企業活動のデジタル化が進む中、フィッシング詐欺は個人の金銭被害にとどまらず、企業の情報漏洩や不正アクセス、ランサムウェア感染につながるセキュリティリスクとなっています。
近年は、メールによる偽サイト誘導に加え、SMSを使ったスミッシング、QRコードを悪用したクイッシング、経営層や財務担当者を狙うビジネスメール詐欺（BEC）など、手口が多様化しています。生成AIの普及により、文面の不自然さだけでは判別しづらい攻撃も増えてきました。
この記事では、フィッシング詐欺の基本的な仕組み、広がっている背景、主な手口、見分け方、企業と従業員が取るべき対策を解説します。
目次
フィッシング詐欺とは
フィッシング詐欺とは、実在する企業・金融機関・公的機関などを装った偽メールや偽サイトに誘導し、ID、パスワード、クレジットカード情報などを騙し取る攻撃手法です。名称は「fishing（釣り）」が語源とされ、餌を撒いて利用者を「釣り上げる」イメージに由来するといわれます。
従来はメールを使った手口が中心でしたが、現在はSMS、SNS、QRコード、電話など複数のチャネルが悪用されるようになりました。攻撃者は、利用者の不安や焦りを誘う文面を用い、偽サイトへのアクセスや情報入力を促します。
企業にとってフィッシング詐欺が深刻なのは、従業員の認証情報が盗まれることで、企業ネットワークへの不正侵入、情報漏洩、ランサムウェア感染の入口になり得る点です。偽メールやSMSに含まれる不審なリンクを従業員1人がクリックしてしまうだけで、組織全体のセキュリティインシデントに発展する可能性があるため、個人の注意喚起だけでなく、企業としての技術的・運用的な対策が求められます。
・参考：
フィッシングとは？手口や最新事例、効果的な対策を解説
フィッシング詐欺被害の現状
フィッシング詐欺は前年から増加しており、高い水準が続いています。背景には、攻撃者が低コストで大量に偽メールや偽SMSを送信できる状況が生まれていることに加え、攻撃ツールキットの流通や生成AIの普及により、攻撃の実行ハードルが下がっている現状があります。
■フィッシング詐欺に関する統計データ
※フィッシング対策協議会「月次報告書」（2026年4月）
フィッシング対策協議会の「月次報告書」（2026年4月）によれば、2026年4月のフィッシング報告件数は151,112件で、前月比28,731件増となりました。同月に報告されたフィッシングサイトのURL件数は66,574件、悪用されたブランドは117ブランドにのぼっています。
ブランド別では、Amazonをかたるフィッシングが約14.4%、Appleをかたるものが約11.6%を占め、楽天カード、セゾンカード、PayPayカードを加えた上位5ブランドで全体の約47.8%を占めました。分野別では、クレジット・信販系、EC系、証券系など、利用者の多い領域に攻撃が集中しています。
また、2026年4月にはSMSから偽サイトや不正な決済画面へ誘導するスミッシングが再び増加し、PayPayや東京電力を装った文面の報告が多く寄せられました。さらに、偽のフィッシングサイトではなく決済サービスの正規URLへ誘導し、送金させる手口も増えています。正規ドメインの決済画面を悪用するため、URLや見た目だけでは判別しづらい点が特徴です。
フィッシング詐欺の主な種類
フィッシング詐欺は、誘導経路や標的によって複数の種類に分類できます。種類ごとに有効な対策が異なるため、自社の従業員がどの手口にさらされやすいかを把握することが、対策の第一歩となります。
■フィッシング詐欺の主な種類
メール型フィッシング（従来型）
メール型フィッシングは、銀行、クレジットカード会社、ECサイト、宅配業者、公的機関などを装った偽メールから偽サイトへ誘導する手口です。メール本文中のURLやボタンをクリックさせ、ログイン情報やクレジットカード情報を入力させます。
本物のメールに似せたロゴ、文面、差出人名が使われることが多く、視覚的な印象だけでは判断しづらくなっています。そのため、送信元ドメインの確認やリンク先URLの精査が必要です。
スミッシング
スミッシングは、SMSを使ったフィッシング詐欺です。宅配不在通知、金融機関からの利用確認、公的機関からのお知らせなどを装い、偽サイトへ誘導します。
SMSはスマートフォンに直接届き、メールよりも確認されやすいため、クリックされるリスクが高い傾向があります。「至急」「アカウント停止」など緊急性を演出しやすく、利用者が反射的に操作してしまう点に注意が必要です。
・参考：
スミッシングとは？
ヴィッシング
ヴィッシングは、電話を使って情報を聞き出すフィッシング詐欺です。金融機関、クレジットカード会社、社内IT部門、取引先などを装い、認証情報、確認コード、送金情報などを聞き出します。
近年は音声合成技術を悪用し、実在の経営幹部や取引先担当者になりすますケースも指摘されています。電話だけで重要情報を伝えない、社内電話帳や公式番号など別経路で本人確認する、といった運用ルールが必要です。
・参考：
ヴィッシングとは？
クイッシング（QRコード詐欺）
クイッシングは、QRコードを悪用したフィッシング詐欺です。メール、チャット、印刷物、掲示物などに掲載されたQRコードから偽サイトへ誘導します。
QRコードは読み取るまでURLが見えにくく、セキュリティ製品によるURL検査をすり抜けやすい点がリスクです。駐車場やポスターなど物理的な掲示物に偽QRコードが貼られる事案もあるため、読み取り後はアクセス前にURLを確認するルールを徹底する必要があります。
・参考：
クイッシングとは？
スピアフィッシング
スピアフィッシングは、特定の個人、部署、企業を狙って作りこまれたフィッシング詐欺です。対象者の氏名、役職、取引先、業務内容などを事前に調査し、違和感を持たれにくい内容で接触します。
不特定多数にばらまくフィッシングより見破りにくく、標的型攻撃の入口になることが多いため、機密情報を扱う部署では通常以上に厳格な確認手順を運用する必要があります。
・参考：
スピアフィッシングとは？
ビジネスメール詐欺（BEC）・ホエーリング
ビジネスメール詐欺（BEC）は、経営幹部、取引先、上司などになりすまし、不正送金や機密情報の送付を指示する手口です。特に経営層や財務担当者などを狙うものは「ホエーリング」と呼ばれます。
1件あたりの被害額が大きくなる傾向があるため、メールだけで判断せず、電話や社内承認フローで二重確認することが重要です。送金プロセスにおける承認権限の分散も有効な対策となります。
・参考：
ホエーリングとは？
フィッシング詐欺で起こる被害
フィッシング詐欺の被害は、IDやパスワードの盗難にとどまりません。盗まれた認証情報を使って業務システムに不正ログインされると、顧客情報や機密情報が漏洩する可能性があります。経営幹部や取引先になりすましたメールにより、財務担当者が不正送金に応じてしまうケースも少なくありません。
さらに、フィッシングメールのリンクや添付ファイルをきっかけにマルウェアに感染し、ランサムウェア被害につながることもあります。フィッシング詐欺は単発の詐欺ではなく、企業への本格的なサイバー攻撃の入口にもなり得るため、すべての企業が「自社にも起こり得るリスク」として備える必要があります。
フィッシング詐欺を見分けるポイント
フィッシング詐欺は年々巧妙化しており、見た目だけで判別することは困難になっています。生成AIの普及により、日本語の違和感だけに頼る判断にも限界があります。そのため、ドメイン、URL、操作要求の3点をルーティンとして常に確認する習慣が重要です。
■フィッシング詐欺の確認ポイント
フィッシング詐欺が疑われるメールやSMSを受け取った場合は、以下の項目を確認し、正規の連絡かどうかを慎重に判断します。
<フィッシング詐欺を見分ける主な確認項目>
- 送信元メールアドレスの確認：正規ドメインに似せた偽ドメインや、見慣れない差出人に注意する
- リンク先URLの確認：表示されたリンク文字ではなく、実際の遷移先URLを確認する。「https」で始まっていても安全とは限らない
- QRコード読み取り後の確認：見知らぬQRコードを安易に読み取らず、アクセス前にURLや遷移先を確認する
- 緊急性をあおる文言の確認：「今すぐ対応しないとアカウント停止」「至急確認」など、冷静な判断を妨げる表現に注意する
- 添付ファイルの確認：請求書、通知書、確認書などを装ったファイルでも、心当たりがない場合は送信元に別経路で確認する
- 確認の徹底：少しでも怪しいと思ったら、必ず公式サイトでURLを確認する
ただし、これらの項目に問題がないように見えても、フィッシング詐欺ではないと断定できるわけではありません。少しでも不審な場合は、メールやSMS内のリンクから操作せず、公式アプリや公式サイトを自分で開き、アカウント通知、請求情報、配送状況、取引履歴などに同様の案内があるかを確認します。確認できない場合は、公式サイトに掲載された問い合わせ窓口へ連絡することが重要です。
フィッシング詐欺が疑われる場合の対応
フィッシング詐欺が疑われる場合は、慌てて操作を続けず、被害状況に応じて段階的に対応する必要があります。判断を誤ると被害が拡大する可能性があるため、平時から「どの段階で何をするか」を組織のルールとして明文化することが重要です。
メールやSMSを開いただけであれば、リンクや添付ファイルを開かず、社内の報告ルールに従って情報セキュリティ担当へ報告します。リンクをクリックした場合は、偽サイトで情報を入力しないことが最優先です。すでにID・パスワードを入力した場合は、すみやかにパスワードを変更し、同じパスワードを使い回している他サービスも見直す必要があります。
添付ファイルを開いた場合や、端末の挙動に異変がある場合は、端末をネットワークから切り離し、社内のセキュリティ担当者やCSIRTに報告します。自己判断で再起動したりログを削除したりすると調査に支障が出るため、組織の手順から外れた行動を取らないことが重要です。
企業と従業員がとるべきフィッシング詐欺対策
フィッシング詐欺は、従業員一人ひとりの注意だけで完全に防ぐことは困難です。そのため、企業として技術的な対策と教育・運用面の対策を組み合わせる必要があります。
個人の「見抜く力」に依存するのではなく、誤って不審なメールやSMSに含まれるリンクをクリックした場合でも被害を広げない仕組みを整えることが、現代のフィッシング対策の基本です。
技術的対策
技術的対策では、フィッシングメールが従業員に届く前に遮断する仕組みと、届いた場合でも被害を拡大させない仕組みを組み合わせます。なりすましメール対策、URLアクセス制御、認証強化、エンドポイント保護など、多層防御を構成することが重要です。
<技術的対策で実施すべき主な項目>
- メール認証の設定：SPF・DKIM・DMARCを設定し、なりすましメールの送受信リスクを下げる
- フィッシングサイトへのアクセス遮断：URLフィルタリングやWebレピュテーションにより、フィッシングサイトへのアクセスを自動的にブロックする
- 認証情報の保護：多要素認証（MFA）を導入し、ID・パスワードが盗まれた場合でも不正ログインを防ぎやすくする
- 端末上の不審挙動の検知：エンドポイント保護やEDRにより、フィッシング経由で侵入したマルウェアや不審な挙動を検知し、隔離・調査につなげる
人的・運用面の対策
人的・運用面の対策では、技術で防ぎきれない部分を組織のルールと教育で補完します。疑似フィッシングメールを使った訓練、最新手口の周知、不審メール受信時の報告フロー整備、重要手続きの二重確認を組み合わせることが有効です。
従業員の判断力に過度に依存せず、「誰でも実行できるシンプルな運用」に落とし込むことが大切です。
<人的・運用面で実施すべき主な項目>
- フィッシング訓練の実施：疑似メールを使い、従業員が実際の攻撃に近い状況で対応を学べるようにする
- 最新手口の周知：クイッシング、スミッシング、BECなど、手口の変化を定期的に共有する
- 報告フローの整備：不審なメールやSMSを受け取った際の報告先と報告手順を明確にする
- 重要手続きの二重確認：送金、振込先変更、機密情報共有などは、メールだけで判断せず電話や承認フローで確認する
TrendAI Vision One™ でフィッシング詐欺の脅威に対応する
フィッシング詐欺は、メール、Webサイト、QRコード、SMSなど複数の経路で広がっており、人の目だけで見抜くことは困難になっています。また、認証情報の窃取だけでなく、マルウェア感染、不正アクセス、ランサムウェア被害の入口になることもあります。
TrendAI Vision One™ は、サイバーリスクエクスポージャ管理、セキュリティ運用、多層的な保護を一元化するエンタープライズサイバーセキュリティプラットフォームです。エンドポイント、クラウド、ネットワーク、メール、ID、データなど、企業のIT環境全体にわたるリスクや脅威を可視化し、対策の優先順位付けを支援します。
また、XDR、Agentic SIEM、Agentic SOARを含むSecurity Operations（SecOps）により、脅威の検知・調査・対応をプロアクティブに実行することが可能です。フィッシングを起点とする攻撃についても、複数領域を横断して兆候を把握し、初動対応の迅速化を支援します。
フィッシング詐欺を起点とするサイバー攻撃への備えを強化したい場合は、TrendAI Vision One™ の導入をご検討ください。
TrendAI Vision One™
プロダクトマネジメント担当バイスプレジデントのScott Sargeantは、サイバーセキュリティとIT分野で25年以上にわたりエンタープライズクラスのソリューションを提供してきた、経験豊富なテクノロジーリーダーです。
よくあるご質問（FAQ）
フィッシング詐欺とスパムメールの違いは何ですか？
スパムメールは、不特定多数に送られる迷惑メール全般を指し、広告メールや不審な勧誘メールなども含まれます。一方、フィッシング詐欺は、実在する企業やサービスを装い、認証情報や個人情報を盗むことを目的としている点が違いです。
フィッシング詐欺は、情報窃取や不正ログイン、ランサムウェア感染、不正送金につながる危険性があるため、スパムメールとは区別して対策を講じる必要があります。
QRコードを使ったフィッシングはなぜ危険ですか？
QRコードは、読み取るまでURLが見えにくいため、不審なリンクだと気付きにくい点が大きなリスクです。メール本文中のURLと異なり、セキュリティ製品の検査をすり抜ける場合があります。
また、印刷物や掲示物に偽のQRコードを貼り、利用者を偽サイトや不正な決済画面へ誘導する手口も確認されています。メールやSMSだけでなく、店頭・駐車場・公共スペースなどで目にするQRコードにも注意が必要です。読み取り後は、アクセス前にURLや遷移先を確認することが重要です。
フィッシング詐欺対策として多要素認証（MFA）はなぜ重要ですか？
フィッシング詐欺の主な目的の1つは、IDとパスワードを盗み取ることです。多要素認証（MFA）を導入していれば、認証情報が漏洩した場合でも追加認証が必要となるため、不正ログインを防ぎやすくなります。
一方で、MFAを導入していればすべての被害を防げるわけではありません。近年は、利用者に何度も認証通知を送り、誤って承認させる「プッシュ通知爆撃」や、偽サイトを通じて認証情報と認証コードを同時に盗み取る中間者攻撃なども確認されています。そのため、MFAだけに依存せず、メール対策や従業員教育と組み合わせて運用することが重要です。