要点
- 日本の企業の情報漏えいが9月末から続くなか、偽メールの報告は9月に前月より約15%増え、94,661件になった。
- 受信者の氏名を本文に入れた偽メールも確認された。ただし、フィッシング対策協議会は、漏えい事案との関連は不明としている。
- 「その人専用」に見えても、見分けの基本は変わらない。メールのリンクを開かず、公式アプリや自分で登録したブックマークから確かめる。
何が起きたか
フィッシング対策協議会は、偽メールの報告を毎月まとめている。報告件数の推移は次のとおりだ。
- 7月: 66,119件
- 8月: 82,338件（前月より約24.5%増）
- 9月: 94,661件（前月より12,323件、約15.0%増）
7月の数字は ScanNetSecurity の報道による。8月と9月は協議会の月次報告による。偽サイトの URL（重複を除く）は、8月の39,800件から9月は49,032件へ約23.2%増えた。悪用されたブランドは105件だった。内訳では Amazon をかたるものが約33.2%で最も多い。
9月の報告で目を引くのは、次の2点だ。
- 本文に受信者の氏名が書かれた偽メールが確認された。協議会は、9月に相次いだ漏えいの公表との関連を「不明」としている。
- アプリの更新や申請手続きを装い、不正なアプリを入れさせるメールが急増した。国税庁やカード会社などをかたるものがあった。
つまり、「漏えいした情報が使われた」と確認された段階ではない。数字も、漏えいの影響だけで増えたとは言えない。ITmedia NEWS は、チェック・ポイント・テクノロジーズやトビラシステムズが、個人を狙う手口が増える懸念を述べたと伝えている。これは各社の見立てであり、実際の被害の確認ではない。
日本の利用者への影響
この件数は、協議会に寄せられた報告の数だ。分野別では EC 系が約47.9%、クレジット・信販系が約35.0%で、この2つで8割を超える。買い物やカードの利用がある人なら、誰でも届きうる。
大量のフィッシングが届く場合は、メールアドレスが出回っている可能性があると協議会は述べている。
今すぐやること
- メールやSMSのリンクを開かない。ログインや支払いは、公式アプリか、自分で保存したブックマークから行う。
- アプリは、公式ストアから入れる。メールのリンクから直接ダウンロードさせるものは入れない。協議会もこれを勧めている。
- 多要素認証（パスワードのほかにスマホでも本人確認する仕組み）を設定する。可能なら、偽サイトでは使えないパスキーに切り替える。
- パスワードの使い回しをやめる。パスワード管理ソフトを使うと、偽サイトに入力しにくくなる。
- 偽メールに入力してしまったら、すぐ本物のサービスでパスワードを変える。カードの番号を入れたなら、カード会社に連絡する。
漏れた項目ごとに、来うる偽メール
以下は、協議会の報告と一般的な注意点からの整理であり、特定の漏えいで確認された手口ではない。
- 氏名・メールアドレス: 名前入りで「あなた宛て」に見せる。名前が合っていても本物の証拠にならない。
- 電話番号: SMS や電話での、宅配・電気・水道・カード会社をかたる連絡。協議会は、SMS の報告は減ったが、これらの名での偽物は確認されたとしている。
- 利用しているサービス名: そのサービスの請求失敗、更新、本人確認をかたるメール。チェック・ポイントは、請求や引き落とし失敗を装うものが届きやすくなりうると述べている。
- 勤務先や取引先: 社内 IT や顧客対応をかたる緊急の依頼。ITmedia NEWS によれば、チェック・ポイントは企業を狙う攻撃の増加を指摘している。
見分けの手がかりは、急がせる、リンクへ誘う、アプリを入れさせる、の3つだ。協議会によると、不自然な言い回しや、AI への指示文が残ったメールも多い。ただし、HTML 表示では自然に見えるメールもあり、見た目の自然さでは判断できない。
背景
2026年2月には、報告が前月から7割以上減ったと報じられた。原因は旧正月や、海外の中継サーバーの網の無力化などと推測されている。偽メールの数は、攻撃側の事情で大きく上下する。9月の報告だけで、漏えいの影響とは言い切れない。
漏れた情報が次の詐欺に使われるのは、これまでもあった流れだ。ただし、今回の一連の漏えいと詐欺の関係は、確認できる範囲では示されていない。協議会は事業者に、漏えい情報での不正ログインに備えた監視と、パスキーなどの導入を勧めている。
技術者向けの詳細
- 9月の報告: 件数 94,661、URL 49,032、ブランド 105。上位5ブランド（Amazon、Apple、セゾンカード、アメリカン・エキスプレス、国税庁）で約65.3%。
- なりすまし送信は約37.8%で、前月より増加。非なりすましメールの約98.9%は dmarc=pass だった。
- 同一ホスト名を10回以上使い回す URL が約62.3%。amazonaws.com のホスト名は約11.6%。
- 送信元のクラウドは Microsoft Azure 約36.3%、Google Cloud 約25.0%。
- 協議会は事業者に、DMARC の p=reject への計画、BIMI の検討、SMS の共通番号（0005 始まり）の検討を挙げている。
- 協議会の緊急情報は、9月8日（不正アプリ誘導）と9月30日（国税庁をかたるもの）。
