「お支払い情報の更新が必要です」
「アカウントに不審なログインがありました」
「本人確認が完了していないため、利用を停止します」
こんなメールを受け取ったことはありませんか？
一見すると本物のサービスから届いたように見えても、実際にはIDやパスワードを盗むための偽メールかもしれません。
2026年10月19日、フィッシング対策協議会は最新の月次報告書を公開しました。
それによると、2026年9月のフィッシング報告件数は94,661件となり、前月と比べて約15％増加しました。
さらに、正規サービスのドメインを利用した誘導や、受信者の氏名を記載したメールなど、注意したい手口も報告されています。
今回は、フィッシング詐欺の最新動向と、中小企業が取るべき具体的な対策を、DX担当ちゃま男と先輩の会話を交えて解説します！
フィッシング詐欺とは？本物そっくりの偽メールで情報を盗む手口
DX担当 ちゃま男先輩！会社のメールに「アカウントが停止されます」って届いたんですけど、これって本物なんですかね？
ちゃま男の先輩すぐにメールのリンクを押さない方がいいね。
本物の会社を装って偽サイトへ誘導する「フィッシング詐欺」の可能性があるよ。
フィッシング詐欺の仕組み
フィッシング詐欺とは、実在する企業やサービスを装ったメール、SMSなどを使って、利用者を偽のWebサイトへ誘導する詐欺のことです。
例えば、次のような流れです。
- 有名なサービスを装ったメールが届く
- 「至急確認してください」と書かれている
- メール内のリンクを開く
- 本物そっくりのログイン画面が表示される
- IDやパスワードを入力してしまう
- 入力した情報が攻撃者に盗まれる
偽サイトの見た目が本物と似ているため、慣れていない人が見分けるのは簡単ではありません。
また、偽サイトでクレジットカード情報や認証コードなどを入力させる手口もあります。
2026年9月のフィッシング報告件数は94,661件
フィッシング対策協議会が発表した、2026年9月の主な数字を確認しましょう。
| 項目 | 2026年9月 |
|---|---|
| フィッシング報告件数 | 94,661件 |
| 前月からの増加 | 12,323件 |
| 前月比 | 約15.0％増 |
| フィッシングサイトURL数（重複なし） | 49,032件 |
| 悪用されたブランド数 | 105ブランド |
ここで注意したいのは、94,661件という数字は、協議会に寄せられた報告の件数だということです。
94,661人が被害に遭ったという意味ではありません。
また、実際に存在するフィッシングメールのすべてを数えた数字でもありません。
どんな企業やサービスが悪用されている？
9月の報告では、Amazonをかたるものが約33.2％、Appleをかたるものが約11.1％でした。
そのほか、クレジットカード会社や国税庁などをかたるケースも報告されています。
メールの内容としては、注文、配達、返金、決済情報、契約更新、不正利用の確認などを装うものが多くみられました。
つまり、私たちが普段利用しているサービスや業務で必要な手続きを装っているのです。
出典：フィッシング対策協議会｜2026年9月フィッシング報告状況
最近のフィッシングメールは何が変わっているの？
① 受信者の名前が書かれているメールもある
以前から、不自然な日本語や宛名のないメールは、フィッシングを疑う手がかりの一つでした。
しかし、今回の報告では、受信者の氏名が記載されているフィッシングメールも確認されています。
そのため、名前が正しく書かれているからといって、本物のメールとは限りません。
なお、名前が書かれているメールと、過去に発生した情報漏えいとの関連性は確認されていません。
② 正規サービスのドメインを悪用した誘導もある
2026年9月の報告では、GoogleやMicrosoftなどの正規サービスが使用するドメインを悪用したフィッシングURLも確認されています。
DX担当 ちゃま男えっ！GoogleやMicrosoftのドメインだったら、安全だと思っていました！
ちゃま男の先輩そこが難しいところなんだ。
有名なサービスの仕組みが悪用されて、偽サイトへ誘導される場合もあるんだよ。
だから、見慣れた名前がURLに含まれているだけで、安全と判断してはいけないんだ。
これは、GoogleやMicrosoftのサービス全体が攻撃を受けたという意味ではありません。
正規サービスが提供する一部の機能やページが、不正な誘導に悪用される場合があるということです。
③ メールの文面だけで見分けるのは難しい
最近は、自然な日本語で書かれた偽メールもあります。
一方、2026年9月の報告では、AIに文面作成を指示したと思われる文章が、そのまま残っている不自然なメールも確認されています。
メールが自然だから安全、不自然だから危険と、文章だけで判断することはできません。
中小企業ではどのような被害につながる？
フィッシング詐欺は、個人のクレジットカード情報だけの問題ではありません。
会社で使用している業務アカウントが盗まれた場合、事業に影響する可能性があります。
① Microsoft 365などの業務アカウントが乗っ取られる
例えば、社員が偽のログイン画面に会社のIDとパスワードを入力してしまったとします。
攻撃者がその情報を使える状態になると、メールやクラウド上のファイルなどに不正アクセスされる可能性があります。
さらに、取引先に偽のメールを送られるなど、被害が広がる恐れもあります。
※これは考えられる被害の例であり、すべてのフィッシングで発生するわけではありません。
② 偽の請求書で振り込みを誘導される
例えば、取引先を装ったメールで、
「振込口座が変更になりました」
と案内された場合です。
担当者が確認せずに振り込んでしまうと、会社の資金が詐取される可能性があります。
こうした取引先になりすました金銭詐欺は、ビジネスメール詐欺と呼ばれることもあります。
フィッシングとは手口が異なる場合がありますが、メールの内容だけで重要な判断をしないことが共通の対策になります。
中小企業が取り組むべき5つの対策
DX担当 ちゃま男先輩！見た目も文章も本物そっくりなら、社員が気をつけるだけでは防げないですよね？
ちゃま男の先輩その通り。
社員への注意喚起は必要だけれど、間違えて情報を入力してしまっても、被害を広げない仕組みを作ることが重要なんだ。
優先度1：重要なアカウントに多要素認証を設定する
多要素認証とは、パスワードに加えて別の方法でも本人確認を行う仕組みです。
例えば、スマートフォンの認証アプリや生体認証などを利用します。
パスワードだけの場合と比べて、不正ログインのリスクを減らせます。
可能であれば、偽サイトへの入力に強いパスキーなど、フィッシング耐性のある認証方式も検討しましょう。
ただし、多要素認証も方式によって安全性が異なり、絶対に被害を防げるわけではありません。
優先度2：メール内のリンクからログインしない
「緊急」「利用停止」「本人確認」などと書かれていても、慌ててリンクを開かないようにしましょう。
サービスを確認する場合は、普段使っている公式アプリや、あらかじめ登録したブックマークからアクセスする方法がおすすめです。
優先度3：振込先変更などは別の連絡手段で確認する
銀行口座の変更や高額な振り込みなど、重要な依頼がメールで届いた場合は、メールに記載された連絡先をそのまま信用せず、以前から把握している電話番号などで確認しましょう。
また、振込先の変更には上長確認を必要とするなど、社内ルールを整えることも重要です。
優先度4：メールのセキュリティ設定を見直す
会社で独自ドメインのメールを使用している場合は、SPF、DKIM、DMARCなどの送信ドメイン認証の設定も確認しましょう。
これらは、メールの送信元を確認し、なりすましを検知・抑制するための仕組みです。
ただし、設定すればすべてのフィッシングメールを防げるわけではありません。
設定方法はメールサービスによって異なるため、管理会社やIT担当者に相談することをおすすめします。
優先度5：間違えて入力した場合の対応を決めておく
社員が偽サイトにパスワードを入力してしまった場合、すぐに対応できる体制が必要です。
例えば、次のような対応です。
- 社内のセキュリティ担当者や管理会社へ連絡する
- 正規のログイン画面からパスワードを変更する
- 管理者が不審なログインや認証情報の利用状況を確認する
- 必要に応じてログイン中のセッションを無効化する
- 被害の範囲を確認し、必要な報告や連絡を行う
クレジットカードや銀行口座などの情報を入力した場合は、金融機関にも速やかに相談しましょう。
大切なのは、間違えたことを責めるのではなく、すぐに報告できる仕組みを作ることです。
まず何から始める？企業向けの実践チェック
| 確認すること | 優先度 |
|---|---|
| 重要な業務アカウントに多要素認証があるか | 最優先 |
| 振込先変更を別経路で確認するルールがあるか | 最優先 |
| 不審なメールを報告する連絡先が決まっているか | 高 |
| メールの迷惑メール対策が有効になっているか | 高 |
| 送信ドメイン認証が設定されているか | 高 |
費用をかけずに始められる対策もありますが、利用サービスや契約によっては追加設定や費用が必要な場合があります。
まずは自社で利用しているサービスの標準機能を確認してみましょう。
まとめ｜フィッシング対策は「気をつける」だけでは不十分
2026年9月のフィッシング報告件数は94,661件となり、前月より約15％増加しました。
また、正規サービスのドメインを悪用した誘導や、受信者の氏名を記載した偽メールなども確認されています。
そのため、メールの見た目や文章だけで、正規の連絡かどうかを判断することは難しくなっています。
中小企業が取り組むべきなのは、社員への注意喚起に加え、多要素認証や振り込みの確認ルール、緊急時の報告体制などを整えることです。
社員が一度間違えても、会社全体の被害につながらない仕組みを作ること。
それが、これからのフィッシング対策で重要な考え方です。
参考情報
※本記事は2026年11月3日時点の公開情報をもとに作成しています。報告件数はフィッシング対策協議会に寄せられたものであり、実際の被害者数を示すものではありません。
