

不特定多数へばらまく

スピアフィッシング

特定の個人/組織を狙い撃つ

BEC

取引先/役員になりすまし送金指示

スミッシング

SMSを使う

ビッシング

電話を使う

中間者型(AiTM)

認証を本物へ中継しMFA突破

フィッシングの代表的な種類。経路や標的は違っても『なりすまし＋誘導』の本質は同じ。

呼び名は違っても、「信頼を装って誘導する」点で共通です。特に BEC（ビジネスメール詐欺） は、マルウェアすら使わず「取引先を装った送金依頼」で大きな金銭被害を出します。技術より業務プロセスの確認で止めるべき類型です。

フィッシング・スパム・なりすましメール・サポート詐欺の違い

よく混同される言葉を並べます。重なる部分もありますが、目的が違います。

用語	目的	典型的な形
フィッシング	認証情報・カード情報を盗む、マルウェアを実行させる	企業を装ったメールやSMSから偽のログイン画面へ誘導
スパムメール	宣伝や詐欺サイトへの誘導を大量に送る	一方的な広告。フィッシングを含むこともある
なりすましメール	送信者を偽る（手段の名前）	実在のドメインや人物を名乗る。フィッシングやBECの手段になる
サポート詐欺（偽警告）	電話をかけさせて金銭や遠隔操作を求める	「ウイルスに感染しています」と画面に表示し電話番号を出す

なりすましメールは手段で、フィッシングはそれを使った詐欺、という関係です。自社ドメインがなりすましに使われないようにする設定は SPF・DKIM・DMARCの設定を、偽警告は偽警告（サポート詐欺）の対処を参照してください。

具体例：国内の状況と事件

フィッシング対策協議会によると、2025年に受け付けたフィッシングの報告は過去最多の2,454,297件で、2024年の約1.43倍でした。

事件の入り口になった例もあります。KADOKAWAのランサムウェア被害（2024）は、従業員を狙ったフィッシングで認証情報が盗まれたことが侵入口と説明されています。Coincheck NEM流出事件（2018）でも、従業員へのメールが侵入のきっかけと報じられました。また、情報漏えいを起こした企業の名前をかたる偽メールが、漏えいの直後に送られることもあります（例：メディカ出版の事案）。

防御：注意力より仕組みで止める

フィッシング耐性MFAを使う（最重要）

偽サイトに反応しない仕組みが最も確実。パスキー/物理セキュリティキー(FIDO2)はドメインに紐づくため、偽ドメイン上では原理的に認証が成立せず、中間者型(AiTM)でも突破できない。SMS/認証アプリのコードは中継されうるので、最も重要なアカウント(メール/ドメイン/決済)から優先的に耐性MFAへ（→ MFAの選び方）。

リンクを踏まず、公式へ自分から行く

メールやSMSのリンクは押さず、ブックマークや手入力で公式サイトへ直接アクセスして確認する。「アカウント確認」「請求」「配送」を装うメッセージほど、リンク経由ではなく自分の経路で開く。

メールのなりすましを技術で減らす

ドメインのSPF/DKIM/DMARCを正しく設定し、自社ドメインを騙るなりすましメールを受信側で弾けるようにする（→ SPF/DKIM/DMARCとは）。パスワードマネージャは偽ドメインでは自動入力しないので、入らないこと自体が偽サイトの手がかりになる。

緊急・権威の圧力では立ち止まる／送金は別経路で確認

「今すぐ」「役員から」「止められます」という圧力こそ詐欺の合図。急かされたら、すぐに行動せず確認する。送金や認証情報に関わる依頼は、メールの返信ではなく電話など別経路で本人確認してから動く（BEC対策で最も重要）。

突破されやすい

パスワード＋SMS/認証アプリのコードだけ。本物そっくりの偽サイトでコードごと中継（AiTM）されると、注意深くても認証情報を奪われる。「自分は見破れる」前提の防御。

止められる

ドメインに紐づくパスキー/物理キー。偽ドメインでは認証が成立しないので、利用者が騙されても突破されない。「見破れなくても安全」な仕組み側の防御。

当サイトの視点：『気をつける』は防御戦略ではない

フィッシング対策を「従業員教育」「注意喚起」だけに頼るのは危ういと当サイトは考えます。中間者型(AiTM)が当たり前になった今、どれだけ注意深い人でも、本物そっくりの偽サイト＋コード中継は防ぎきれないからです。注意は補助にはなりますが、最後の防御にはできません。頼るべきは仕組みで、ドメインに紐づくフィッシング耐性MFAを最も重要なアカウントから順に導入することです。「見破れる人を育てる」より「見破れなくても破られない」設計に投資するのが、現在の確実な方法です。

自分で確認する方法

自社ドメインのメール認証を確認する

SPF / DKIM / DMARC チェッカーにドメインを入れ、3つが設定されているか、DMARCのポリシーが p=none のままになっていないかを確認します。

届いたメールの認証結果とドメインを見る

Gmailなら「メッセージのソースを表示」、Outlookなら「メッセージのソース」で Authentication-Results の spf=・dkim=・dmarc= を確認できます。ただし合格していても、送信元のドメイン名が本物の企業のものかは別に確かめます。

パスワードマネージャの自動入力を目安にする

登録したサイトでパスワードマネージャが自動入力しないときは、ドメインが違う可能性があります。手で入力する前に、アドレスバーのドメイン名を確認します。

重要なアカウントのMFAの種類を確認する

メール・クラウド・決済・ドメイン管理のアカウントで、パスキーや物理キーが使えるかを設定画面で確認し、使えるものから切り替えます。

「自分は騙されない」という過信が最も危ない

フィッシング対策で最も注意すべきなのは、「自分は見破れる」という過信です。中間者型(AiTM)は本物そっくりの画面を出し、入力したパスワードとワンタイムコードをその場で本物のサイトに中継します。つまり注意深く正しいコードを入れても、その正しいコードごと盗まれる。だから防御の軸を「見破る注意力」に置くこと自体が間違いで、偽ドメインでは成立しない認証（フィッシング耐性MFA）という仕組みに移すのが正しい方向です。「気をつける」で止まらないことが、現代のフィッシング対策の出発点です。

出典（一次情報）

フィッシング対策協議会「フィッシングレポート 2026」 — antiphishing.jp（2025年の報告件数、DMARCを通過する独自ドメインの増加）
フィッシング対策協議会「フィッシングの報告」 — antiphishing.jp
NIST SP 800-63B-4「Digital Identity Guidelines: Authentication and Authenticator Management」 — pages.nist.gov（フィッシング耐性のある認証の定義）

次に読む

入門：二要素認証（MFA）の選び方（フィッシング耐性MFAとは）
用語：SPF/DKIM/DMARCとは（なりすましメールを技術で減らす）
用語：ランサムウェアとは（フィッシングが最大の侵入経路）
入門：パスワードの安全な保管（盗まれた認証情報を悪用させない）
用語：オープンリダイレクトとは（正規ドメインを踏み台に偽サイトへ誘導する手口）
事例：Coincheck NEM流出事件（2018）（従業員へのスピア型メールが侵入のきっかけと報じられた約580億円流出）

分類番号

CWE は脆弱性の原因となる弱点の種類を、MITRE ATT&CK は攻撃者の手口を分類した番号体系です。どちらも MITRE が管理し、脆弱性情報や検知ルールの分類に広く使われています。

ATT&CK（攻撃の手口）

T1566Phishing

© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation. MITRE ATT&CK and ATT&CK are registered trademarks of The MITRE Corporation. The MITRE Corporation (MITRE) hereby grants you a non-exclusive, royalty-free license to use ATT&CK® for research, development, and commercial purposes. Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ATT&CK Terms of Use

よくある質問

Qフィッシングは注意していれば見破れますか？

『自分は見破れる』という過信は危険です。今のフィッシングは本物そっくりの偽サイトを使い、入力したパスワードとワンタイムコードをリアルタイムで本物のサイトに中継する『中間者型(AiTM)』まであり、注意深い人でもSMSや認証アプリのコードごと盗まれます。だから基本の防御は『見破る注意力』ではなく、偽サイトには反応しない仕組み、つまりドメインに紐づくフィッシング耐性MFA(パスキー/物理キー)です。

Qフィッシングにはどんな種類がありますか？

代表的なものに、不特定多数へばらまく通常フィッシング、特定の個人/組織を狙い撃つスピアフィッシング、経営者や取引先になりすまし送金を指示するBEC(ビジネスメール詐欺)、SMSを使うスミッシング、電話を使うビッシングがあります。さらに、偽サイトで認証を本物へ中継する中間者型(AiTM)は、通常のMFAを突破できる点で特に注意が必要です。

QMFAを設定すればフィッシングは防げますか？

MFAは強く推奨しますが、方式によります。SMSや認証アプリのワンタイムコードは、中間者型フィッシングでコードごと中継されると突破されえます。突破されないのは『パスキー/物理セキュリティキー(FIDO2)』のようにドメインに紐づくフィッシング耐性MFAで、偽ドメイン上では原理的に認証が成立しません。詳しくは二要素認証(MFA)の選び方を参照してください。

Qフィッシングサイトにパスワードを入力してしまいました。どうすればいいですか？

すぐに、公式サイトやアプリから自分でアクセスしてパスワードを変更します。同じパスワードを使い回している他のサービスも変更し、多要素認証を有効にします。ログイン履歴や登録メールアドレス・転送設定が変えられていないかも確認します。カード番号を入力した場合はカード会社に、ネットバンキングの情報なら銀行に連絡し、金銭の被害があれば警察に相談します。

Qフィッシングメールはどこに報告すればいいですか？

日本ではフィッシング対策協議会が報告を受け付けています（info@antiphishing.jp へメールを転送、SMSは画面写真を添付）。リンクは開かずにそのまま転送します。あわせて、名前を使われた企業の問い合わせ窓口に知らせると、その企業が利用者へ注意喚起できます。

QSPF・DKIM・DMARCに合格したメールなら安全ですか？

安全とは限りません。メール認証が確かめるのは『そのドメインから正しく送られたか』だけで、ドメインそのものが攻撃者のものなら合格します。フィッシング対策協議会の『フィッシングレポート2026』では、2025年後半に攻撃者が自分で取得したドメインでDMARC認証を通過させる手口が急増し、12月には全体の約75.3%を占めたと報告されています。送信元のドメイン名が本物の企業のものかを確かめる必要があります。