フィッシングメールとは？ 仕組みの4段階と、公的資料が指定する「止まる場所」

「フィッシングメールに注意してください」と言われることは増えました。ただ、それが何なのか、どういう仕組みで被害につながるのかが分からないままだと、「怪しいメールに気をつける」だけでは対策になりません。2026年9月8日に、警察庁・国民生活センター・IPA・フィッシング対策協議会の公開資料6点を読みました。仕組みはどの資料も同じことを書いていましたが、「見分け方」については、同じ協議会の2つの資料が逆方向のことを書いていました。

六つの資料は、それぞれ別のことを答えている

数字や手口に入る前に、どの資料が何に答えられるのかを確認します。6つとも「フィッシング」を扱っていますが、書いているものも時点も違うため、そのまま足したり並べたりはできません。

IPAの資料だけが5年前のものです。メールの仕様に関する説明なので古びていませんが、「いま何が起きているか」の出典にはできないので、実測は月次報告で補いました。

フィッシングメールとは、資料の言葉では何か

警察庁のフィッシング対策（外部サイト）は、次のように定義しています。

実在のサービスや企業をかたり、偽のメールやＳＭＳ（携帯電話のショートメッセージ）で偽サイトに誘導し、ＩＤやパスワードなどの情報を盗んだり、マルウェアに感染させたりする手口です。

フィッシング対策協議会の利用者向けフィッシング詐欺対策ガイドライン 2026年度版（PDF・外部サイト）の定義も、ほぼ同じ形です。

フィッシング（Phishing）とは、実在する組織をかたって、ユーザーネーム、パスワード、アカウント ID、ATM の暗証番号、クレジットカード番号といった個人情報を詐取すること。

普通の迷惑メールとの違いは、広告を送ることではなく、相手をだまして入力させることが目的になっている点です。文面の型は月次報告に列挙があり、注文・商品配達・返金の通知、決済情報の更新、不正利用の検知、本人認証、ポイントやマイルの有効期限、アンケートの回答依頼が挙がっています。警察庁が載せている相談事例4件（銀行の「重要なお知らせ」、カード会社の「クレジットカード情報の確認」、通販サイトのアカウントロック通知、宅配業者の不在通知）も、この型どおりでした。

仕組みは4段階で説明できる

資料に書かれている流れをつなぐと、次の4段階になります。

1. 本物らしいメールが届く

銀行、カード会社、通販サイト、宅配会社、携帯電話会社など、普段から知っている名前でメールやSMSが届きます。ここで大切なのは、表示されている会社名だけでは本物と判断できないことです。IPAのメールの見かけ上の送信元情報を安易に信じないで（外部サイト）は、理由を仕様の側から説明しています。

メールの仕様上、図1における受信者が見ることのできる「見かけ上の送信元表示名」「見かけ上の送信元メールアドレス」は、メールソフトやメールサービスの設定にて、任意に登録して送信することができます。

同じ資料が挙げている事例では、表示名が「Amazon顧客サービス」、メールアドレスも正規のドメイン名である「amazon.co.jp」になっていました。警察庁も同じ趣旨を書いたうえで、スマートフォンのメールアプリは表示項目が少ない場合があり、判断は「より一層困難」だとしています。

2. メールのリンクを開く

「確認する」「ログインする」「支払い情報を更新する」といったリンクを押すと、本物のサービスではなく偽のサイトへ移動することがあります。警察庁は、リンクの見た目で判断することについてこう書いています。

電子メールに記載されたリンクは偽装可能なほか、正規サイトに類似したドメイン名を付したフィッシングサイトも多く存在することから、見た目でリンクの真偽を判断することは非常に困難です。

3. 本物そっくりのサイトで入力する

偽サイトには、本物によく似たロゴやログイン画面が用意されています。ID、パスワード、クレジットカード番号、暗証番号、ワンタイムパスワードなどを入力すると、その情報が相手に渡ります。利用者向けガイドラインも、フィッシングサイトは正規サイトをコピーして作られることが多く、見分けることは「非常に困難」だとしています。

4. 盗まれた情報が本物のサービスで使われる

手に入れたIDやパスワードで本物のサービスへログインされます。警察庁は「アカウントを乗っ取られてお金を奪われたり、インターネット通信販売サイトで勝手に買物をされたりします」と書いています。

普段使っているサービスの名前だったから、信じてしまった

この4段階が実際にどう起きるのかは、国民生活センターが2026年9月3日に公表した日頃利用している事業者からのメールもフィッシングを疑って（外部サイト・見守り新鮮情報 第550号）の相談事例が具体的です。

普段から利用しているアプリの名前でスマホにメールが届いた。「登録している支払い方法に確認が必要な状態」「更新が遅れるとストアでアプリが購入できなくなる」などと書いてあったので、記載のURLからアクセスして、クレジットカード番号等を入力し支払い情報を更新した。ところがその後、ネットショッピングで約20万円の利用を知らせるメールが届いた。どうしたらよいか。（80歳代）

知らない会社を名乗っていたわけではありません。本人が普段から使っているサービスの名前でした。国民生活センターの助言も、そこに向けられています。

日頃利用している事業者や公的機関などのメールやSMSであっても、まずはフィッシングを疑いましょう。

差出人もURLも、「偽装」だけの問題ではなかった

ここが、読む前の想定といちばん違った部分です。「差出人は偽装できる」は正しいのですが、2026/07 フィッシング報告状況（外部サイト）の実測では、その月に届いていたものの多数派は偽装ではありませんでした。

つまり多くは、他人になりすますのではなく、自分で用意したドメインから、送信ドメイン認証を正しく通して送られていました。認証に成功していることは、送り主が本物の事業者であることを意味しません。認証が示すのは「そのドメインの持ち主が送った」ことだけで、そのドメインが誰のものかは別の話です。

URLの側も同じでした。同じ月次報告によると、フィッシングサイトのURLは、amazonaws.comのホスト名をそのまま使うケースが報告全体の約23.2%。短縮URLサービスやsendgrid.netからのリダイレクト、フィルターで検知されにくい正規サービスのドメイン名を使うケースが約25.8%。TLD別では.comが約80.8%を占めています（こちらは重複を含むURLでの割合で、表2の43,267件とは分母が違います）。

「不自然な日本語」について、同じ協議会の資料が逆を書いている

以前は「日本語がおかしい」「デザインが雑だ」といった違和感が判断材料になることもありました。フィッシング対策協議会のフィッシング対策ガイドライン 2026年度版（PDF・外部サイト・事業者向け）の序は、それが成り立たなくなったとしています。

生成 AI を活用した自然な文章表現や個別最適化されたメッセージによる攻撃の巧妙化も顕著となった。従来の不自然な日本語や明らかな誤りを手掛かりに判別することが難しくなり、この点についての注意喚起のみでは被害を防ぎきれない状況になっている。

ところが、同じ協議会が2か月半後に公表した2026年7月の月次報告には、逆に読める記述があります。

しかしメール本文に差出人のブランドや連絡先が記載されていなかったり、利用者に向けたメール文面では使わない言い回しだったり、件名や差出人の文字列が左右逆（RTL 表記）など、迷惑メールフィルターは回避できても、人が見ると「不自然すぎる」メールも多くみられました。

なお、ガイドラインの一文は「注意喚起のみでは被害を防ぎきれない」であって、注意喚起が無意味だとは書いていません。

66,119件は「報告件数」で、前月より減っている

「珍しいものではない」ことを示す数字として、月次報告の件数を引きます。ただし、この数字が何を数えているかを先に書きます。

悪用された101ブランドについて、月次報告が挙げている分野はクレジット・信販系19、通信事業者・メールサービス系16、EC系10、オンラインサービス系10、金融（銀行）系7、決済サービス系6です。合計は101に届きません——資料は主な分野を挙げているだけで、全分野の内訳ではないためです。それでも、カード会社だけの話ではないことは読み取れます。

長い目で見た向きは、ガイドラインの序に書かれています。

2025 年度は、フィッシング対策協議会に寄せられたフィッシング報告件数が、月によっては 20 万件を超える状況となった。3 年前には月間 10 万件を下回る水準で推移していたことを踏まえると、被害の裾野はこの数年で大きく拡大していると言える。

年度単位では拡大し、直近2か月は減っている。どちらか一方だけを引くと、違う話になります。

2026年版は、最低ラインを「入力しない」に置き直した

利用者向けガイドラインの2026年度版には、その年に新しく作られた節があります。

2026 年版の作成にあたり、「最低限守っていただくポイント」に絞った重点項目として、新たに次の３点を定めました。内容の検討にあたっては、覚えやすく、対策として具体的な行動につながることを心掛けています。 １．技術で守る ― まずは"守ってくれる仕組み"をオンにする ２．入力に注意 ― 入力する前に、ひと呼吸 ３．迷ったら相談 ― ひとりで抱え込まない

2番目の中身は、「メールや SMS のリンク先で、ID・パスワード・個人情報を入力せず、ブックマークや公式アプリから開いて入力する」です。3つのどこにも「見分ける」がありません。見分けが当てにならなくなったという情勢認識と、並べて読める形になっています。

止まる場所の指定は、資料によって1段ずれます。

国民生活センターの助言は、この2つを続けて書いています。

記載されているURLにはアクセスせず、事前にブックマークした正規サイトのURLや、正規のアプリからアクセスしましょう。リンク先にアクセスしてしまっても、クレジットカード番号などは入力せず、そのサイト上にあるアプリもダウンロードしないことが大切です。

3つに共通しているのは、メールに書かれた経路を使わないという形です。「カードを確認してください」というメールなら、メールのリンクではなく、いつも使っているカード会社のアプリを自分で開く。それだけで、偽メールから偽サイトへ誘導される流れから外れます。

入力してしまった場合に、各資料が案内していること

案内の内容は機関ごとに違うので、分けて書きます。

• 警察庁 — 入力してしまったIDやパスワードを使っている全てのサービスで、パスワード等を速やかに変更する。不正送金は金融機関、カードの不正利用はカード会社に相談する（補償制度や相談窓口を設けているところがある）。フィッシングサイトのURLはフィッシング110番へ通報し、被害に遭った場合は最寄りの警察署等へ相談する
• 利用者向けガイドライン 2026年度版 — 詐取された情報に応じて金融機関・カード会社・ショッピングサイト・プロバイダーへ連絡し、アカウントの利用停止などを依頼する。銀行やカード会社への連絡は早いほうがよい。入力したパスワードは変更し、メールアドレスも新しく作ったものへ変更する（漏えいした情報の再利用を防ぐため）。相談先として警察、国民生活センター・消費生活センター、法テラスを挙げている
• 国民生活センター 第550号 — 不正利用に早く気づけるよう、クレジットカード等の明細をこまめに確認する。困ったときは消費生活センター等へ相談する（消費者ホットライン 188）

この六つの資料からは言えないこと

• 日本国内の被害件数。 66,119件は協議会に寄せられた報告の数であって、被害件数ではありません
• 手口がどれくらいの確率で成功するか。 どの資料にも成功率はありません
• 特定の年代が狙われているかどうか。 国民生活センターの1件は事例であって統計ではありません
• 届いたメールの真偽の判定方法。 6つの資料はいずれも、見分けは困難だとしています
• 日本国外の状況。 6つとも日本の機関の資料です

ここから先は、私の考えです

資料から言えるのはここまでです。以下は、確認のための道具を作っている側として考えていることで、資料に書かれていることではありません。

読み比べて残ったのは、判断の精度を上げようとするより、判断が要らない経路を先に用意しておくほうが確実だ、という一点でした。生成AIで文面が自然になった一方で、人が見れば分かる粗いメールも同じ月に届いている。この揺れの中で「見抜く」を毎回やるのは、条件のよくない賭けに見えます。ブックマークと公式アプリは、メールの出来に左右されません。

家族に伝えるなら、仕組みを全部覚えてもらう必要はないとも思いました。「お金やパスワードの話が出たら、メールのリンクからではなく、いつものアプリを開く」くらいの短いルールでも、資料が指定している止まる場所には届きます。判断する前に一度止まれる場所を作るほうが、頼み方としても現実的です。

なお、私たちもリンクの表示と行き先を見比べるための小さな拡張機能を公開していますが、それは「このメールは安全です」と判定するものではありません。今回読んだ資料が一致して勧めているのは、リンクを調べることではなく、リンクを使わずに別の経路から確認することでした。

参照資料

いずれも2026年9月8日に原典を取得し、本文の数値と引用を1件ずつ突き合わせています。

• 警察庁「フィッシング対策」 — 発行: 警察庁サイバー警察局／ページ上に公表日・更新日の表記なし／外部サイト
• 国民生活センター「日頃利用している事業者からのメールもフィッシングを疑って」 — 発行: 独立行政法人国民生活センター／見守り新鮮情報 第550号／公表: 2026年9月3日／外部サイト（リーフレット版PDFも内容は同一）
• IPA「メールの見かけ上の送信元情報を安易に信じないで」 — 発行: 独立行政法人情報処理推進機構 セキュリティセンター（安心相談窓口だより）／公開: 2021年9月21日／外部サイト
• フィッシング対策協議会「2026/07 フィッシング報告状況」 — 発行: フィッシング対策協議会／対象期間: 2026年7月／公表: 2026年8月17日／外部サイト（前月分は2026/06 フィッシング報告状況・2026年7月16日公表）
• フィッシング対策協議会「フィッシング対策ガイドライン 2026年度版」 — 発行: フィッシング対策協議会 技術・制度検討ワーキンググループ／公表: 2026年6月1日／事業者向け／PDF・外部サイト（引用は「序」）
• フィッシング対策協議会「利用者向けフィッシング詐欺対策ガイドライン 2026年度版」 — 発行: フィッシング対策協議会／公表: 2026年6月1日／PDF・外部サイト（引用は2章・4章・5.3節・被害時の対応の節）

なお、ここに挙げた各機関は、特定の事業者の商品・サービスを推奨したり、保証したりするものではありません。この記事で触れた道具についても同じです。