フィッシングとは？偽のメール、SMS、QRコードの見分け方

フィッシングとは何ですか？

英国の国家サイバーセキュリティセンター（NCSC）は、フィッシングを、犯罪者が詐欺メール、テキストメッセージ、電話を使って被害者をだますことと定義しています。その目的は多くの場合、パソコンにウイルスをダウンロードさせるおそれのあるウェブサイトにアクセスさせることや、銀行口座の情報などの個人情報を盗むことです^[3]。米国連邦取引委員会（FTC）はより簡潔に、詐欺師がメールやテキストメッセージを使って人をだまし、個人情報や金融情報を渡させることだと説明しています^[1]。

FBIはこの犯罪を「フィッシング/なりすまし」に分類しています。これは、正規の企業からのものと称して、個人情報、金融情報、ログイン認証情報を求める一方的なメール、テキスト、電話を指します^[8]。なりすましとは送信者を偽ることで、たとえばメッセージを取引先の銀行から届いたように見せかけることです。

フィッシングはソーシャルエンジニアリングの一種であり、FBIはこれを、人をだまして安全に守られるべきデータを明かさせることで入手する手口と説明しています^[12]。技術的な欠陥ではなく人の信頼につけ込むため、人を説得してパスワードやコードを渡させることができれば、強固なシステムでも突破されるおそれがあります。

フィッシングにはどのような形態がありますか？

• メールによるフィッシング：銀行、ショップ、配送業者、雇用主などを装って大量に送られるメッセージです^[1]。
• スピアフィッシング：成功の確率を高めるための情報を使い、特定の人物やグループをだまそうとする標的型の試みです^[12]。
• テキストメッセージによるフィッシング（スミッシング）：同じ手口をSMSで送るもので、FTCの定義はテキストメッセージを明示的に含んでいます^[1]。
• 電話によるフィッシング（ビッシング）：信頼できる組織からのものを装った電話で、NCSCは詐欺電話をフィッシングの一部として扱っています^[3]。
• QRコードによるフィッシング（クイッシング）：悪意あるウェブサイトに誘導する、メール内のQRコードです^[6]。

AIはフィッシングをどう変えているのですか？

FBIは2024年12月、犯罪者が生成AIを使って、ソーシャルエンジニアリングやスピアフィッシングのためのもっともらしい文章を作成し、より多くの相手にすばやくメッセージを送り、文法やスペルの誤りが少なくなるようメッセージを翻訳していると警告しました^[12]。NCSCも同様に、以前はスペルミスや不自然なデザインで詐欺を見抜きやすかったものの、詐欺は巧妙になっており、専門家さえだまされるものもあると指摘しています^[4]。

個人として狙われるのは誰ですか？

犯罪者は、ソーシャルメディアを含め、オンラインで入手できるあなたに関する情報を使って、メッセージをより説得力のあるものにします^[3]。注目度の高い集団は、国家とつながりのあるキャンペーンにも直面しています。フリーダム・ハウスは、イランのイスラム革命防衛隊とつながりのあるハッキンググループが、ジャーナリストや人権活動家になりすまして政府の批判者をフィッシング作戦に誘い込んでいたと報告しました^[13]。ペルシャ語を話すジャーナリストや活動家にとって、思いがけない取材の依頼や文書へのリンクは、銀行からのメッセージと同じように確認すべきものです。

フィッシングのメッセージはどのように見分けますか？

FTCによると、フィッシングのメッセージは多くの場合、不審な活動やログインの試みに気付いたと伝える、アカウントや支払い情報に問題があると主張する、個人情報や金融情報の確認を求める、心当たりのない請求書を添付する、支払いのためにリンクをクリックするよう求める、政府からの還付を受ける資格があると伝える、無料の商品のクーポンを提供する、といった内容です^[1]。

NCSCは、不審なメッセージについて次のような特徴的なサインを確認するよう勧めています^[4]。

1. 権威：取引先の銀行、医師、弁護士、政府機関など、公的な立場の相手からのものだと主張していないか^[4]。
2. 緊急性：24時間以内に、あるいはすぐに返信するよう求められていないか。多くの場合、罰金などの脅しを伴います^[4]。
3. 感情：パニックにさせたり、恐怖、期待、好奇心をかき立てたりしていないか^[4]。
4. 希少性：コンサートのチケット、お金、病気の治療法など、手に入りにくいものを提供していないか^[4]。
5. 時事：ニュース、大きなイベント、確定申告の時期などの季節を利用していないか^[4]。

NCSCはさらに、銀行やその他の公的な情報源が、メールで個人情報の提供を求めたり、電話で銀行口座の情報の確認を求めたりすることは決してないとしています^[4]。疑問がある場合は、メッセージに記載された番号やアドレスではなく、公式ウェブサイトに記載された連絡先を使って、その組織に直接問い合わせてください^[4]。

フィッシングはどのくらい多いのですか？

FBIのインターネット犯罪苦情センター（IC3）は2025年に1,008,597件の苦情を受理し、報告された損失額は208.77億ドルでした^[8]。苦情の件数で最も多かったカテゴリーはフィッシング/なりすましで、191,561件でした^[8]。その報告損失額は、2024年の70,013,036ドルから2025年には215,843,126ドルに増加しました^[8]。苦情の件数は人々がIC3に報告することを選んだものだけを数えたもので、発生したフィッシングのすべてではありません。

業界団体であるAnti-Phishing Working Group（APWG）は、2025年第1四半期に1,003,924件のフィッシング攻撃を確認しました。これは2023年後半以降で最も多い数で、APWGは、犯罪者がQRコードを含むメールを毎日何百万通も送っているとしています^[9]。オンライン決済とオンラインバンキングに対する攻撃は、合わせてその四半期の全攻撃の30.9%を占めました^[9]。

英国では、NCSCの通報サービスに寄せられた詐欺の報告が2026年9月時点で5960万件を超え、その結果、466,300件のURLにわたって263.7千件の詐欺が削除されました^[3]。

QRコードは読み取っても安全ですか？

日常的な場所であれば、通常は安全です。NCSCによると、パブやレストランのQRコードはおそらく読み取っても安全であり、QRコードを使った詐欺は他のサイバー詐欺に比べて比較的少なく、その大半は駅や駐車場などの開かれた場所で、多くの場合ソーシャルエンジニアリングと組み合わせて行われています^[6]。

より懸念されるのはメールです。NCSCは、フィッシングメールに含まれるQRコードが増えていることを確認しています。この手法はクイッシングと呼ばれることもあります。QRコードは悪意あるリンクを隠すことができ、すべてのメールセキュリティツールが画像をスキャンするわけではなく、人々は仕事用のパソコンより保護の弱い個人のスマートフォンで読み取りがちだからです^[6]。

FBIとFTCはどのように助言していますか？

• 読み取った後は、ウェブアドレスを確認してください。悪意あるドメインは、タイプミスや文字の入れ替えによって本物に似せている場合があります^[7]。
• 実物のコードの場合は、シールで上から覆われていないかを確認してください^[7]。FTCは、詐欺師がパーキングメーターのQRコードを自分たちのものに貼り替えたという報告があると指摘しています^[2]。
• QRコードからアプリをダウンロードしたり、別のQRコード読み取りアプリをインストールしたりしないでください。ほとんどのスマートフォンはカメラアプリに読み取り機能を備えています^[7]。
• 予期していなかったメールやテキストのQRコードは読み取らないでください。本物だとわかっている電話番号やウェブサイトを使って、その会社に連絡してください^[2]。
• QRコードからたどり着いたサイトでの支払いは避けてください。代わりに、既知の信頼できるアドレスを入力してください^[7]。

フィッシングのリンクをクリックしてしまったらどうすればよいですか？

すばやく、次の順序で行動してください。

1. 手を止めて、連絡を断ちます。NCSCの助言は、手を止め、連絡を断ち、使われていた言葉遣いをよく考えることです^[4]。
2. パスワードを教えてしまった場合は、NCSCによると、同じパスワードを使っているすべてのアカウントのパスワードを変更し、利用できる場合は代わりにパスキーを使ってください^[14]。FTCも、アカウントの保護に多要素認証を勧めています^[1]。
3. 添付ファイルを開いたり、何かをインストールしたりした場合は、セキュリティソフトウェアを更新してスキャンを実行し、検出されたものを削除してください^[1][14]。仕事用のノートパソコンやスマートフォンで起きた場合は、IT部門に知らせてください^[14]。
4. お金を失った場合や銀行口座の情報を教えてしまった場合は、公式の連絡先が記載されていることが多いカードや明細書の番号を使って銀行に連絡し^[4]、犯罪として通報してください。イングランド、ウェールズ、北アイルランドではReport Fraud、スコットランドではスコットランド警察が窓口です^[14]。社会保障番号、カード番号、銀行口座番号が漏れたおそれのある米国の読者は、IdentityTheft.govの手順に従うことができます^[1]。
5. 改ざんされたQRコードを通じて支払いをしてしまった場合は、FBIは通報するよう求めており、法執行機関が失った資金の回収を保証することはできないと警告しています^[7]。

フィッシングはどのように報告しますか？

英国では、不審なメールをNCSCの不審メール通報サービス（report@phishing.gov.uk）に転送してください^[5]。米国では、FTCによると、フィッシングメールはAnti-Phishing Working Group（reportphishing@apwg.org）に転送し、フィッシングのテキストはSPAM（7726）に転送し、その試みをReportFraud.ftc.govで報告します^[1]。米国での詐欺による損失は、FBIのIC3に報告することもできます^[7]。これは一般的な情報であり、金融上または法律上の助言ではありません。個々のケースについては、取引先の銀行や各国の通報センターが窓口となります。

実際にフィッシングを防げる対策はどれですか？

FTCは4つの保護策を挙げています。パソコンのセキュリティソフトウェア、スマートフォンの自動アップデート、アカウントの多要素認証、そしてデータのバックアップです^[1]。

多要素認証でフィッシングを防げますか？

大いに役立ちますが、完全ではありません。多要素認証（MFA）は、パスワードとコードの組み合わせなど、2種類以上の証明を求めます^[10]。米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は、一般的なフィッシングの手法として、利用者を偽のログインページに誘導し、ユーザー名、パスワード、認証アプリの6桁のコードを入力させ、攻撃者がそれを使うという例を説明しています^[10]。CISAはさらに、テキストや音声で送られるコードはSS7ネットワークの欠陥やSIMスワップによって盗まれる可能性があり、攻撃者は利用者が［承認］を押すまでプッシュ通知を大量に送り付けるとしています^[10]。

CISAは、広く利用できる唯一のフィッシング耐性のある認証はFIDO/WebAuthnであり、主要なブラウザー、オペレーティングシステム、スマートフォンでサポートされているとしています^[10]。それでも、どのような形のMFAでもないよりはよいとしています^[10]。パスキーはパスワードを暗号の鍵ペアに置き換えるFIDOの認証情報で、FIDOアライアンスによると、パスワードと違ってパスキーは常に強力でフィッシング耐性があります^[11]。また、漏えいしたデータベースから盗まれるパスワードも存在しません^[11]。

他にリスクを減らす方法はありますか？

犯罪者はオンライン上の情報を使ってメッセージを個人向けに仕立てるため、自分や他人が自分について投稿している内容を見直し、ソーシャルメディアのプライバシー設定を厳しくしてください^[3]。不審なメッセージは報告してください。NCSCによると、報告することで受け取る詐欺が減り、他の人を守ることにもつながります^[3]。