フィッシングとは｜偽装した連絡やWebサイトによる情報の詐取

当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー

フィッシングとは、実在する企業や公的機関、サービスなどを装い、利用者からパスワードやクレジットカード情報などを盗み取る詐欺手法である。

メールやSMSから偽のWebサイトへ誘導する手口が代表的だが、SNS、検索広告、電話なども悪用される。同様の偽装手口は、マルウェアを配布する攻撃にも利用されている。

フィッシングの基本的な仕組み

フィッシングでは、利用者に正規の連絡やWebサイトだと信じ込ませ、認証情報などを入力させる。

典型的な流れは次のとおりである。

偽サイトへの誘導を伴わず、返信や電話によって情報を聞き出す手口もある。

経路	主な手口
メール	企業やサービスを装い、偽サイトへ誘導する
SMS	配送通知や本人確認などを装ってリンクを開かせる
SNS・メッセージアプリ	知人や公式アカウントになりすまして誘導する
検索広告	正規サービスを探している利用者を偽サイトへ誘導する
電話	サポート担当者などを装い、認証情報や確認コードを聞き出す

SMSを利用したフィッシングは「スミッシング」、電話を利用したものは「ビッシング」と呼ばれる。

フィッシングの対象はパスワードだけではない。

取得した認証情報が他のサービスでも使い回されている場合、被害が複数のアカウントへ広がる原因となる。

フィッシングでは、「アカウントを停止する」「支払いに問題がある」「至急本人確認が必要」といった通知によって、利用者の不安や焦りを誘う手口が使われる。

従来は不自然な日本語や不統一なフォント、粗雑なデザインなどが偽装を見抜く手掛かりとなっていた。しかし、生成AIによって自然な文章や精巧な偽装コンテンツを容易に作成できるようになり、見た目だけで正規の連絡と区別することは難しくなっている。

送信者名や企業ロゴなども偽装できるため、表示されている情報だけで正規の連絡と判断するのは危険である。また、HTTPSによる暗号化通信も、接続先が正規の事業者であることを保証しない。

フィッシングと同様に、企業やサービスを装った連絡から不正なファイルを開かせ、マルウェアに感染させる攻撃もある。

また、フィッシングで盗まれた認証情報が組織のシステムへの侵入に悪用され、その後のマルウェア感染につながることもある。

このように、情報を盗む攻撃とマルウェア感染を狙う攻撃では目的が異なるものの、利用者を欺く手口や侵入経路には共通点がある。

フィッシングへの対策では、偽装した連絡を見抜くことだけに頼らず、認証情報を盗まれても悪用されにくい仕組みを組み合わせる。

メールやSMSに記載されたURLは、正規のものと確信できる場合に限って開く。自分が直前に行った登録・認証操作に対応する確認用URLなどが該当するが、操作内容やリンク先に不審な点がないことも確認する。
正規の連絡と判断できない場合はリンクを開かず、公式アプリや登録済みのブックマークなどからサービスへアクセスする。
サービスごとに異なるパスワードを設定し、使い回しを避ける。
多要素認証を有効にする。SMSや認証アプリのワンタイムコードは偽サイトを通じて盗まれるおそれがあるため、対応するサービスではフィッシング耐性を持つパスキーやFIDO2認証を優先する。
パスワードマネージャーの自動入力機能を活用し、登録済みの正規サイトとの不一致に気付きやすくする。
不審な添付ファイルやプログラムを安易に実行しない。

生成AIによって文章やデザインの自然さが安全性の判断材料として弱くなっているため、見た目による判別よりも、正規の経路からアクセスすることを優先する。