フィッシング詐欺とは? 偽メール・偽サイトの見分け方と対策

身近なところでは

スマホに「お荷物をお届けしましたが、不在のため持ち帰りました」というSMSが届いたことはないでしょうか。「カードの不正利用の疑いがあります。至急ご確認ください」というメールもよくあります。本文のリンクを開くと、本物そっくりのログイン画面が出てくることがあります。

こうした連絡の多くは、フィッシング詐欺です。日本のフィッシング対策協議会には、2025年の1年間に約245万件の報告が寄せられました。誰のところにも届く、ありふれた詐欺です。この記事では、人がだまされるしくみと、防ぐ方法を順に見ていきます。

フィッシング詐欺とは: 本物のふりをして、自分で入力させる

フィッシングとは、実在の会社や公的機関を装って偽のWebサイトに誘い、大事な情報を入力させて盗む詐欺です。装われるのは、銀行、カード会社、ネット通販、宅配業者、携帯電話会社などです。英語の phishing は、釣り(fishing)をもじった言葉です。えさで誘って釣り上げる様子になぞらえています。

盗まれるのは、ログインのIDとパスワード、カード番号、銀行の暗証番号などです。ログインのときにスマホへ届く確認用の数字まで、入力させる手口もあります。盗んだ情報は、不正なログインや、勝手な送金・買い物に使われます。IPA(情報処理推進機構)は、盗まれた個人情報が犯罪者の間で売り買いされるおそれも指摘しています。

ポイントは、利用者が自分の手で入力してしまうことです。パソコンに侵入されたわけではありません。パスワードがどれほど長くても、自分で偽サイトに打ち込めば相手に渡ります。そのため守りの考え方は、「強くする」より「渡さない」になります。

入り口はメールとSMS

入り口の多くは、メールとSMSです。SMSは、電話番号だけで送れる短いメッセージです。番号さえわかれば送れるため、詐欺に悪用されています。SMSを使うフィッシングは、スミッシング(SMSとフィッシングを合わせた言葉)とも呼ばれます。

偽の不在通知のSMSでは、偽サイトに誘うだけでなく、不正なアプリを入れさせる例もあります。また、メールや紙に印刷したQRコードから偽サイトに誘う手口もあります。QRコードの場合は「QRコードのしくみ」の記事で説明しています。

メールの差出人の名前は、送る側が自由に書けます。「○○銀行」と表示されていても、本物の銀行から届いたとは限りません。

しくみ1: 見えている文字と、本当の行き先は別

メールのリンクには、2つの情報があります。画面に見えている文字と、押したときに実際に開く行き先です。この2つは、作る人が別々に決められます。見えている文字が本物の会社のアドレスでも、行き先は偽サイトにできるのです。

パソコンでは、リンクの上にマウスを重ねると(クリックはしない)、本当の行き先が表示されます。Microsoftは、表示された行き先がメールの文字と合っているかを確かめるよう案内しています。スマホでも、リンクを長押しすると行き先を確かめられる機種が多くあります。ただし、行き先が見えても本物とは限りません。

しくみ2: 本物そっくりの名前を作る

Webページの住所を表す文字列をURLと呼びます。「https://」で始まる、あの文字列です。URLのうち「https://」の後から最初の「/」までが、サイトの名前にあたります。

このサイトの名前を、ドメイン名と呼びます。ドメイン名は、点で区切った右の部分ほど大きな区切りを表し、右から読みます。くわしくは「DNSとは?」で説明しています。誰の持ち物かを決めるのは、右の端の部分(図の青い文字)です。

偽サイトの名前の作り方は、大きく3つあります。図はその例です。どれも説明のために作った、架空の名前です。

1つ目は、本物の名前を左側に飾りとして入れる方法です。ドメイン名の左側は、持ち主が自由に付けられます。そのため「online-bank.example.login.example」は、右の端の「login.example」の持ち主のサイトです。左に本物の名前が見えていても、関係ありません。

2つ目は、1文字だけ違う名前です。「l(エル)」を「1(いち)」に替えたり、ハイフンを足したりします。スマホの狭い画面では、URLの一部しか表示されないこともあり、見落としやすくなります。

3つ目は、ほかの言語の文字を使う方法です。ロシア語などで使うキリル文字には、英字の「a」や「p」とほぼ同じ形の文字があります。見た目は同じでも、コンピュータにとっては別の名前です。Chromeなどのブラウザは、まぎらわしい名前を「xn--」で始まる記号の並びで表示して、気づけるようにしています。

しくみ3: 鍵マークは「本物の証明」ではない

「鍵マーク(https)があれば安全」と覚えている人も多いでしょう。しかし鍵マークが示すのは、その名前のサイトと、暗号で守られた通信ができていることだけです。偽サイトの持ち主も、自分で取ったドメイン名なら、正式な証明書(サイトの電子的な身分証)を無料で手に入れられます。

実際に、フィッシングサイトの多くがHTTPSを使っています。フィッシング対策の団体APWGの報告では、2020年7〜9月に約80%でした。Chromeは2023年、誤解を減らすため、アドレス欄の鍵マークを別のアイコンに替えました。くわしくは「HTTPSとは? 鍵マークが守っているもの・守れないもの」で説明しています。

しくみ4: 入力した情報は、その場で本物に使われる

偽サイトの裏側では、入力された情報がすぐに使われることがあります。攻撃者は、偽サイトに入力されたIDとパスワードを、その場で本物のサイトに入力します。本物のサイトが確認用の数字をスマホに送ると、偽サイトはその数字の入力も求めます。入力された数字も、すぐ本物のサイトに中継されます。

この手口は、リアルタイム型フィッシングと呼ばれます。パスワードと確認用の数字の2つで確かめるしくみも、こうして突破されることがあります。警察庁も、偽サイトに確認用の数字を入力しないよう呼びかけています。後で説明するパスキーは、この中継が効かないように作られています。

なぜ、だまされる人が絶えないのか

フィッシングが続くのは、技術の穴より、人の心の動きをねらうからです。人の心理や不注意につけ込んで情報を聞き出す手口をまとめて、ソーシャルエンジニアリングと呼びます。よく使われる工夫は、次のとおりです。

• 急がせる: 「24時間以内に確認しないと停止」のように期限を切り、考える時間を奪います。
• 不安や得をあおる: 不正利用の疑い、未払い、当選、ポイントの失効など、放っておけない話題を選びます。
• 本物をまねる: ロゴや文面、画面のデザインは、本物をそのまま写せます。2025年の報告でかたられたブランドは、229ありました。
• 時期を合わせる: 確定申告など、本物の連絡が来そうな時期に合わせて送られます(IPAの説明)。
• 大量に送れる: メールやSMSは、少ない費用で大勢に送れます。ごく一部の人がだまされるだけで、もうけが出るのです。

だまされた人が、特別に不注意だったわけではありません。本物の会社も、メールやSMSで大事な連絡をします。忙しいときに本物そっくりの連絡が来れば、誰でも押してしまう可能性があります。だからこそ、見分ける力だけに頼らないしくみが大切です。

防ぎ方1: リンクから開かず、自分で開いて確かめる

いちばん効く習慣は、メールやSMSのリンクからログインしないことです。気になる連絡が来たら、そのサービスの公式アプリか、前に登録したブックマークから開きます。フィッシング対策協議会の利用者向けの指針(2026年度版)も、この方法を勧めています。

ブックマークは、最初の1回だけ、正しいドメイン名を確かめて自分で入力して作ります。アプリは、公式のアプリストアから入れます。電話で確かめるときも、メールに書かれた番号にはかけません。カードなら、裏面に書かれた問い合わせ先にかけます。

防ぎ方2: パスワードマネージャーの自動入力を「確認」に使う

パスワードを保管し、ログイン画面で自動で入力してくれる道具を、パスワードマネージャーと呼びます。ブラウザやスマホにも組み込まれています。多くのパスワードマネージャーは、登録したときのドメイン名と合うサイトでだけ、自動入力の候補を出します。

この性質は、偽サイトに気づくきっかけになります。いつもは自動で入るのに、今日は候補が出ない。そんなときは、名前の似た別のサイトを開いている可能性があります。GoogleやMicrosoftのブラウザの説明でも、この点を守りの1つに挙げています。

注意点もあります。候補が出ないときに、保管したパスワードを手で写して入力してはいけません。また、本物のサイトでも、ログイン画面の住所が変わると候補が出ないことがあります。自動入力は決め手ではなく、「おかしいぞ」と立ち止まる合図として使います。

防ぎ方3: 多要素認証と、だまされにくいパスキー

パスワードのほかに、スマホなど別のものでも本人を確かめる方法が多要素認証です。パスワードが盗まれても、それだけではログインされにくくなります。使えるサービスでは、有効にしておきましょう。

ただし、リアルタイム型フィッシングでは、確認用の数字も中継されます。人が数字を読んで入力する方式は、偽サイトに入力してしまえば守れません。そこで広がっているのが、パスキーというログインの方法です。業界団体のFIDOアライアンスなどが作った規格にもとづいています。

パスキーでは、スマホやパソコンが、サイトごとに専用の「秘密の鍵」を持ちます。サイトには、対になる「公開用の鍵」だけを預けます。ログインのとき、端末は秘密の鍵でデジタル署名を作って送ります。署名は、その鍵を持つ端末にしか作れないしるしで、秘密の鍵そのものは端末から出ません。

大事なのは、鍵が、登録したサイトの名前と結びついていることです。ブラウザは、いま開いているサイトの名前を端末に伝えます。偽サイトの名前は登録した名前と違うので、端末は署名を作りません。人が見分けに失敗しても、機械が名前を照らし合わせて止めてくれるのです。

パスキーを使うときは、指紋や顔、画面ロックの暗証番号で確認します。これは端末の中で鍵を使ってよいかを確かめるためで、指紋や顔のデータがサイトに送られるわけではありません。2022年5月には、Apple・Google・Microsoftが、パスキーへの対応を広げると共同で発表しました。ただし、まだ使えないサービスもあります。パスワードでのログインが残っていれば、そちらは狙われえます。また、パスキーが守るのはログインだけです。偽サイトにカード番号などを打ち込めば、やはり盗まれます。

防ぎ方4: フィルターと警告にも働いてもらう

メールやSMSには、怪しいものを自動でよけるフィルターがあります。ブラウザにも、報告された偽サイトを開こうとすると、警告の画面を出す機能があります。フィッシング対策協議会の指針も、こうした機能を有効にすることを勧めています。

ただし、どれも「すでに見つかった偽物」をよけるしくみが中心です。作られたばかりの偽サイトは、すり抜けることがあります。警告が出たら先に進まず、出なくても安心しない、という使い方が合っています。

入力してしまったら

偽サイトに入力してしまったと気づいたら、次の順で手を打ちます。早いほど、被害を小さくできます。

1. パスワードを変える: 本物のサイトを公式アプリかブックマークから開いて変えます。同じパスワードを使っているほかのサービスも、すべて変えます(警察庁の案内)。
2. カード番号を入力したら、カード会社に連絡する: カードの裏面の問い合わせ先に電話して、カードを止めてもらいます(日本クレジット協会・警察庁の案内)。
3. 銀行の情報を入力したら、銀行に連絡する: 暗証番号や確認用の数字を入力した場合も、すぐに金融機関に知らせます。
4. 警察に相談する: 都道府県警察の相談窓口や、警察の相談専用電話「#9110」に相談します。メールや偽サイトのURL、画面の写真は消さずに残しておきます。

ログインの記録を見られるサービスでは、知らない端末からのログインや、登録情報の変更がないかも確かめましょう。

リンクを開かず、何も入力していなければ、メールやSMSは削除すれば十分です。IPAも、身に覚えのないメールやSMSは無視して削除するよう勧めています。ただし、偽のSMSなどからアプリを入れてしまった場合は別です。IPAは、機内モードにしてアプリを削除し、端末の初期化とパスワードの変更をするよう案内しています。

よくある誤解

数字で見る

報告件数は、協議会に届いた報告の数で、だまされた人の数ではありません。同じ偽メールを、大勢が報告することもあります。それでも、送られてくる量の多さを知る目安になります。

ネットバンキングの不正送金の被害額は、2025年に約104億円となりました。それまで最も多かった2023年の約87.3億円を上回っています。警察庁は、2024年と2025年の不正送金について、手口の約9割をフィッシングとしています。

もっと詳しく学ぶ

• 鍵マークと証明書が守るもの・守らないもの: HTTPSとは?
• パスワードの保存のしかた、使い回しの危険、多要素認証のしくみ: パスワードはなぜ破られる?
• ドメイン名を右から読む理由と、名前から番号を調べるしくみ: DNSとは?
• パスキーの土台にある技術: 暗号とは?、公開鍵暗号
• ファイアウォールで偽サイトを止めにくい理由: ファイアウォールとは?
• 会社で多要素認証が当たり前になった背景: 境界型防御とゼロトラストの違い
• パスワードの長さと強さを計算で試す: パスワードの総当たり時間の計算ツール