「見破った」の直後が危ない — 予算ゼロ・兼務ひとり情シスのためのフィッシング対策 2026

フィッシング対策協議会は、2026年6月分の月次報告を2026年7月16日に公開しました。同月のフィッシング報告件数は72,370件で、前月比では約42.6%の減少です。一方、フィッシングサイトのURL件数(重複なし)は42,241件で、前月比約3.2%増加しています。悪用が確認されたのは98ブランドでした。

ブランド別ではAmazonが約24.0%、VISAが約11.8%、Appleが約11.6%と続き、上位5ブランドで全体の約55.0%を占めます。分野別ではEC(通販)系が約42.7%、クレジットカード・信販系が約27.4%と、日常的に使うサービスを装う手口が中心です。

これらは「報告された件数」で、実際に発生した攻撃の総数ではありません。報告件数が約42.6%減った6月も、フィッシングサイトのURL数は増えています。報告件数の増減だけでは、被害の増減は分かりません。

なお「狙われるのは知名度の高い大企業」という思い込みについては、警察庁統計をもとに セキュリティ入門ガイドのコラム で扱っています(被害の主役は「守る人がいない小さな組織」に移っており、復旧費用も非営利団体の予算では耐えにくい規模です)。数字はそちらに集約しています。

2026年6月11日頃、警視庁サイバーセキュリティ対策本部の公式Xが、新しい手口への注意を呼びかけました。ITmedia(2026年6月15日付)などの報道によると、この手口は2段階で進みます。

• 1通目: わざと見破りやすい不審なメールを送る。例として、「本社会計係」を名乗り、通勤手当の申請を促す文面が挙げられています。
• 2通目: 1通目を不審だと見抜いた受信者に対し、「本社システム担当」を名乗る別のメールを送り、「不審メールの受信状況を調査する」といった名目で偽サイトへ誘導します。

「一度見破ったから安心」という気の緩みにつけこむ設計です。1通目を怪しいと感じて終わりにせず、2通目にも同じ警戒を続けることが対策になります。具体的には、メールに書かれたリンクや連絡先をそのまま使わず、社内の別経路(電話や既知の内線など)で送信元の実在を確認することです。

なお、この手口について警視庁・警察庁の公式Webサイト上の注意喚起文書は、当サイトの調査では確認できていません。ここでの出典は、警視庁公式Xでの発信と、それを報じたITmedia記事です。

団体の公式サイトやメールで使う独自ドメインそのものが乗っ取られると、フィッシング対策の入り口が崩れます。JPRS(日本レジストリサービス)公式の常設注意喚起ページは、乗っ取り対策として、ドメイン名の管理体制を一元化すること、登録情報を定期的に確認すること、連絡先情報を最新に保つこと、強固なパスワードと二要素認証を設定することを挙げています。

JPCERT/CC公式ブログ(2023年10月25日付)は、検索広告経由でレジストラ(ドメイン管理業者)の偽サイトに誘導され、認証情報を盗まれてドメインを乗っ取られた実際の事例を解説しています。同ブログは対策として、検索結果からではなくブックマークや公式アプリからレジストラの管理画面にアクセスすることと、二段階認証の設定を勧めています。

2025〜2026年に限定した「ドメイン更新請求詐欺」のような新しい公式アラートは、当サイトの調査では見つかっていません。ここで紹介しているのは特定の新手口ではなく、ドメイン管理全般に共通する一般的なリスクとしての対策です。

IPA(情報処理推進機構)は2026年3月27日、「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開しました。これまでの「情報セキュリティ5か条」に「バックアップを取ろう！」が加わり、「情報セキュリティ6か条」になっています。

1. OSやソフトウェアは常に最新の状態にしよう！
2. ウイルス対策ソフトを導入しよう！
3. パスワードを強化しよう！
4. 共有設定を見直そう！
5. バックアップを取ろう！
6. 脅威や攻撃の手口を知ろう！

本記事のテーマであるフィッシング対策は、6番目の「脅威や攻撃の手口を知ろう！」に直結します。残る5項目(OS・ソフトの更新、ウイルス対策、パスワード強化、共有設定の見直し、バックアップ)の具体的な始め方は、当サイトの セキュリティ入門ガイド で解説しています。

新しいツールを追加しなくても、すでに契約しているスイートの設定を見直すだけでできることがあります。

Microsoft 365(無償のBusiness Basicを含む)では、Outlookの「報告」ボタンから不審なメールをそのまま報告できます。追加費用や上位ライセンスは不要です。加えて、送信ドメイン認証と呼ばれるSPF・DKIM・DMARCは、DNSにレコードを追加するだけで設定でき、こちらも追加ライセンスは必要ありません。管理者向けの設定としては、組織外から届いたメールに「外部」タグを表示する機能もあるとされていますが、この点は当サイトで公式ドキュメントを直接確認できていません。

Google Workspaceでも、Gmailの迷惑メール報告は標準機能として誰でも使えます。SPF・DKIM・DMARCの設定も、Google公式ヘルプの案内ではエディションを問わずDNSの設定で行えるとされています。

一方、Google Workspaceの「迷惑メールフィルタレポート」という管理者向け機能は、当サイトが公式ヘルプで確認した範囲では上位エディション限定とされており、無料版・下位プランでは使えないとみられます。無料でできる範囲は、送信ドメイン認証と迷惑メール報告までと考えてください。

スイートの導入自体がまだの団体は、 Microsoft 365非営利プラン や Google Workspace の申請ガイドをご覧ください。

設定より先に、1つの言葉を共有してください。「1通目を見破ったら、2通目を疑う」。二段階式フィッシングが狙っているのは、団体のシステムの穴ではなく、見破った直後の安心感です。ここは無料の設定では埋まりません。朝礼でも回覧でも構わないので、この一文だけ職員に共有してください。

設定のほうは、SPF・DKIM・DMARCをDNSに追加することだけ先にやってください。追加ライセンスは不要で、上位プランも必要ありません。団体のドメインを騙ったメールが外部にばら撒かれる事故は、これを入れていない状態でいちばん起きます。

職員向けの注意喚起や研修には、無料で使える公式教材があります。フィッシング対策協議会は「利用者向けフィッシング詐欺対策ガイドライン2026年度版」(2026年6月1日公開)と、事業者向けの「フィッシング対策ガイドライン2026年度版」を公開しています。IPAにも「5分でできる！情報セキュリティポイント学習」といった無料教材がありますが、こちらはURLの直接確認まではできておらず、名称のみの紹介にとどめます。

• フィッシング対策協議会: 2026年6月 フィッシング報告状況
• ITmedia(2026年6月15日付): 「二段階式フィッシング」に関する報道
• JPRS公式: ドメイン名の乗っ取りにご注意ください
• JPCERT/CC公式ブログ(2023年10月25日付): ドメイン名ハイジャックの事例解説
• IPA公式プレスリリース: 中小企業の情報セキュリティ対策ガイドライン第4.0版 / SECURITY ACTION「一つ星」
• Microsoft Learn公式: 不審なメールの報告方法 / DMARCの構成手順
• Google Workspace公式: DMARCの設定方法
• 利用者向けフィッシング詐欺対策ガイドライン2026年度版 / 事業者向けガイドライン2026年度版

数値は各出典と確認時点をセットで記載しています。警察庁・警視庁の公式Webサイト上の文書として確認できていない情報、公式ドキュメントを直接確認できていない機能については、その旨を本文中に明記しています。掲載内容の誤りにお気づきの際は、お問い合わせからご指摘いただけると助かります。