フィッシングとは

フィッシングは、実在の会社や組織をかたって、ID・パスワード・カード番号などを入力させ、盗み取る手口です。銀行、カード会社、宅配業者、通販サイト、官公庁などを名乗るメールや SMS（携帯電話のショートメッセージ）が届き、本物そっくりの偽サイトへ誘います。

小さな事業では、メール、会計、決済、予約の受付、オンライン講座の配信など、仕事のアカウントが 1 つ乗っ取られるだけで、お金や顧客の情報、受講生とのやりとりに影響が出ます。手口の型と確かめるところを知っておけば、怪しいメッセージが届いても、落ち着いて対処できます。

フィッシングはどう進むのか

多くのフィッシングは、次の順に進みます。

1. 実在の組織を名乗るメッセージが届きます。「不正なログインを検知しました」「お支払いを確認できませんでした」など、急いで手続きしたくなる文面です。
2. リンクや QR コードから、本物そっくりの偽サイトへ誘います。
3. ログインや「本人確認」の画面で、情報を入力させます。
4. 盗んだ情報で本物のサイトにログインし、アカウントを乗っ取ったり、お金を動かしたりします。

警察庁の説明では、入力を求められる情報の例として、ID とパスワード、カード番号、口座番号と暗証番号、ワンタイムパスワード、住所・氏名・生年月日、運転免許証などの画像が挙げられています。偽のアプリを入れさせて、スマートフォンをマルウェア（悪意のあるソフトウェア）に感染させる手口もあります。

どんな形で届くのか

形	よくある例
メール	銀行や通販サイトを名乗り、「アカウントを一時停止しました」と再開の手続きへ誘う
SMS	宅配業者や携帯電話会社を名乗り、「不在のため持ち帰りました」と追跡のページへ誘う。SMS を使うものは「スミッシング」とも呼ばれる
偽のログイン画面	検索結果の広告や SNS のメッセージから、本物そっくりのログイン画面を開かせる
QR コード	メールの中の QR コードや、本物の上に貼った偽の QR コードから、偽の支払い画面やログイン画面を開かせる
偽のサポート	パソコンに偽のウイルス感染の警告を出し、画面の番号に電話をかけさせて、遠隔操作や支払いへ誘う（サポート詐欺）

形はちがっても、文面には共通の特徴があります。「至急」「本日中に」「アカウントを停止します」のように、考える時間を与えないことです。以前は、不自然な日本語も手がかりになりました。いまは生成 AI で自然な文面も作れるので、文章のうまさだけでは見分けにくくなっています。

本物そっくりに見せる手口には、どんなものがあるのか

ロゴや送信元をまねる

ロゴ・色・文面は、本物のメールや画面から簡単に写せます。メールの送信元の名前やアドレスも、仕組みのうえで偽ることができます。警察庁は、表示された送信元だけで本物かどうかを判断するのは難しく、スマートフォンのメールアプリでは表示される項目が少ないぶん、さらに見分けにくいと説明しています。

ドメインを似せる

ドメインは、example-school.jp のような Web の住所です。偽サイトは、本物によく似たドメインを使います。

手口	例（本物は example-school.jp）
似た文字に置き換える	exarnple-school.jp（m を r と n に）
言葉を足す	example-school-login.jp
末尾を変える	example-school.net
本物の名前を前に置く	example-school.jp.account-check.com

最後の例がいちばん紛らわしく見えます。ドメインは右から読みます。この例で持ち主を表すのは右端の account-check.com で、その左の部分は、持ち主が自由に付けられます。左に本物の名前が見えても、本物のサイトではありません。

https でも本物とは限らない

アドレスが https:// で始まるのは、通信が暗号化されているという意味です。相手が本物かどうかは示しません。偽サイトも、自分で取ったドメインで https を使えます。

なぜパスワードやコードまで盗まれるのか

偽サイトは、入力されたものをそのまま受け取ります。パスワードだけでなく、SMS や認証アプリのワンタイムパスワード（1 回だけ使えるコード）も同じです。コードはすぐに使えなくなりますが、偽サイトの中には、入力されたパスワードとコードを、その場で本物のサイトに送り込んでログインするものがあります。手で打ち込むコードには、どのサイトに入力されたかを見分ける仕組みがないからです。二段階認証は、盗まれたパスワードだけで入られるのを防ぐのに役立ちますが、偽サイトに入力してしまう場面までは防げません。くわしくは「二段階認証とは」で説明しています。

パスキーは、この点で強い方法です。パスキーは作ったサイトのドメインに結び付いていて、偽のドメインでは使われません。人が見分けられなくても守られるのが特徴です。仕組みは「パスキーとは」で説明しています。ただし、アカウントにパスワードなどほかのログイン方法が残っていると、偽サイトはそちらを入力させようとします。

だまされないために、何を確かめればよいのか

1. 予期しないメッセージのリンクや QR コードから、ログインしない。ブックマークや公式アプリから開きます。検索で探すと、広告の枠から偽サイトに誘われることもあります。警察庁によると、金融機関が ID やパスワードをメールや SMS で問い合わせることはありません。
2. 入力の前に、アドレス欄のドメインを確かめる。QR コードを読み取ったときも、開く前に表示されるドメインを見ます。
3. パスワードは、パスワード管理アプリやブラウザーの保存機能にしまう。保存したドメインでしか自動で入力しないので、いつもは入力される画面で入力されなければ、偽サイトを疑う合図になります。英国の NCSC（国家サイバーセキュリティセンター）も、パスワード管理アプリは人より偽サイトを見分けるのが得意だとしています。
4. 急かされたら、いったん止まる。気になるときは、メッセージに書かれた連絡先ではなく、自分で調べた公式の窓口に問い合わせます。
5. 自分で始めていないログインのコードや承認の通知には応じず、コードはだれにも教えない。
6. パスキーや二段階認証を設定し、パスワードを使い回さない。携帯電話会社の迷惑メッセージのブロックや、迷惑メールのフィルターも使う。

入力してしまったら、どうすればよいのか

まず、何を入力したかを書き出します。そのうえで、入力したものに合わせて動きます。

入力したもの・したこと	すること
ID とパスワード	本物のサイト（ブックマークや公式アプリ）でパスワードをすぐ変える。同じパスワードを使っているほかのサービスも変える。ログインの履歴に、覚えのないものがないか確かめる
ワンタイムパスワード	パスワードを変え、ログインの履歴を確かめる。ログイン中の端末の一覧があれば、覚えのない端末をログアウトさせる
カード番号	カード会社の紛失・盗難の窓口に連絡し、カードを止める
ネットバンキングの情報	金融機関にすぐ連絡する
アプリを入れた・ファイルを開いた	アプリを消し、セキュリティソフトで端末を調べる

仕事で使うアカウントなら、組織の管理者にもすぐ伝えます。早く伝えるほど、ほかのメンバーへの被害を防ぎやすくなります。

報告と相談の窓口

窓口	使うとき
フィッシング対策協議会	フィッシングのメール・SMS・偽サイトを報告する。メールは転送し、SMS は画面の写しをメールに付けて送る
警察（最寄りの警察署、または警察庁の「サイバー事案に関する通報等のオンライン受付窓口」）	お金を取られた、アカウントを悪用されたなどの被害を相談する
消費者ホットライン（188）	支払いや返金などのトラブルを相談する
IPA（情報処理推進機構）の情報セキュリティ安心相談窓口	偽の警告やウイルスの感染など、技術的なことを相談する

報告は、同じ手口のほかの被害を減らすことにもつながります。届いたメッセージを消す前に、報告しておくとよいでしょう。