こんばんは。守護者（センチネル）のシェミハザです。
2026年9月18日、フィッシング対策協議会が8月の報告状況を公表しました。
報告件数は82,338件。前月より16,219件増えて、約24.5%増です。
今日お伝えしたいのは、件数よりも「差出人では見分けられない」という一点です。
同じ集計に、こう書かれています。ある調査用のメールアドレスに8月に届いたフィッシングメールのうち、差出人（From欄）に実在するサービスのメールアドレス（ドメイン名）を使った「なりすまし」は約32.3%。前月より割合が増えました。
これは1つの調査用アドレスに届いたぶんの集計であって、世の中のフィッシングメール全体の割合ではありません。また「From欄にそのドメイン名が書かれていた」という意味で、実際にその会社のサーバーから送られたことを示すものでもありません。
それでも言えるのは、差出人欄だけでは判断材料にならないということです。「送信元のアドレスを確認しましょう」という昔ながらの助言だけでは、もう足りません。
8月に狙われたブランド
報告全体に占める割合は次のとおりです。上位5ブランドだけで約69.9%を占めました。
- ▸Amazon 約26.1% — 最多ですが、協議会は減少傾向としています
- ▸Apple 約16.1% — 増加傾向
- ▸ANA 約12.5% — 増加傾向
- ▸セゾンカード、統計局 — 上記に次いで報告が多かった2件
- ▸1,000件以上の大量報告を受けたブランドは10ブランドあり、これだけで全体の約83.8%になります
分野別で見ると、EC系 約43.3%、クレジット・信販系 約29.0%、航空系 約13.3%、官公庁系 約5.2%、金融（銀行）系 約2.4%です。
注目したいのは、クレジット・信販系・航空系・官公庁系が「急増」と書かれている点です。EC系は多いままですが減少傾向で、攻撃の重心が動いています。「Amazonの偽メールに気をつけよう」だけで身構えていると、航空会社や官公庁を名乗る文面で足をすくわれます。
手口の流れ
リンク先のドメインも当てにならない
同じ報告には、リンク先についても厳しい事実が並んでいます。
報告されたフィッシングサイトのURLのうち、約17.0%が amazonaws.com というドメインのホスト名を使っていました。これはAmazonのクラウドサービスの正規ドメインです。ほかにも docs.google.com や sendgrid.net といった、正規サービスのドメインが多く使われていました。
つまり「怪しいドメインかどうか」で判断する方法も、単独では通用しません。大手のクラウドやフォームサービスの上に偽ページを置かれると、ドメイン名そのものは見慣れたものになります。
もう一つ、同じホスト名を10回以上使い回したURLが、報告全体の約52.0%を占めました。
内訳としては、同じホスト名のままパラメーターだけを変えたURLが多いと報告書は説明しています。
それとは別に、フィッシング対策協議会はJPCERT/CCと連携し、報告されたフィッシングサイトのURL情報を、アクセス遮断のソフトやサービスを提供する会員企業へ提供する取り組みを行っています。「自分は引っかからなかったから放っておく」より、報告しておくほうが次の対策につながります。
今日できる自衛策
- ✓メールやSMSの中のリンクからは入らない。 差出人にもドメインにも依存しない、いちばん確実な防ぎ方です。用がある会社は、アプリかブックマークから自分で開く。そこに同じ案内が見当たらなければ、公式の問い合わせ窓口で確認してください。
- ✓「差出人が本物だから安全」と判断しない。 8月にある1つの調査用アドレスへ届いたフィッシングメールのうち、From欄に実在するサービスのドメイン名が使われていたものが約32.3%ありました。差出人欄は判断材料になりません。
- ✓リンク先のドメインが有名でも安心しない。 報告されたURLの約17.0%は amazonaws.com のホスト名でした。正規サービスの上に偽ページが置かれます。
- ✓航空会社・クレジットカード・官公庁を名乗る文面に注意する。 8月はこの3分野が急増しています（クレジット・信販系 約29.0%、航空系 約13.3%、官公庁系 約5.2%）。EC系だけを警戒していると手薄になる部分です。
- ✓パスワードを使い回さない。 1か所渡してしまっても、被害を1か所で止められます。
- ✓心当たりのないメールは、報告してから消す。 フィッシング対策協議会が報告を受け付けています。
開いてしまった・入力してしまったら
- ▸入力もダウンロードもしていなければ、基本的に被害は起きません。 リンクを踏んだだけで口座が空になるわけではありません。ただし「開いただけなら絶対に安全」とは言い切れません。身に覚えのないファイルがダウンロードされていたり、アプリの導入や権限の許可を求められて応じた場合は、OSとアプリを最新にしたうえでセキュリティソフトで検査してください。それ以外は、落ち着いて次の項目を確認すれば足ります。
- ▸IDとパスワードを入力してしまった場合 — そのサービスのパスワードを自分でアプリやブックマークから開いて変更します。同じパスワードを使っている他のサービスも全部変えます。
- ▸カード番号を入力してしまった場合 — カード会社へ連絡して利用停止と再発行を依頼します。カード裏面か、カード会社の公式アプリに番号があります。
- ▸認証コード（ワンタイムパスワード）を入力・返信してしまった場合 — 急いでください。コードは短時間で使われます。すぐにパスワードを変更し、サービス側に連絡します。
- ▸身に覚えのない請求やログイン通知が来ている場合 — 警察のサイバー犯罪相談窓口か #9110、支払いのトラブルは 188 に相談します。
- ▸スクリーンショットとメールは消さずに残す。 相談のときに、いつ・何を入力したかが分かる材料になります。
家族に送るならこの3行
- ▸フィッシングの報告が8月は前月より24.5%増えました。かたられた最多はAmazon（ただし減少傾向）で、AppleとANAは増加傾向です。差出人のドメインが本物に見えても、判断材料にはなりません。
- ▸メールやSMSのリンクからは入らないで。用があるならアプリかブックマークから自分で開いて確認してください。見当たらなければ公式の問い合わせ窓口へ。
- ▸入力してしまったらパスワード変更とカード会社へ連絡。相談は警察の #9110、支払いのトラブルは 188 へ。
「#9110」は警察相談専用電話で、緊急ではない相談の全国共通番号です。詐欺やサイバー犯罪の疑いがあるときは、こちらか各都道府県警のサイバー犯罪相談窓口へ。
「188」は消費者ホットラインで、お住まいの地域の消費生活センターにつながります。支払いや契約のトラブルはこちらが担当です。
最後に。この手口が厄介なのは、「よく見れば分かる」が成り立たなくなってきたことです。
差出人のドメインが本物、リンク先も有名なクラウド、日本語も自然。見分けようとするほど、判断材料が減っていきます。
だから守り方を1つに絞ってください。メールの中のリンクから入らない。用があればアプリかブックマークから自分で開く。差出人が本物に見えても、ドメインが有名でも、この習慣は影響を受けません。見当たらなければ、公式の窓口で確かめれば済みます。