フィッシング詐欺とは？わかりやすく仕組みや手口を理解しよう

フィッシング詐欺は、銀行や宅配会社、通販サイトなどを装って個人情報をだまし取る代表的なネット詐欺です。しかし、「名前は聞いたことがあるけれど詳しくは知らない」という人も少なくありません。

まずはフィッシング詐欺とは何か、どのような仕組みで被害が発生するのか、よくある手口や具体例をわかりやすく確認していきましょう。

やさしく理解

“`

フィッシング詐欺とは簡単に言うと、有名な会社やサービスのふりをして、偽の画面に情報を入力させる詐欺です。

「フィッシング」は英語で「Phishing」と書きます。偽物のメッセージを餌のように見せ、利用者がリンクを押すのを待つ様子が、魚釣りに似ていることから使われるようになった言葉です。

“`

一般的なフィッシング詐欺では、偽サイトを開いただけではなく、そこでIDやパスワードなどを入力して送信したときに情報を盗まれます。ただし、悪意のあるファイルをダウンロードしたり、アプリのインストールを求められたりする手口もあるため、「入力していないから絶対に安全」とは言い切れません。

フィッシング詐欺とは、信用している会社のふりをして偽サイトへ誘導し、大切な情報を入力させる手口です。見た目が本物に似ていても、メールやSMSから開いた画面をすぐに信用しないことが大切です。

• 大量の人へ一度に偽メールやSMSを送れる
• 本物と見分けにくい偽サイトを短時間で作れる
• 有名企業や行政機関の名前を悪用できる
• 新しい手口へ次々と変化している
• 「自分は大丈夫」という心理を利用している

犯人が簡単に大量のメールを送れるため

フィッシング詐欺が減らない最大の理由の一つは、犯人が非常に少ない手間と費用で大量のメールやSMSを送信できることです。

昔の詐欺は、一人ひとりへ電話をかけたり直接接触したりする必要がありました。しかし現在は、コンピューターを使えば何万件、何十万件ものメールを短時間で一斉送信できます。

たとえ反応する人が100人に1人しかいなくても、何十万人へ送れば多くの被害者が生まれてしまいます。そのため、犯人にとっては効率の良い犯罪になってしまっているのです。

警察庁でも、携帯電話会社・宅配業者・銀行などを装ったメールやSMSが大量に送信されていることを公表しており、検索サイトの広告を悪用するケースも確認されています。つまり、メールだけを警戒すれば安心という状況ではありません。

本物そっくりのサイトを作りやすいため

もう一つの大きな理由は、本物とほとんど見分けがつかない偽サイトを簡単に作れるようになったことです。

以前は、偽サイトのデザインが雑だったため違和感に気付きやすいケースもありました。しかし現在は、本物のロゴや色使い、ボタン配置まで似せて作られることが多く、一見しただけでは区別できない場合も少なくありません。

さらに最近では、送信元メールアドレスや表示名まで本物のように見せかける手口や、検索サイトの広告から偽サイトへ誘導するケースも確認されています。このため、「見た目だけ」で本物かどうかを判断することは非常に難しくなっています。

ID・パスワード

フィッシング詐欺で最も多く狙われるのが、IDやパスワードです。

銀行、通販サイト、SNS、メールサービス、キャッシュレス決済などのログイン情報を盗まれると、犯人は本人になりすましてサービスへログインできるようになります。

さらに怖いのは、同じパスワードを複数のサービスで使い回している場合です。一つのサービスで盗まれたID・パスワードを他のサービスにも試す「リスト型攻撃」が行われ、複数のアカウントが一度に乗っ取られる可能性があります。警察庁でもパスワードの使い回しをしないよう注意を呼びかけています。

クレジットカード情報

次に狙われやすいのが、クレジットカード番号・有効期限・セキュリティコードです。

偽サイトでは「カード情報を確認してください」「本人確認が必要です」と表示されることがあります。しかし、そこで入力した情報は決済ではなく、犯人へ送信されます。

カード情報を盗まれると、ネットショップなどで身に覚えのない買い物をされる可能性があります。警察庁でも、カード会社を装ったSMSから偽サイトへ誘導され、不正利用される被害事例が紹介されています。

銀行口座や個人情報

フィッシング詐欺では、銀行口座番号だけでなく、氏名・住所・電話番号・生年月日・メールアドレスなどの個人情報も狙われます。

一見すると「名前や住所くらいなら問題ない」と思うかもしれません。しかし、こうした情報が集まると、本人確認を突破する材料になったり、別の詐欺で利用されたりする可能性があります。

最近では、本人確認書類の画像やマイナンバーカード、運転免許証の写真をアップロードさせようとする手口も確認されています。警察庁でも、これらの画像情報を入力させるケースについて注意を呼びかけています。

メールアドレスが流出している場合

フィッシング詐欺のメールが届く理由として最も多く考えられるのが、どこかでメールアドレスが外部へ流出しているケースです。

近年は企業やインターネットサービスへの不正アクセスによって利用者情報が漏えいする事件が世界中で発生しています。漏えいしたメールアドレスは犯罪グループの間で売買・共有され、フィッシング詐欺の送信先として悪用されることがあります。

また、懸賞サイトや会員登録、過去に利用したサービスなどから流出するケースもあります。ただし、利用者本人に落ち度があるとは限らず、サービス提供側がサイバー攻撃を受けた結果、情報が漏えいする場合も少なくありません。

なお、メールアドレスが流出していても、必ず被害に遭うわけではありません。重要なのはメールを受け取った後にリンクを押さないことです。

無作為に大量送信されている場合

実は、メールアドレスが流出していなくてもフィッシング詐欺のメールが届くことがあります。その理由は、犯人が無作為に大量送信しているためです。

犯罪グループは、自動送信システムを使って膨大な数のメールを送り、「誰か一人でもだまされれば成功」という考え方で犯行を繰り返しています。そのため、普段ほとんどネットサービスを利用しない人のもとにも届くことがあります。

警察庁でも、フィッシングメールだけでなくSMS、検索サイトの広告、企業になりすました送信元メールなど、さまざまな方法で偽サイトへ誘導する事例が確認されているとしています。また、送信元の名前やメールアドレスは簡単に偽装できるため、「有名企業から届いたように見える」だけで信用しないことが重要です。 

宅配会社を装うSMS

代表的なのが、宅配会社を装ったSMS（ショートメッセージ）です。

例えば、「お荷物をお届けしましたが不在でした」「再配達はこちらから」「住所確認が必要です」といった内容のSMSが届き、本文のリンクを押すよう誘導されます。

リンク先では偽サイトが表示されたり、不正なアプリのインストールを求められたりすることがあります。警察庁でも、宅配業者を装ったSMSからアプリをインストールさせ、スマートフォンがさらにフィッシングSMSの送信元になってしまった事例を紹介しています。 

銀行やクレジットカード会社を装うメール

銀行やクレジットカード会社を装ったフィッシングメールも非常に多く確認されています。

「不正利用を検知しました」「本人確認が必要です」「セキュリティ強化のためログインしてください」といった件名で利用者を驚かせ、偽サイトへ誘導するのが典型的な流れです。

そこでインターネットバンキングのID・パスワードやカード番号、ワンタイムパスワードなどを入力すると、不正送金やカードの不正利用につながるおそれがあります。警察庁では、この手口による被害事例を具体的に紹介し、金融機関がメールやSMSでパスワードなどを問い合わせることは基本的にないと注意を呼びかけています。 

ECサイトや通販サイトを装うメール

大手ECサイトや通販サイトを装うフィッシングも広く確認されています。

「アカウントに不審なログインがありました」「お支払い方法を更新してください」「注文内容を確認してください」などのメールやSMSを送り、ログイン画面そっくりの偽サイトへ誘導します。

警察庁でも、大手通販サイトを装ったSMSで「アカウントがロックされました」と表示し、ID・パスワードを入力させる事例を紹介しています。通販サイトは利用者が多いため、「本当に注文したかもしれない」と思わせやすい点が特徴です。 

通信会社やキャッシュレス決済を装うメール

通信会社や電子マネー、QRコード決済サービスを装ったフィッシングも増えています。

「料金のお支払いが確認できません」「ポイントが失効します」「利用制限がかかります」などの内容で不安をあおり、ログイン画面や支払い画面に似せた偽ページへ誘導します。

キャッシュレス決済サービスは銀行口座やクレジットカードと連携していることも多いため、アカウントを乗っ取られると不正送金や不正決済につながるおそれがあります。関係機関も、身に覚えのないキャッシュレス決済による銀行口座からの不正出金に注意するよう呼びかけています。 

フィッシング詐欺は、万が一リンクを開いたり情報を入力したりしてしまっても、その後の対応次第で被害を最小限に抑えられる場合があります。また、日頃から正しい対策を知っておけば、詐欺メールや偽サイトを見抜ける可能性も高まります。

この章では、被害に遭った場合の対処法や、今日から実践できる予防策をわかりやすく紹介します。

メールやSMSのリンクを安易に開かない

最も効果的な対策は、メールやSMSに書かれているリンクをそのまま押さないことです。

フィッシング詐欺のほとんどは、「リンクを押して偽サイトへ誘導する」ことから始まります。つまり、リンクを開かなければ被害に遭う可能性は大きく下がります。

「荷物のお届け」「アカウント停止」「不正利用を確認しました」など急がせる内容でも、一度落ち着いて本当に利用しているサービスなのか確認しましょう。

公式サイトや公式アプリからアクセスする

ログインや手続きが必要な場合は、メールやSMSのリンクではなく、自分で公式サイトや公式アプリを開く習慣をつけましょう。

例えば、銀行や通販サイトから「ログインしてください」というメールが届いても、そのメールのリンクは使わず、ブックマークしている公式サイトやスマートフォンの公式アプリからアクセスする方が安全です。

もし本当に重要なお知らせであれば、公式サイトへ直接アクセスしても同じ内容を確認できます。

二段階認証を設定する

二段階認証（多要素認証）とは、IDとパスワードだけでなく、スマートフォンに届く認証コードや認証アプリなどを組み合わせて本人確認を行う仕組みです。

万が一パスワードが盗まれてしまっても、認証コードがなければログインできないため、不正アクセスを防げる可能性が高くなります。

警察庁やフィッシング対策協議会も、多要素認証の利用を推奨しています。ただし、認証コードそのものを偽サイトへ入力してしまう手口もあるため、コードを求められたときは本当に公式サイトかどうかを確認することが大切です。

パスワードを使い回さない

一つのパスワードを複数のサービスで使い回していると、一つのアカウント情報が漏れただけで他のサービスまで不正ログインされる危険があります。

犯罪グループは、盗んだID・パスワードをさまざまなサービスで試す「リスト型攻撃」を行うことがあります。そのため、銀行・通販・SNS・メールなどは、それぞれ別のパスワードを設定することが重要です。

フィッシング詐欺を完全に見抜くことは難しくても、「リンクを開かない」「公式サイトからアクセスする」「二段階認証を利用する」「パスワードを使い回さない」という4つを意識するだけで、多くの被害を防げます。特別な知識よりも、毎日の小さな習慣が一番の対策になります。

メールやSMSを削除する

情報を入力していない場合は、フィッシングメールやSMSを削除するだけで十分なケースがほとんどです。

メールを受信しただけで個人情報が盗まれるわけではありません。しかし、受信箱に残しておくと、後日見返したときに誤ってリンクを押してしまう可能性があります。

また、家族とスマートフォンを共有している場合は、別の人が開いてしまうことも考えられます。不審なメールだと判断したら、そのまま削除して問題ありません。

不審なURLには再度アクセスしない

一度リンクを開いてしまったとしても、情報を入力していないのであれば、同じURLへ再びアクセスする必要はありません。

「本当に公式サイトだったのか確認したい」と思って再度開いてしまう人もいますが、それは避けたほうが安全です。確認したい場合は、メールやSMSのリンクではなく、自分で公式サイトのURLを入力するか、公式アプリからアクセスしましょう。

また、不審なURLをブックマークしたり、家族や友人へ転送したりすることも避けてください。誤って開いてしまう原因になります。

入力内容を確認する

最初に確認したいのは、どこまで入力したのかです。

例えば、メールアドレスだけ入力した場合と、ID・パスワードやクレジットカード番号まで入力した場合では、必要な対応が大きく異なります。また、入力画面を開いただけなのか、「送信」ボタンまで押したのかも重要なポイントです。

心配な情報は変更しておく

IDやパスワードを入力してしまった可能性がある場合は、できるだけ早く正規サイトからパスワードを変更しましょう。

変更するときは、メール内のリンクではなく、公式アプリやブックマークしている公式サイトからアクセスしてください。また、同じパスワードを他のサービスでも使っている場合は、それらも順番に変更しておくと安心です。

カード番号や銀行情報まで入力してしまった場合は、パスワード変更だけでは十分ではありません。カード会社や金融機関へ連絡し、不正利用がないか確認してもらうことが重要です。

パスワードをすぐ変更する

ログインIDやパスワードを入力してしまった場合は、できるだけ早く正規サイトからパスワードを変更しましょう。

変更するときは、フィッシングメールやSMSに記載されているリンクは使わず、公式アプリやブックマークしている公式サイトからアクセスしてください。偽サイトへ再度アクセスしてしまうと、変更後のパスワードまで盗まれるおそれがあります。

また、同じパスワードを他のサービスでも使用している場合は、それらも順番に変更することが大切です。犯罪グループは盗んだID・パスワードを他のサービスでも試す「リスト型攻撃」を行うことがあります。

カード会社や金融機関へ連絡する

クレジットカード番号や銀行口座情報を入力してしまった場合は、カード会社や金融機関へできるだけ早く連絡しましょう。

事情を説明すると、カードの利用停止や再発行、不正利用の調査など必要な対応を案内してもらえます。早く連絡するほど、不正利用を防げる可能性が高くなります。

また、ワンタイムパスワードや認証コードまで入力した場合は、そのことも必ず伝えてください。状況に応じて追加の本人確認やセキュリティ対策を案内してもらえる場合があります。

不正利用がないか確認する

対応が終わった後も、しばらくは利用履歴や口座の入出金を確認することが大切です。

フィッシング詐欺では、情報を盗んだ直後に悪用されるとは限りません。数日後や数週間後に不正利用されるケースもあるため、定期的に利用履歴を確認しましょう。

身に覚えのない決済や送金を見つけた場合は、自分で判断せず、すぐにカード会社や金融機関へ相談してください。

不審な電話やSMSに注意する

電話番号を入力した後は、見知らぬ番号からの電話やSMSに今まで以上に注意しましょう。

犯罪グループは、電話番号が実際に使われていることを確認すると、その番号へ繰り返しフィッシングSMSや詐欺電話を送ることがあります。また、銀行・宅配会社・通信会社・警察などを名乗る電話がかかってくるケースも報告されています。

知らない番号から電話がかかってきても、慌てて個人情報を答える必要はありません。本当に重要な用件であれば、公式窓口へ自分から折り返して確認する方が安全です。

個人情報を追加で伝えない

電話番号を入力してしまった後に最も重要なのは、追加で個人情報を伝えないことです。

犯罪グループは、一度入手した電話番号を使って電話をかけ、「本人確認の続きを行います」「セキュリティ確認です」などと言って、氏名・住所・生年月日・銀行口座・クレジットカード番号・認証コードなどを聞き出そうとすることがあります。

しかし、正規の金融機関やカード会社が、電話で暗証番号やワンタイムパスワードを聞き出すことは基本的にありません。少しでも不審に感じたら、その場で回答せず、一度電話を切って公式窓口へ確認しましょう。

クレジットカードの場合

フィッシング詐欺でクレジットカード情報が盗まれ、不正利用された場合は、カード会社の補償制度によって返金される可能性があります。

多くのカード会社では、不正利用と認められた場合に補償制度を用意しています。ただし、補償の対象になるかどうかは、利用規約や被害の状況、連絡した時期などによって判断されます。

例えば、暗証番号を第三者へ教えてしまった場合や、長期間放置して連絡が遅れた場合などは、補償内容に影響することもあります。そのため、被害に気付いたらカード会社へすぐ連絡することが重要です。

銀行口座の場合

インターネットバンキングのIDやパスワードが盗まれ、不正送金された場合も、金融機関の補償制度の対象となる可能性があります。

ただし、こちらも必ず全額補償されるとは限りません。各金融機関の規定や被害状況などをもとに判断されます。

金融庁では、フィッシングによるインターネットバンキングの不正送金被害が増加しているとして注意を呼びかけており、金融機関でも被害回復に向けた取り組みが進められています。

補償を受けるために早めの連絡が重要

返金や補償を受けられる可能性を高めるために最も重要なのは、被害に気付いたらできるだけ早く連絡することです。

「様子を見よう」と数日放置してしまうと、不正利用が増えたり、補償の手続きが難しくなったりする場合があります。少しでも不安があるときは、自分で判断せず、まずカード会社や金融機関へ相談しましょう。

警察庁でも、フィッシング被害に遭った場合は、サービス提供会社へ相談するとともに、速やかにパスワード変更などの対応を行うよう案内しています。

利用している金融機関・カード会社

お金やカードに関係する情報を入力してしまった場合は、最初に連絡すべき相手は利用している金融機関やカード会社です。

カードの利用停止や再発行、不正送金の確認、アカウント保護などは、サービス提供会社でなければ対応できません。早めに連絡することで、不正利用を未然に防げる可能性が高くなります。

また、ネットバンキングや電子決済サービスを利用している場合も、ログイン情報を入力した可能性があれば、パスワード変更だけでなく運営会社へ事情を伝えておくと安心です。警察庁でも、被害に気付いたらサービス提供元へ速やかに連絡するよう案内しています。 

警察・消費生活センター

被害に遭った場合や、「詐欺かもしれない」「どう対応すればいいかわからない」という場合は、警察や消費生活センターへ相談することも大切です。

警察では、被害相談や証拠の確認、今後の対応について案内を受けられます。また、緊急ではない相談は警察相談専用電話「#9110」や各都道府県警察のサイバー犯罪相談窓口も利用できます。

契約や返金、事業者とのやり取りなどで困っている場合は、消費生活センターへの相談も有効です。どこへ相談すればよいかわからないときは、消費者ホットライン「188（いやや！）」へ電話すると、お住まいの地域の相談窓口を案内してもらえます。 

フィッシング詐欺とは、本物の企業や金融機関、宅配会社、通販サイトなどになりすまして偽サイトへ誘導し、ID・パスワードやクレジットカード情報、銀行口座情報などを盗み取る詐欺です。

最近ではメールだけでなく、SMS（ショートメッセージ）、検索広告、SNSなど、さまざまな方法で偽サイトへ誘導する手口が確認されています。本物と見分けがつかないほど精巧なサイトも増えているため、「見た目だけ」で判断するのは難しくなっています。

しかし、被害の多くはメールやSMSのリンクを開かず、公式サイトや公式アプリからアクセスするという基本を守ることで防げます。また、二段階認証を設定し、サービスごとに異なるパスワードを使うことも重要な対策です。