フィッシング攻撃に遭うと、深刻な被害をもたらす可能性があります。詐欺師にお客様のユーザー情報を盗まれたり(新しいウィンドウ)、銀行口座（アカウント）から資金を詐取されたり、ランサムウェアの被害に遭ったりする恐れがあります。ビジネスを経営している場合、知的財産、顧客の信頼、そして評判の損失を意味することもあります。
2025年、FBIのインターネット犯罪苦情センター(新しいウィンドウ)は、インターネット犯罪に関する苦情を100万件以上受け付け、報告された損失額は約210億ドルに達しました。フィッシングとスプーフィングはその年、最も多く報告された犯罪タイプであり、19万件以上の苦情が寄せられました。
毎日何十億通ものフィッシングメールが送信される中、フィッシングはオンライン詐欺師が個人や組織を攻撃する主な手法の1つとなっています。
本記事では、フィッシングとは何か、その仕組み、そしてフィッシング攻撃から身を守る方法について説明します。
- フィッシングとは？
- フィッシングの仕組みは？
- フィッシング攻撃の種類
- フィッシングメールの見分け方
- フィッシングを確認するための3つのステップ
- フィッシング攻撃を防ぐ方法
- ビジネスをフィッシングから守る
- フィッシングに対して安全を保つ
フィッシングとは？
フィッシングとは、攻撃者がお客様に偽のメッセージ（通常はメール）を送信し、ログイン情報やクレジットカードの詳細などの機密情報を明かすよう騙したり、お客様のデバイスにマルウェア(新しいウィンドウ)をダウンロードさせたりするオンライン詐欺です。
メッセージは、銀行、メールプロバイダー、またはAmazon、Venmo、PayPal、Facebookなどの人気サービスといった、信頼できる送信元からのものであるかのように見えます。しかし、その目的はお客様を騙して、以下のいずれかの行動をとらせることにあります。
- 一見本物のように見えるものの、実際にはお客様のデータを盗み出すウェブサイトに、個人詳細情報を入力させる
- 悪意のあるウェブサイトへのリンクをクリックさせる、またはコンピューター、タブレット、スマートフォンにマルウェアをインストールする感染した添付ファイルをダウンロードさせる
- メッセージに返信させて、機密性の高い個人データをメールで提供させる
ソーシャルエンジニアリング(新しいウィンドウ)の一種であるフィッシングメッセージは、多くの場合、お客様に深く考えずに返信させるため、緊迫感や興奮を煽る内容になっています。
フィッシングの仕組みは？
通常、フィッシングメッセージには、すぐに何らかの行動をとるよう求める、緊急の要請、脅し、または賞品に関する内容が含まれています。たとえば、お客様のAmazonアカウントが「一時停止」されたため、アカウントを再開するにはアカウント情報の「確認」が必要である、と主張する場合があります。
配送サービスのUPSからのものであるかのように見えるこのフィッシングメールでは、リンクをクリックして「配送料」を支払い、個人情報の詳細を提供するよう求められます。そうしないと、「荷物」は届きません。
しかし、メールの送信元の行を確認すると、それが本物ではないことがわかります。表示名にはUPSと書かれていますが、その後に続くメールアドレス（@bmwsetkani.cz）は明らかにUPSとは関係ありません。そもそも、お客様はUPSでの配達を注文していません。
リンクをクリックすると、クレジットカードの詳細、自宅の住所、その他の機密情報の入力を求められる偽のウェブサイトに誘導される可能性があります。あるいは、メールに一方的な添付ファイルが含まれており、ダウンロードするとお客様のデバイスに自動的にマルウェアがインストールされる可能性もあります。
フィッシングを示すその他の兆候については、以下のフィッシングメールの見分け方をご覧ください。
フィッシング攻撃の種類
詐欺師はSMS、ソーシャルメディア、または電話を介してフィッシングメッセージを配信することがありますが、ほとんどのフィッシング攻撃はメールによるものです。
Eメールフィッシング
攻撃者は、お客様を騙してプライベートな情報を開示させるために、実在する組織からのものであるかのように見せかけたメールを大量に送信します。通常、詐欺師はアカウントのログイン情報、銀行口座やクレジットカードの詳細、またはなりすまし(新しいウィンドウ)に悪用するための個人特定情報を盗むことを目的としています。
フィッシングメールは通常、一般的な内容であり、迷惑メールとして大量に送信されます。送信される数が多いほど、誰かが「引っかかる」確率が高くなります。
スピアフィッシング
スピアフィッシングメールは通常、組織内の特定の人物（多くの場合、特別なアクセス権限を持つ人物）に送信されます。その目的は、ログイン詳細などの機密情報を盗み出すこと、あるいは被害者のデバイスをマルウェアに感染させて機密データを収集することです。
メッセージは多くの場合、パーソナライズされており、ターゲットが信頼できる送信元から送られてきたように見えるため、警戒を怠ってしまいがちです。たとえば、会社の会計士になりすました詐欺師が、会計士のアシスタントにメールを送り、偽の業者への至急の支払いを求めることがあります。
スピアフィッシングは、ビジネスメール詐欺（BEC）(新しいウィンドウ)の主な手法の1つです。
ホエールフィッシング（ホエーリング）
スピアフィッシングと同様に、ホエーリングはパーソナライズされた攻撃ですが、ターゲットはCEOなどの経営幹部です。経営幹部（Cレベル）をターゲットにすることで、詐欺師はより価値のある情報や財務アカウントへのアクセス権を得ることを狙っています。
スピアフィッシング同様、メッセージが高度にパーソナライズされ、説得力がある（明らかに信頼できる相手からのものであるように見える）ため、ターゲットは簡単に被害に遭う可能性があります。
ビッシングとスミッシング
ビッシングとは、詐欺の電話やボイスメールを使用するフィッシングの一種です。実在する企業を装った詐欺師が、お客様に電話をかけ（実在の人物またはロボコール）、個人情報を聞き出そうとします。
たとえば、「ブロードバンドプロバイダー」から電話がかかってきて、お客様のアカウントに問題があると言われます。「問題を解決する」ために、名前、社会保障番号、またはクレジットカード情報を尋ねられることがあります。
スミッシングは、単にメールの代わりにSMSテキストを使用するフィッシングです。フィッシングメールと同様に、テキストには個人データを盗むために使用される偽のウェブサイトへの悪意のあるリンクが含まれている場合があります。あるいは、リンクをクリックすることで、お客様のデバイスにマルウェアがダウンロードされる可能性もあります。
アングラーフィッシング（ソーシャルメディア）
アングラーフィッシングとは、詐欺師が企業のカスタマーサービス担当者を装ってソーシャルメディアのアカウントをセットアップすることです。ソーシャルメディア上で顧客の苦情や問い合わせを傍受し、「問題を調査するため」として被害者に個人情報の詳細を提供するよう求めます。
もう一つの方法は、ソーシャルメディアのログインページに似せた偽のウェブサイトを作成することです。また、詐欺師はソーシャルネットワークから送信されたように見せかけたフィッシングメールをお客様に送信し、個人情報の詳細を「更新」または「確認」するよう求めることもあります。
クラウドストレージのメール詐欺
クラウドストレージのメール詐欺は、Google ドライブ、Dropbox、Microsoft OneDriveなどのサービスを装い、ストレージが容量制限に達している、または有効期限切れが近づいているという警告を表示します。このメッセージは、プランをアップグレードするかアカウントを確認するために、すぐにリンクをクリックするよう促します。さもないと、ファイルを失うリスクがあります。
リンクをクリックすると、通常、認証情報やクレジットカードの詳細を盗むように設計された偽のログインページまたは決済ページに誘導されます。ストレージの状況が本当に気になる場合は、ブラウザにアドレスを直接入力してサービスのウェブサイトにアクセスするか、公式アプリを使用してサインインしてください。メール内のリンクは絶対にクリックしないでください。
フィッシングメールの見分け方
一部のフィッシングメールは正規の送信元からのように見えますが、多くの場合、偽物であることを示す明確な兆候が含まれています。
以下の危険信号（レッドフラッグ）に注意してください。メッセージ内にこれらが1つでも見つかった場合、フィッシング攻撃である可能性が非常に高いです。
1. 非公式の差出人のアドレス：
差出人フィールドの送信者はsecurity@paypal.comとなっていますが、実際のメールアドレスは です。@paypal.comではなく、非公式のアドレスである@paypat483576.comが使用されていることは、メッセージが偽物であることを示す分かりやすい兆候です。
2. 一般的な挨拶
正規のメールでは通常、「アリスさん、こんにちは」や「ボブ・ジョーンズ様、こんにちは」のように宛名にお客様の名前が使われますが、詐欺師は「お客様へ」などの一般的な挨拶や、単に「こんにちは」の後にメールアドレスを続けるケースがよくあります。あるいは、挨拶が全くない場合もあります。
3. 緊急の要請、脅迫、または景品
フィッシングメールでは、アカウントが侵害されたと偽ることがよくあります。そして、個人情報の詳細を「検証」または「確認」するために至急対応するよう求め、対応しない場合はアカウントを一時停止または閉じる（閉鎖する）と脅してきます。
その他にも、期間限定の「税金の還付」、「宝くじの当選」、または「特別オファー」など、嬉しいサプライズを知らせるものもあります。あるいは、偽のアダルトサイトの見知らぬ美男美女が、突然お客様をパートナーに選んだというような内容もあります。
4. 文法やスペルの間違い
詐欺師は必ずしも文章が得意とは限らないため、エラー（誤り）に注意してください。例えば、文の途中で大文字の「We」が使われていたり、「PayPal」の代わりに「Pay-pal」と企業名が誤って綴られていたりするような単純なミスがあります。
5. リンク、ボタン、または未承諾の添付ファイル
フィッシングメッセージは、多くの場合、個人情報の入力や支払いのためにボタンやリンクをクリックするよう誘導します。コンピューターを使用している場合は、リンクの上にマウスを重ねると（クリックはしないでください！）、実際のURL（https://www.flyt.it）がリンクテキストのURL（https://www.paypal.com）と異なっていることが確認できます。
あるいは、偽の請求書のような添付ファイルが含まれており、ダウンロードするとコンピューターがマルウェアに感染する危険性があります。
一部のフィッシングメールは完全に正常に見える場合があることを忘れないでください。唯一の手がかりは、不審な意図があるかどうかだけです。
例えば、お客様が会社の会計担当者で、「上司のサリー」（実際は詐欺師）から見知らぬ銀行口座へ至急電信送金をするようメールが届いたと仮定します。メールはサリーからのように見えますが、彼女がそのようなことをするでしょうか？ 彼女の文章のスタイルでしょうか？ 疑わしい場合は、電話やメッセージで直接本人に確認してください。
フィッシングをチェックするための3つのステップ
上記はすべてフィッシングの明確な兆候ですが、すべての詐欺メールがこれほど簡単に見分けられるわけではありません。
そのため、ボタン、リンク、添付ファイルが含まれているメールや、個人情報の詳細を求めるメールを受信したとき（特に緊急の対応を求められている場合）は、以下のステップを実行することをお勧めします。
突然連絡をしてきて、今すぐ対応しないと大変なことになると急かすのは詐欺師だけであることを忘れないでください。また、正規の企業がメールで機密情報の提供を求めることはありません。
例えば、銀行からの「緊急」メッセージが気になる場合は、自身のアカウントにログインするか、直接銀行に問い合わせて確認してください。ただし、メッセージに記載されている連絡先の詳細やログインリンクは使用しないでください。
フィッシング攻撃を防ぐ方法
フィッシングの兆候を警戒することは、身を守る方法の1つに過ぎません。すべてのデバイスでフィッシングのリスクを最小化する方法は以下の通りです。
1. メールを保護する
Proton Mailのような、スマート迷惑メールフィルターを備えた安全なメールプロバイダーを使用してください。Proton Mailは、迷惑メールを自動的に迷惑メールフォルダーに振り分けるほか、潜在的なフィッシング攻撃にフラグを立てるPhishGuard高度なフィッシング保護機能を備えています。
また、Proton Mailのウェブおよびモバイルアプリでフィッシングの報告を簡単に行うことができます。
2. リンクと添付ファイルに注意する
送信元が不明なメール、テキストメッセージ、またはソーシャルメディア内のリンクをクリックしたり、添付ファイルをダウンロードしたりしないでください。
コンピューターを使用している場合は、リンクの上にマウスを重ねる（クリックはしないでください！）ことで、移動先のURLを確認できます。この偽のUPSフィッシングメールでは、URL（https://zpr.io/xxx）が明らかにUPSとは無関係であることが分かります。
Proton Mailでは、リンクの確認機能を使用して、eBay UK（ebay.co.uk）からのこのリンクのように、メールのリンクが本物であることを確認できます。
3. 迷惑メールには応答しない
迷惑メールを開いたり、何らかの形で応答したりしないでください。迷惑メールやSMSに返信（例えば、登録解除をクリックしたり、STOPと返信したり）すると、メールアドレスや電話番号が有効であることを迷惑メール送信者に知らせるだけになってしまいます。これらは削除してください。
メールを開くと、メールトラッカーによってウェブ上でお客様が追跡される可能性もあります。トラッカーをブロックするために、高度な追跡防止機能を備えたProton Mailを導入しましょう。
4. ウイルス対策ソフトウェアをインストールする
ウイルス対策やインターネットセキュリティのソフトウェアには、潜在的なフィッシングメールをブロックする迷惑メールフィルターが含まれている場合があり、多くのサブスクリプションでデスクトップやモバイルデバイスがサポートされています。信頼できるブランドのソフトウェアを選び、常に最新のウイルス定義およびマルウェア定義に更新されていることを確認してください。
万が一、フィッシングリンクを誤ってクリックし、マルウェアをダウンロードしてしまった場合でも、セキュリティソフトウェアがそれを検出し、無効化することがあります。
5. デバイスを常に最新の状態に保つ
コンピューターやスマートフォンのオペレーティングシステム、ブラウザ、ブラウザプラグイン、その他のアプリを、セキュリティパッチが適用された最新バージョンに常に更新してください。
これにより、オペレーティングシステムの脆弱性を悪用するフィッシングからお客様を保護することができます。
6. 強力なパスワードと2要素認証（2FA）を使用する
すべてのオンラインアカウントで、強力で固有のパスワードを必ず使用してください。強力なパスワードを作成して記憶するために、優れたオープンソースのパスワードマネージャーを使用することをお勧めします。
また、可能な限りすべての場所で2要素認証（2FA）を有効にしてください。そうすれば、万が一フィッシングによってユーザー名やパスワードが流出しても、詐欺師がお客様のアカウントにアクセスすることはできなくなります。
7. データをバックアップする
オフラインバックアップを含め、定期的にデータのバックアップを作成してください。そうすれば、デバイスがランサムウェアやその他のマルウェアに感染し、データが消失した場合でも、いつでもデータを復元できます。
フィッシングからビジネスを保護する
2022年、米国ではビジネスメール詐欺（BEC）によりビジネスにおいて27億ドル以上の損失が発生(新しいウィンドウ)しました。同年にサイバー攻撃を報告した英国の企業のうち、83%がその攻撃はフィッシングであった(新しいウィンドウ)と回答しています。
フィッシング攻撃の被害に遭うと、データ侵害やランサムウェア攻撃に見舞われる恐れがあります。金銭やデータの損失だけでなく、ブランドや顧客からの信頼も損なわれる可能性があります。
そのため、ビジネスを運営されている場合、フィッシング対策を講じることはサイバーセキュリティにおいて極めて重要です。ビジネスに対するフィッシングのリスクを最小化する方法を以下に紹介します。
迷惑メールおよびフィッシングフィルターを有効にする
メールやインターネットセキュリティソフトウェアで、迷惑メールおよびフィッシングフィルターが有効になっていることを確認してください。
Proton for Businessにサインアップすると、デフォルトで自動迷惑メールフィルターと高度なフィッシング保護機能であるPhishGuardが有効になったProton Mailをご利用いただけます。また、Proton Mailには、詐欺師が迷惑メールやフィッシング攻撃に貴社のドメインを使用するのを防ぐためのカスタムドメイン向けスプーフィング（なりすまし）防止機能も含まれています。
チームをトレーニングする
従業員がフィッシングを見分けられるよう、定期的にフィッシングの啓発トレーニングを実施してください。ITリソースがある場合は、模擬フィッシングメールを送信して実践的な経験を積ませることもできます。また、フィッシングの疑いがあるメールを簡単に報告できるようにしておきましょう。
強力なパスワードと2要素認証（2FA）を義務付ける
ITシステムにおいて、チームのすべてのデバイスで強力なパスワードと2要素認証（2FA）が義務付けられていることを確認してください。万が一、フィッシングによってチームのログイン情報が流出してしまっても、2要素認証（2FA）が追加の防衛線となります。
法人向けウイルス対策ソフトを導入する
チームに数人以上のメンバーがいる場合は、エンタープライズ向けのサイバーセキュリティソフトウェアの導入をご検討ください。法人向けのウイルス対策ソリューションには、個々のデバイスだけでなく、ネットワーク全体におけるエンドポイントセキュリティ(新しいウィンドウ)に焦点を当てたリアルタイムの脅威監視が含まれています。
重要なデータを保護する
自社を保護するために、ビジネスデータを暗号化しましょう。Proton for Businessの導入をご検討ください。これにより、メール、カレンダー、オンラインストレージをエンドツーエンド暗号化で安全に保護できます。万が一データ侵害によってファイルが流出した場合でも、お客様とお客様が承認した人物以外はデータにアクセスすることはできません。
データをバックアップする
オフラインバックアップを含め、会社の重要な情報を定期的にバックアップしてください。そうすれば、フィッシング詐欺によりデータが消失してしまった場合でも、いつでも情報を復旧できます。
フィッシングに対して安全に保つ
大量送信される迷惑メールから、特定の人物を狙うホエーリングまで、フィッシングは今でも詐欺師がオンライン詐欺を行う主な手段の一つであり、私たち全員がその標的となっています。
フィッシングは人為的ミスに依存しているため、警戒を怠らないことが最善の防御策です。フィッシングの兆候があるメッセージを受信した場合は、開いたり返信したりせず、削除してください。
しかし、私たちは皆人間であり、経験豊富なITセキュリティの専門家であっても、時にはフィッシングに引っかかってしまうことがあります。そのため、リスクを軽減するための対策を講じる必要があります。
Protonでは、以下のようなフィッシング対策として最大限の効果を発揮する機能を備えたProton Mailを設計しました。
- 潜在的なフィッシング攻撃にフラグを立てる、PhishGuard高度なフィッシング保護機能
- 迷惑メールを自動的に振り分ける、スマート迷惑メール検知およびカスタムフィルター
- 開く前にリンクを確認できる、リンク確認機能
- なりすましの可能性があるなりすましアドレスにフラグを立てるドメイン認証警告、およびお客様のドメインがなりすましに使用されるのを防ぐためのカスタムドメインスプーフィング防止機能
- エンドツーエンドで暗号化されたメールの差出人を検証する、アドレス検証機能
- 潜在的な詐欺師から個人のアドレスを隠すためのエイリアス
- どのメールがProtonから送信されたものかを簡単に識別できる、弊社の公式バッジ
不審なメッセージに注意し、Proton Mailを導入して安全を確保しましょう！
