フィッシングの報告は1か月で9万件を超えた
フィッシングとは、実在する会社を装ったメールやSMSで偽サイトへ誘い、IDやカード番号を盗む手口です。フィッシング対策協議会の「2026/09 フィッシング報告状況」によると、9月の報告は94,661件でした。前月より12,323件、約15.0％の増加です。
報告された偽サイトのURLは、重複を除いて49,032件ありました。名前を使われたブランドは105にのぼります。Amazonをかたるものが約33.2％と最も多く、カード会社や国税庁をかたるものが続きます。
年間で見ても増え続けています。警察庁によれば、令和7年（2025年）の報告は245万4,297件でした。誰の受信箱にも毎日届く前提で備えるのが現実的です。
AIで文面を作る詐欺が増えている
同じ報告書は、AIに文面を書かせたとみられるメールにも触れています。AIへの指示文が、本文に消し忘れのまま残っていた例があったそうです。不自然なメールはまだ多い一方で、表示はきれいに整ったものも確認されています。
IPAの「情報セキュリティ10大脅威 2026」では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。約250名の選考会が審議と投票で決めた順位です。
警察庁は、生成AIを使ってフィッシングサイトを改修した男らを、2025年6月に逮捕した事例を公表しています。日本語の不自然さで見抜く方法は、もう当てにできません。
名前が合っていても本物とは限らない
2026年9月は、企業の情報漏えいの公表が相次ぎました。IPAは「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）で、金融機関や通信事業者などから公表が続いていると説明しています。
協議会は、受信者の氏名が書かれたフィッシングメールを確認しています。個々の漏えいとの関係は不明としています。それでも、名前が合っているだけで信じないことが大切です。
差出人の表示も当てになりません。協議会の調査用アドレスに届いたメールでは、実在のドメインを使った「なりすまし」が約37.8％でした。文面・名前・差出人の3つは、どれも決め手にならないのです。
狙いは会社の口座とアカウント
警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」では、ネットバンキングの不正送金は4,747件でした。被害総額は約103億9,700万円です。同資料はこの不正送金について、「フィッシングがその手口の約９割を占める」と明記しています。
会社を狙う電話もあります。銀行を名乗って会社に電話し、メールアドレスを聞き出してから偽メールを送る手口です。警察庁は、地方の中小規模の金融機関でも被害が多く出たとしています。
協議会も、経理担当者を狙って書類の確認や提出を装うメールを確認しています。お金を動かす人ほど、狙われていると考えてください。
見分けずに防ぐ4つの習慣
1つ目は、メールのリンクからログインしないことです。気になる通知が来たら、いつものアプリかブックマークから開いて確かめます。本物の通知なら、そこにも同じ知らせが出ています。
2つ目は、カード番号・認証コード・口座番号を求められたら手を止めることです。3つ目は、銀行や取引先を名乗る電話は一度切り、自分で調べた代表番号に折り返すことです。4つ目は、迷ったら社内の窓口に転送して聞くことです。
パスワード管理の機能を使うと、さらに安全になります。協議会は、登録した正規サイトにだけIDを自動入力するため、偽サイトには反応しないと説明しています。パスキーが使えるサービスは、設定しておくのがおすすめです。
よくある文面と、確かめる先
文面の型ごとに、相手の狙いと確かめる先をまとめました。協議会の月次報告と警察庁の資料に出てくる手口をもとにしています。
| よくある文面 | 相手の狙い | 確かめる先 |
|---|---|---|
| 注文・配達・返金のお知らせ | IDとカード情報 | 公式アプリの注文履歴 |
| カードの不正利用を検知 | カード番号と認証コード | カード裏面の電話番号 |
| 国税庁・アプリの更新案内 | 不正アプリの導入 | 公式サイトと公式ストア |
| 銀行を名乗る電話 | 会社のメールアドレス | 取引支店の代表番号 |
| 社長の名前でLINEを作る指示 | 振り込み | 社長本人に別の手段で |
どの行も、確かめる先は「メールに書かれていない連絡先」です。表を印刷して、経理や受付の机に置いておくと役に立ちます。
AIを確認の相棒に使うときの線
怪しいメールをAIに貼って「どこが不自然か」を聞くのは、気づきを得るのに役立ちます。ただし、名前やカード番号、社内の情報は消してから貼ります（AIに入力してはいけない情報）。
AIの「たぶん本物です」は保証になりません。AIが示した電話番号も、そのまま使わないでください。本物かどうかの最後の確認は、公式アプリと人が行います。
会社で決めておく3つのこと
1つ目は、怪しいメールの転送先を1つ決めることです。2つ目は、リンクを押してしまった人を責めないと伝えることです。報告が遅れるほど、パスワードの変更やカードの停止が遅れます。
3つ目は、ログインに多要素認証を設定することです。先のIPAの注意喚起も、利用している外部サービスを洗い出し、認証を強めるよう求めています（AIアカウントの乗っ取り対策）。
何から始めるか迷ったら、IPAの「5分でできる！情報セキュリティ自社診断」が使えます。25の項目に答えると、自社の弱いところが見えます（SECURITY ACTIONの始め方）。
そのまま使えるプロンプト
社員に配る「怪しいメールが届いたときの1枚」を、AIに下書きさせます。角かっこを置き換えてください。
肝は条件5です。AIが連絡先をもっともらしく作らないよう、空欄で残させます。できあがったら担当者が読み直し、朝礼で一度読み合わせてください（AIなりすまし詐欺への備え）。
よくある質問（Q&A）
自分の名前がちゃんと書いてあるメールなら、本物ってこと？
いいえ。漏えいした情報が使われ、名前入りのフィッシングメールも確認されています。名前が合っていても、リンクからは開かず、いつものアプリかブックマークから確かめてください。
怪しいメールのリンクを押しちゃった。何をすればいい？
何も入力していなければ、画面を閉じて担当者に知らせます。IDやパスワードを入れたなら、正規のサイトからすぐ変更します。カード番号を入れたなら、カード会社に連絡してください。
怪しいメールかどうか、ChatGPTに聞いても大丈夫？
名前や番号を消してから貼れば、不自然な点を整理するのに使えます。ただしAIの判定は保証になりません。本物かどうかは、公式アプリや自分で調べた番号で確かめてください。
まとめ
- フィッシングの報告は2026年9月だけで9万件を超えた（フィッシング対策協議会）。AIで自然な文面も作られている。
- 名前・日本語・差出人は本物の証拠にならない。メールのリンクから入らず、アプリやブックマークから確かめる。
- 会社では転送先を1つ決め、押してしまった人を責めず、多要素認証を設定する。
「怪しいメールの見分け方」を研修で教えても、見分けられる型はすぐに変わります。協議会の報告でも、攻撃側は文面やブランドを数日単位で切り替えているそうです。
だからこそ、見分ける力より、入口を変える習慣が効きます。リンクではなくアプリから開く。まずはこの1つから始めてみてください。ここまで読んでくださり、ありがとうございました。
── AutoAIPlatform編集部