種別：年次レポート2026年6月1日発表フィッシング対策協議会

フィッシング報告が過去最多の245万件に。自社ドメインが「なりすまし」に使われないための備え（フィッシング対策協議会）

ひとことで言うと：フィッシングとは、本物の銀行や宅配業者の名前を使って送られてくる、偽の郵便物や偽の窓口のようなものです。フィッシング対策協議会が2026年6月に公表した「フィッシングレポート2026」によると、2025年1年間に報告されたフィッシング（偽サイト・偽メールによるだまし行為）の件数は245万4,297件で、過去最多を更新しました。あわせて、攻撃者が正規の送信ドメイン認証（DMARC）を通過できる「自前のドメイン」を使う手口が年末にかけて急増したことも報告されています。特定のサイトの脆弱性ニュースではなく、1年間の傾向をまとめた統計レポートです。

何が起きたか

フィッシング対策協議会は2026年6月1日、2025年1月から12月までのフィッシング報告をまとめた「フィッシングレポート2026」を公表しました。報告されたフィッシング件数は245万4,297件で、2024年（約171万8,036件）の約1.43倍となり、過去最多を更新しています。単月では3月の報告が約25万件と、月間でも過去最多だったとされています。

2025年中に悪用された（なりすまされた）ブランド数は229件でした。業種別では、クレジットカード・信販系が37件、金融機関が36件で最も多く、証券会社（21件）、通信・メール事業者（20件）、オンラインサービス（20件）、ECサイト（16件）が続きます。レポートでは、証券会社を装ったフィッシングによる不正ログイン・不正取引で、不正取引による被害額が約7,393億円に達したと報告されています。複数の証券会社が多要素認証を必須化した6月以降、被害は減少したものの、攻撃そのものは継続しているとされています。

もう一つの大きな傾向が、送信ドメイン認証「DMARC」への攻撃者側の対応です。DMARCは、郵便物を届ける前に「この送り主は名乗っている会社の人間に間違いないか」を確認する、いわば門番の身分証チェックのような仕組みです。2026年9月、総務省が通信事業者に対しDMARCの導入を要請したことを受け、攻撃者は、本物の銀行や宅配業者の名前を騙った偽の身分証で門番を欺く手口（正規ブランドのドメインを詐称する手口）から、自分自身で用意した、身分証としては正規に通過できてしまうドメインを使う手口へと移行したと分析されています。中身の郵便物自体は依然として本物の企業を名乗っているため、門番のチェックを通過しても、受け取った人がだまされるリスクは残ります。この「DMARCを正規に通過する自前ドメインによる攻撃」の割合は、10月時点では約27.0%でしたが、12月には約75.3%まで増加しました。レポートは、送信ドメイン認証の導入だけでは十分な対策にならず、BIMI（正規メールにブランドロゴを表示する仕組み）などを組み合わせて、受信者が正規メールを見分けやすくする対策も必要だと指摘しています。

誰に関係するか

直接の攻撃対象として多いのは、クレジットカード・金融・証券・通信・ECといった大手ブランドですが、この統計は中小企業や個人事業主にも関係があります。

取引先や顧客になりすました偽メール（ビジネスメール詐欺の入り口になりうる）を受け取る可能性がある、すべての会社・個人事業主
自社の問い合わせフォームや会員登録、注文確認などで顧客にメールを送っている会社（送信ドメインの認証設定が、なりすまし対策の基本になります）
自社ブランド名が、第三者にフィッシングで悪用されるリスクがある会社（知名度の大小にかかわらず、取引先を装った標的型の悪用は起こり得ます）

何をすべきか

1. 自社の送信ドメイン認証（SPF・DKIM・DMARC）を確認する

自社が使っているメールアドレス・配信サービスの送信元ドメインに、SPF・DKIM・DMARCという送信認証の仕組みが設定されているか、制作会社やメール配信サービスの管理画面で確認してください。設定されていない場合、第三者が自社の名前を装ったメールを送りやすい状態になっている可能性があります。

2. 届いたメールのリンクを安易に開かない

取引先や決済サービスを名乗るメールであっても、リンク先でID・パスワードやカード情報の入力を求められた場合は、メール内のリンクではなく、普段使っているブックマークや検索から公式サイトへアクセスする習慣をつけてください。

3. 社内でも注意を共有する

攻撃者が本物のドメイン認証を正規に通過させる手口を使うようになっているため、「送信元が正規に認証されているから安全」と単純に判断できない状況になっています。見慣れない依頼や、普段と異なる言い回しのメールには注意するよう、社内でも共有しておくことをおすすめします。

よくある質問

これは特定のサイトの脆弱性の話ですか？

いいえ。これは個別のCVE（脆弱性）ではなく、フィッシング対策協議会が2025年1年間に報告されたフィッシング（偽サイト・偽メールによるだまし行為）の件数や手口の傾向をまとめた年次統計レポートです。

うちは金融機関でもECサイトでもないので関係ないのでは？

直接狙われやすいのは金融・決済・通信系の大手ブランドが中心ですが、どの会社にも、取引先や顧客になりすました偽メールを送られるリスクがあります。また、自社から送るメールが「なりすまし」と誤判定されたり、逆に自社ブランドを装った偽メールが出回ったりする可能性もあり、無関係とは言えません。

何をすればいいですか？

まず、自社が使っているメールの送信元ドメインにSPF・DKIM・DMARCという送信認証の仕組みが設定されているかを、制作会社や利用しているメール配信サービスに確認してください。設定されていない場合、第三者が自社の名前を装ったメールを送りやすくなります。

参考にした公開情報

本記事の統計は、フィッシング対策協議会が公表した内容を報じたニュース記事をもとにしています。正確な定義・集計方法は、フィッシング対策協議会（antiphishing.jp）が公開する原文レポートをご確認ください。この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。