フィッシングとは？手口の種類・見分け方と企業が取るべき組織的対策を解説

フィッシングとは、実在する企業や公的機関になりすましたメールやSMSで偽サイトへ誘い込み、ID・パスワードやカード番号といった情報を入力させて盗み取る攻撃です。読み方は「フィッシング」。fishing（釣り）とsophisticated（洗練された）を掛けた造語とされ、餌をまいて情報を釣り上げる手口を指します。この記事では、なりすましの仕組みと、メール型からSMSのスミッシング、電話のビッシング、認証を実時間で突破する中間者型まで手口の種類を整理します。偽サイトの見分け方、そして引っかかったときの初動対応もあわせて解説。個人の注意任せで終わらせず、送信ドメイン認証とフィッシング耐性のある多要素認証で組織的に止める判断基準を、事業会社の担当者向けに示します。

まとめ｜フィッシング対策は個人の注意任せをやめ組織の防御で止める

フィッシングの被害は、利用者が「うっかりクリックした」個人の不注意に見えて、その多くは組織の設計で防げます。攻撃者は正規の差出人表記を偽装し、生成AIで自然な日本語を作り、本物と区別できない偽サイトを短時間で用意します。人の目視だけで見破り続けるのは前提として無理があり、対策の主軸は技術と運用の側に置くべきです。

企業がまず投資すべきは、高価な検知製品ではありません。自社ドメインのなりすましメールを受信側で弾く送信ドメイン認証（SPF・DKIM・DMARC）を正しく運用し、突破されても被害に至らないよう、SMSのワンタイムパスワードではなくパスキーなどフィッシング耐性のある多要素認証へ移すことです。従業員教育は必要ですが、年1回の訓練メールだけで完了とみなすのは失敗します。認証情報を1つ盗まれた瞬間に、ランサムウェア感染や情報漏洩へ連鎖する前提で、多層で受け止める設計に切り替えてください。

フィッシングとは何か｜なりすましで認証情報を盗む攻撃の仕組み

言葉の意味と、攻撃者が何を狙っているかをまず押さえます。ここが曖昧だと、対策が「怪しいメールを開かない」という個人の心構えで止まってしまいます。

フィッシングの定義と名称の由来｜情報を釣り上げる攻撃という意味

フィッシング（phishing）は、信頼できる送信元を装って偽のWebサイトやフォームへ誘導し、認証情報や個人情報を入力させて詐取する行為です。銀行、カード会社、宅配業者、ECサイト、そして社内の情報システム部門まで、なりすましの対象は実在の組織全般に及びます。狙いはウイルスでファイルを壊すことではなく、正規の利用者になりすますための「鍵」、つまりIDとパスワードやカード情報そのものです。盗んだ認証情報で正規ルートからログインされるため、システム側からは正しい利用者の操作に見えてしまう点が厄介です。

攻撃者がフィッシングを多用する主な理由と企業の被害へ発展する経路

フィッシングが減らないのは、費用対効果が攻撃者に有利だからです。サーバーの脆弱性を突く攻撃と違い、フィッシングは人の判断の隙を突くため、高度な技術がなくても成立します。偽サイトのひな型や送信基盤は闇市場で流通し、数万件のメールを一斉配信するのに大きな元手は要りません。フィッシング対策協議会の月次報告では、2024年を通じて月あたり十数万件規模の報告が続きました（公表値は時点で変動します）。個人の金銭被害にとどまらず、盗まれた社員アカウントが社内ネットワークへの侵入口になり、企業全体の被害へ発展する経路が現実の脅威です。

迷惑メール・スパムとの関係とフィッシングが手元に届くまでの経路

フィッシングの入口の多くは、無差別に大量配信される迷惑メールやSMSです。ばらまき型では、実在企業を装った文面に偽サイトのリンクを載せ、受信者の一部が反応することを見込みます。迷惑メール全般の手口と対策はスパムの手口と企業が取るべき対策を解説した記事で扱っていますが、フィッシングはその中でも「情報を盗む」目的に特化した悪質な一類型です。電話番号宛てのSMSや、SNSのダイレクトメッセージを配送経路にする例も増えています。

フィッシングの主な種類｜メール・SMS・音声から中間者型まで

フィッシングは配送経路と標的の絞り込み方で手口が分かれます。守り方も型ごとに変わるため、種類の把握が対策選定の前提です。代表的な型を、被害の起き方とあわせて整理します。

ばらまき型メールとSMSを悪用するスミッシングの主な手口と特徴

最も一般的なのが、メールを大量配信するばらまき型と、SMSを悪用するスミッシング（smishing）です。宅配便の不在通知、カード利用の確認、キャリア料金の未納通知などを装い、短縮URLや正規に似せたドメインへ誘導します。スマートフォンのSMSは表示領域が狭くURL全体を確認しにくいため、パソコンのメールより見破りにくいのが実情です。決済サービスをかたる例も多く、「paypay」など具体的なサービス名を含む偽メッセージが実際に出回っています。

電話をかけさせるビッシングとQRコードを悪用するクイッシング

文字のリンクだけがフィッシングの経路ではありません。ビッシング（vishing）は、メールやSMSで「至急お電話ください」と偽の窓口へ電話をかけさせ、口頭で暗証番号やワンタイムパスワードを聞き出します。クイッシング（quishing）は、メール本文やポスター、封書にQRコードを載せ、読み取らせて偽サイトへ飛ばす手口です。QRコードは人の目でリンク先を判別できず、メール防御製品のリンク検査も画像の中までは追いにくいため、対策の盲点になりやすい経路です。

特定の相手を狙うスピアフィッシングとBEC（ビジネスメール詐欺）

不特定多数ではなく、特定の個人や企業を狙い撃つのがスピアフィッシングです。事前に役職や取引関係を調べ上げ、本人が受け取って不自然でない文面を作り込みます。この標的型を経理・財務に向けて発展させたのがBEC（Business Email Compromise、ビジネスメール詐欺）で、取引先や自社役員になりすまして偽の口座へ送金させます。BECはマルウェアを使わず、正規のやり取りに割り込む形で成立するため、ウイルス対策製品では検知できません。1件あたりの被害額が大きく、企業にとっては金銭損失の直撃点です。

多要素認証を実時間で突破する中間者型（リアルタイムフィッシング）

対策が進んだ今、攻撃側の主戦力になりつつあるのが中間者型、いわゆるリアルタイムフィッシングです。偽サイトが利用者と本物のサイトの間に立ち、入力されたIDとパスワード、さらにSMSやアプリで届くワンタイムパスワードまで、その場で本物のサイトへ中継します。利用者が正規の手順で認証を通したつもりでも、攻撃者が同時にログインを完了させ、セッションを乗っ取られる仕組みです。「多要素認証を入れたから安全」という思い込みが崩れるのがこの型で、後述するフィッシング耐性のある認証方式が防御の分かれ目になります。

偽サイトの見分け方とフィッシングに引っかかったときの初動対応の手順

技術で防ぎ切れなかったぶんは、人の見極めと事後対応で被害を抑えます。ここでは偽サイトを疑うチェック観点と、入力してしまった後にやるべきことを、順番も含めて示します。

偽サイトを疑う複数のチェック観点と鍵マークだけを過信しない理由

まず、メールやSMSのリンクからではなく、公式アプリやブックマークから正規サイトへアクセスする習慣が最大の防御です。そのうえで疑うべき観点を挙げます。

• ドメイン名が正規のものと1文字違い（oを0、lを大文字のIに置換など）でないか
• 「アカウントを停止しました」「至急確認を」と、時間的な焦りをあおる文面でないか
• 差出人の表示名は正規でも、メールアドレスのドメインが無関係でないか
• 日本語が不自然、または逆に不自然さがなくても、送信元が本物と確認できているか

錠前（鍵マーク）が表示されていても安心はできません。無料の証明書で通信の暗号化だけを施した偽サイトが一般化しており、鍵マークは「通信が暗号化されている」ことしか保証しません。運営者が正規かどうかとは別の話です。生成AIで日本語の不自然さも消えつつあるため、文面の巧拙で判断する時代は終わりつつあります。

フィッシングで情報を入力してしまったとき最初に取るべき初動対応

情報を入力してしまっても、動きが速ければ被害を止められます。慌てて放置するのが最悪手です。

1. 入力したパスワードを、正規サイトへ正しくアクセスし直して即座に変更する
2. 同じパスワードを使い回している他サービスも、すべて変更する
3. カード情報を入力したなら、カード会社へ連絡して利用停止・再発行を依頼する
4. 不正ログインや身に覚えのない取引の履歴を確認する
5. 企業アカウントなら、情報システム部門へ即報告し、当該アカウントを一時停止する

個人であれば、フィッシング対策協議会や警察の相談窓口へ情報提供する道もあります。社員が業務アカウントで被害に遭った場合は、本人を責めて報告を遅らせるより、早期申告を促す運用のほうが有効です。1つのアカウント侵害が全社的な情報漏洩の起点になり得るため、初動の速さが実害を左右します。

企業が取るべきフィッシング対策の判断｜教育と技術的防御の優先順位

ここは投資判断が割れる論点ですが、立場を明確にします。結論から言えば、企業が最初に手を付けるべきは高価な検知製品ではなく、送信ドメイン認証の適正運用とフィッシング耐性のある認証への移行です。従業員教育はその土台の上に乗せるもので、順番を逆にすると費用をかけても穴が残ります。

送信ドメイン認証（SPF・DKIM・DMARC）で自社の偽装を弾く

自社をかたるフィッシングを減らす起点は、送信ドメイン認証です。SPFは送信を許可したサーバーを、DKIMは電子署名で改ざんの有無を、DMARCはこの2つの検証結果をもとに「認証に失敗したメールをどう扱うか（隔離・拒否）」を宣言します。DMARCを監視だけの状態で放置せず、拒否のポリシーまで引き上げて初めて、自社ドメインのなりすましが受信側で弾かれます。2024年以降、大手メール事業者が大量送信者に送信ドメイン認証の設定を求める動きが広がり、設定は「やっておくと良い」から前提条件へと位置づけが変わりました。具体的な設定強化の全体像は、フィッシング対策ガイドライン2026年度版が示すDMARC強化を解説した記事で扱っています。

SMSワンタイムパスワードを見限りフィッシング耐性MFAへ移す判断

多要素認証を入れても、SMSやアプリのワンタイムパスワードは、前述の中間者型フィッシングで実時間で中継され突破されます。ここでの判断は明確です。金銭や個人情報を扱う認証は、SMS OTPを最終防衛線と見なさず、パスキー（FIDO2/WebAuthn）などフィッシング耐性のある方式へ移行してください。パスキーは、アクセス先のドメインに認証情報が紐づくため、偽サイトでは原理的に成立せず、中間者型を無効化します。すべてを一度に置き換えるのが難しくても、被害の直撃点となる管理者権限や決済に関わる認証から優先的に切り替える、という順序で進めるのが現実的です。

従業員教育を年1回の訓練メール実施だけで終わらせない設計の要点

教育は要りますが、失敗パターンをはっきりさせておきます。年1回の標的型メール訓練を実施し、開封率を測って報告書にまとめた時点で「対策済み」とみなすのが、最も陥りやすい失敗です。訓練は開封してしまった人を罰する場ではなく、報告のしやすさと初動の速さを鍛える場に設計し直すべきです。「怪しいと思ったら即報告してよい」「報告したことは評価する」という文化と、報告窓口の即応体制がないと、中間者型のように巧妙な攻撃の前では訓練の効果が続きません。人の判断はいずれ突破される前提で、教育は「気づいて報告する速度」に目標を置くのが妥当です。

盗まれた認証情報をランサムウェア被害にまで連鎖させない多層防御

フィッシングを組織の脅威として見るなら、盗まれた1つのアカウントがどこまで被害を広げるかで設計します。攻撃者は盗んだ認証情報で社内へ侵入し、権限を広げてデータを持ち出し、最終段階でランサムウェアの仕組みと目的を解説した記事で扱うような暗号化・脅迫にまで至るのが典型的な流れです。この連鎖を断つには、認証を1点突破されても被害が横に広がらない多層の設計が要ります。境界防御を担うVPNの仕組みと企業導入の判断基準を解説した記事や、不審な通信を検知する仕組みを組み合わせ、権限の最小化と通信の監視で被害範囲を封じ込める設計が現実的です。自社のシステムでどこまでの防御を実装できるか判断に迷う場合は、認証基盤やネットワーク設計を含めたWebシステム開発・運用の外部委託を検討する余地があります。

よくある質問

フィッシングについて、検索で多く寄せられる疑問に簡潔に答えます。

フィッシング詐欺とフィッシングは同じ意味ですか？

ほぼ同じ意味で使われます。フィッシングは、なりすましで情報を盗む手口そのものを指す技術用語で、フィッシング詐欺はその手口による金銭・情報の被害を強調した言い方です。実務上はどちらも、偽メールや偽サイトで認証情報やカード情報を詐取する攻撃を指します。攻撃の仕組みを理解する目的なら「フィッシング」、被害の相談や対処を調べる目的なら「フィッシング詐欺」で検索されることが多い違いにとどまります。

フィッシングに引っかかったらどうすればいいですか？

まず入力したパスワードを正規サイトで即変更し、同じパスワードを使い回している他サービスも変更します。カード情報を入力した場合はカード会社へ連絡し、利用停止と再発行を依頼してください。不正利用の履歴を確認し、業務アカウントなら情報システム部門へ即報告してアカウントを一時停止します。放置せず、初動を速くすることが被害を最小化する鍵です。

フィッシングメールはどうやって見分ければよいですか？

メールやSMSのリンクからではなく、公式アプリやブックマークから正規サイトへアクセスするのが最も確実です。ドメインが1文字違いでないか、焦りをあおる文面でないか、差出人アドレスのドメインが正規かを確認します。鍵マーク（暗号化）は運営者が正規である保証にはなりません。生成AIで日本語の不自然さも消えつつあるため、文面の巧拙だけで判断しない前提が要ります。

多要素認証を設定していればフィッシングは防げますか？

完全には防げません。SMSやアプリのワンタイムパスワードは、中間者型（リアルタイムフィッシング）の偽サイトが実時間で本物へ中継し、突破される場合があります。より確実なのは、アクセス先のドメインに認証情報が紐づくパスキー（FIDO2/WebAuthn）などフィッシング耐性のある方式です。偽サイトでは原理的に認証が成立しないため、中間者型を無効化できます。

企業がまず取り組むべきフィッシング対策は何ですか？

送信ドメイン認証（SPF・DKIM・DMARC）を適正に運用し、自社をかたるなりすましメールを受信側で弾くことが起点です。あわせて、決済や管理者権限に関わる認証をフィッシング耐性のある方式へ移行します。従業員教育はその土台の上に乗せるもので、気づいて即報告する速度を鍛える設計が要点です。高価な検知製品の導入より、この順序で穴を塞ぐほうが費用対効果は高くなります。

関連記事

• VPNとは？仕組み・種類・企業導入の判断基準：ネットワーク境界防御の全体像を押さえるハブ記事です。
• スパムとは？迷惑メール・SMS・SNSの手口と対策：フィッシングの主な配送経路となる迷惑メールの防ぎ方を扱います。
• ファイアウォールとは？仕組みと種類・選び方：社内への侵入を食い止める境界防御の基礎です。
• IDS・IPSとは？違い・仕組みと使い分け：認証突破後の不審な通信を検知する観点で補完します。
• UTMとは？統合脅威管理の機能と選び方：メール・Webの脅威を1台で束ねる中小規模向けの入口対策です。