フィッシング詐欺の見分け方

フィッシングとは

フィッシングとは、実在する企業・サービスを装ったメールやSMSを送りつけ、偽のサイト（フィッシングサイト）に誘導して、IDやパスワードなどの情報を入力させて盗み取る手口です。IPA（情報処理推進機構）が2026年8月に公開した企業向け資料によれば、攻撃者は「人の心理的な弱点」や「相手に対する信頼感」を利用するやり方を昔から使い続けており、手口そのものに大きな変化はないとされています。

典型的な手口：「緊急性」を強調する

フィッシングメールでよく使われるのが、受信者を焦らせて落ち着いて考える時間を奪う「緊急性の強調」です。たとえば、「メールボックスの容量制限を超えたため、新しいメールを受信できない」といった内容で、対応を装ったリンクをクリックさせる手口が紹介されています。クリックすると、サービスの偽のログイン画面に誘導され、入力したIDとパスワードが盗まれます。

中には、入力された情報をその場で使い、本物のサイトへのログインを試みる「リアルタイムフィッシング」という手口もあります。この場合、スマートフォンへの通知などを使った多要素認証（2段階認証）の確認コードまで、偽サイト経由でその場で盗まれてしまうおそれがあります。

見分けるための確認ポイント

• 緊急性をやたらと強調していないか：「今すぐ対応しないと」と焦らせる文面は要注意です
• 取引先を装い、少しでも不審・不自然に感じないか：違和感があれば、メール以外の方法（電話など）で本人に直接確認する
• 送信元のドメイン名が偽装されていないか：取引先の正規ドメインに似せた偽ドメインが使われることがあります。ただし、送信元組織がSPFやDMARCといった送信者認証の設定を適切にしていない場合、表示される差出人名は偽装が可能です。差出人が一見正しく見えても過信しない
• 件名や本文のキーワードを検索する：同じ文面の被害報告が見つかることがあります

不審なメールが届いたときの対応

1. メール内のURLリンクをクリックしない
2. 添付ファイルを開かない
3. 少しでも不審に感じたら、メール以外の方法で相手に直接確認する
4. 社内のセキュリティ責任者・管理会社に通報する

リンクをクリックしてしまった・情報を入力してしまった場合

慌てずに、次の行動を取ってください。

1. 入力してしまったサービスのパスワードを、別の安全な経路（公式サイトに直接アクセスするなど）からすぐに変更する
2. 同じパスワードを他のサービスで使い回していた場合は、それらもすべて変更する
3. 社内のセキュリティ責任者・システム管理者や、利用していたサービスの提供会社に報告する
4. 多要素認証（2段階認証）を設定できる場合は、この機会に有効にする

パスワードの作り方・管理方法は、教材「パスワード管理の基本」で解説しています。

参考にした公開情報

• IPA：企業組織を狙う攻撃メールの手口とその対策（2026年8月3日公開）

この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。