かぎの マークは、「この つうしんは、とちゅうで のぞかれにくい ように あんごうに して います」と いう しるしです。たとえば、ふうとうに かぎを かける ような ものです。

でも、ふうとうが とどく あいてが ほんものか どうかは、べつの はなしです。そうむしょうも、かぎの マークは つうしんが あんごうに なって いる ことを しめす だけで、ほんものの ほしょうには ならない と せつめいして います［2］。

にせの サイトでも、あんごうの ための しょうめいしょが かんたんに とれる ため、あんぜんそうに みえる ことが あります［1］。

ほかにも、みための そっくりさや、しぜんな にほんごの メールが あります。けいさつちょうは、みために たよって ほんものか にせものかを みわけるのは、とても むずかしい と いって います［3］。

ただし ふうとうの はなしは たとえです。ほんとうは、ネットの うらがわの しくみです。

鍵マークが示しているもの

鍵マークは、ブラウザと相手のサイトの間の通信が暗号化されていることを示す印です。総務省の解説は、鍵マークは通信の暗号化を示すだけで、本物であることの保証にはならないとしています［2］。封筒に鍵をかけても、その封筒を受け取る相手が本物とは限らないのと似ています。ただし、これはたとえ話です。

フィッシング対策協議会によると、偽サイトでも証明書を簡単に取得できるため、鍵マークが付いて安全そうに見えることがあります［1］。

見た目の目印は、ほかにも頼りにくい

協議会は、差出人の表記の偽装、本物のメールを複製した自然な日本語の文面、AIで作られた文章、本物と同じ見た目の画面を、いずれも偽サイトが備えうるものとして挙げています［1］。警察庁も、メールやSMSのリンクは偽装でき、見た目で真偽を見分けるのは非常に困難だと説明しています［3］。

目で見抜く力を鍛えるだけでは守りきれない、ということです。では、見抜けないなら何をすればよいのでしょうか。

鍵マークの意味を取り違えると、判断を誤る。総務省の解説は、鍵マークは通信が暗号化されていることを示すだけで、サイトが本物である保証にはならないとする［2］。通信相手の身元とは別の話だ。そのうえ、フィッシング対策協議会によれば、偽サイトでも証明書を簡単に取得できるため、鍵マークが付いたまま安全そうに見えることがある［1］。

見た目の目印は、鍵マークだけではない。協議会は、差出人表記の偽装、正規メールの複製やAI生成による自然な日本語、本物と同じ画面の見た目を、偽サイトが備えうるものとして挙げる［1］。警察庁も、メール・SMSのリンクは偽装でき、見た目で真偽を見分けるのは非常に困難とする［3］。

つまり、「目で見て判断する」という前提そのものが弱い。だから対策は、見分けに成功することではなく、見分けに頼らなくて済む手順に置かれる。それが何かを、次章で見る。

こたえは、「はいる ところを かえる」です。けいさつちょうは、ふだん つかう サイトを ブックマークに いれて おく こと、または こうしきの アプリを つかう ことを すすめて います［3］。

フィッシング たいさく きょうぎかいも、メールや SMS の リンクは ひらかず、こうしきサイトや こうしきアプリから てつづきを する ように つたえて います［4］。

たとえば、ともだちが 「うちに きて」と てがみを くれても、いつもの みちで いつもの いえに いくと、まよいません。それと にて います。ただし ほんとうは、ネットの はなしです。

ぎんこうなどが、メールや SMS で ID や パスワードを きく ことは ない、とも けいさつちょうは せつめいして います［3］。

アドレスの もじも、だまされやすい ところです。「0」(ぜろ) と「o」(おー)、「I」(おおきな あい) と「l」(ちいさな える)のように、にた もじで まちがいを ねらう ことが あると、そうむしょうは しめして います［2］。

メールのリンクを使わない

警察庁は、公式サイトをブックマークに登録しておくか、公式アプリを使うよう勧めています。また、金融機関がメールやSMSでIDやパスワードを尋ねることはない、と説明しています［3］。フィッシング対策協議会の対策も同じ向きで、メールやSMSのリンクは開かず、公式サイトや公式アプリから手続きをします。公式サイトを開くときは、検索結果やブックマークを使います［4］。

この方法の強みは、「本物か偽物か」を判断する場面が、そもそも減ることです。知らない人から届いた地図でなく、自分が知っている道を通って、いつもの家に行くようなものです。ただし、これもたとえ話です。

アドレスを見るときの落とし穴

通知されたURLを自分で入力するか、ブックマークから開くことは、総務省も勧めています。URLには、数字の「0」と英字の「o」、大文字の「I」と小文字の「l」のような似た文字を使い、見間違いを狙うものがあります。SNSでは短縮URLが使われ、リンク先が分かりにくいこともあります［2］。目で読み取って判断するより、最初から入口を変えるほうが確実です。

見分けに頼れないなら、何で守るのか。警察庁は、公式サイトをブックマークに登録するか公式アプリを使うよう勧め、金融機関がメールやSMSでIDやパスワードを尋ねることはないとする［3］。フィッシング対策協議会の対策も同じ構造で、メール・SMSのリンクは開かず、公式サイトや公式アプリから手続きし、公式サイトは検索結果やブックマークから開く［4］。

この対策が効く理由は、判断の位置を移すところにある。リンクを開いた後に「本物か」を判断するのではなく、リンクを開かないことで、判断を必要とする場面を消す。なお、URLの確認が不要になるわけではない。総務省は、ドメイン名が正規のものかの確認と、通知されたURLの直接入力かブックマークからの利用を勧める。URLには、「0」と「o」、「I」と「l」のような似た文字で見間違いを狙うものがあり、SNSの短縮URLではリンク先も分かりにくい［2］。

限界もある。ブックマークは、登録した時点で本物だったページを指すだけで、登録前の入口までは守らない。また、アプリは自分で入手する公式のものを選ぶ必要がある。そこで、人がどんなときにこの習慣を忘れてしまうのかを、次章で見る。

フィッシング たいさく きょうぎかいは、こんな ときに うっかり しやすい と いって います。おもいこんで いる とき、いそいで いる とき、つかれて いる ときです［1］。

だまされるのは、その 人が わるいからでは ありません。だれでも、いそぐ ときは あります。

そこで、「ちょっと まって」の あいずを おぼえて おきましょう［4］。

・いそがせる ひょうじ。「きょう中に」などです。

・おぼえの ない にんしょうコードが とどく。

・もじを いれたあと、がめんが まっ白に なったり、さいしょに もどったり、おわらない。

・ぎんこうなどの なまえで でんわが あり、じょうほうを きかれる。この ときは、いったん きって、ただしい ばんごうに かけなおします。

あいずに きづいたら、がめんを とじて、おうちの 人に そうだんします。

うっかりしやすいのは、どんなとき

フィッシング対策協議会は、被害に遭いやすい場面として、思い込んでいるとき、急いでいるとき、疲れているときを挙げています［1］。誰でも、この3つのどれかに当てはまる日があります。注意力が足りないのではなく、条件がそろえば誰でも操作してしまう、という説明です。

手を止めるきっかけ

協議会の「今すぐできる対策」には、見分けるきっかけが挙がっています［4］。

対応を急かす表示は疑い、指示には従わずに画面を閉じます。覚えのない認証コードが届いたときも同じです。入力した後に画面が真っ白になる、トップに戻るなど、手続きが完了しないときも、疑うきっかけになります。銀行などを名乗る電話で情報を求められたら、いったん切って、正規の番号にかけ直します。

どれも「画面を見て判断する」のではなく、「いつもと違う動きに気づく」合図です。気づいたら、入口に戻ってやり直します。

人はどんなときに操作を誤るのか。フィッシング対策協議会は、被害に遭いやすい場面として、思い込んでいるとき、急いでいるとき、疲れているときを挙げる［1］。これは個人の注意力の問題ではなく、条件がそろえば誰にでも起こる状態の記述だ。したがって対策は、そのときに判断を求めない仕組みと、立ち止まる合図の二本立てになる。

協議会が挙げる合図は、次のとおりである［4］。対応を急かす表示は疑い、指示に従わず画面を閉じる。覚えのない認証コードが届いたら、それは自分以外の誰かがログインを試みた可能性を示す。入力後に画面が真っ白になる、トップに戻るなど手続きが完了しないときも、疑う理由になる。銀行などを名乗る電話で情報を求められた場合は、一度切り、正規の番号にかけ直す。

これらの合図は、画面の見た目ではなく、手続きの進み方や相手の頼み方に注目する点で共通する。見た目が偽装されても、「急がせる」「情報を求める」「終わらない」という振る舞いには気づける。こうした気づきは助けになる。ただし、合図が出ないまま成立する手口もあるため、入口を固定する習慣と併用する。次は、実際にどれだけの規模で、どんな名前が使われているのかを見る。

フィッシング たいさく きょうぎかいに よせられた ほうこくは、2025ねんの 1ねんかんで 2,454,297けんでした。これまでで いちばん おおく、2024ねんの やく1.43ばいです［5］。

ただし これは、きょうぎかいに とどいた ほうこくの かずです。ひがいの かずでは ありません。

2026ねん8がつの ほうこくは 82,338けんでした。なまえが よく つかわれたのは、Amazon（やく26.1%）、Apple（やく16.1%）、ANA（やく12.5%）です。うえの 5つで やく69.9%、10けんの うち 7けんほどに なります［6］。

ただし、じゅんいは つきごとに かわります。7がつの Amazon は やく37.0%でした［10］。みぢかな サービスの なまえが つかわれる、と おぼえて おきましょう。

報告の数と、よく使われる名前

フィッシング対策協議会の発表では、2025年（1〜12月）のフィッシング報告件数は過去最多の2,454,297件で、2024年の約1.43倍でした［5］。これを12か月で割ると、1か月に約20万件、1日に約6,700件です（筆者の計算）。ただし、これは協議会に寄せられた報告の数で、被害の件数ではありません。

2026年8月の報告は82,338件（前月より16,219件増）でした。名前が使われた割合は、Amazonが約26.1%と最多で、Appleが約16.1%、ANAが約12.5%です。上位5ブランドで約69.9%になります［6］。毎日のように使うサービスの名前が、よく選ばれています。順位は月で変わり、7月のAmazonは約37.0%でした［10］。

メール認証を通っても、本物とは限らない

2025年の後半、攻撃者が自前の独自ドメインを使い、メール認証（DMARC）を通すことで迷惑メールフィルターを避ける手口が急増し、12月には、調査用のメールアドレスに届いたメール全体の約75.3%になったと報告されています［5］。技術的な認証を通ったメールでも、本物とは限りません。ここでも、メールの外側にある「入口」で守るほうが頼りになります。

警察庁の報告をもとにした記事では、令和7年のインターネットバンキングの不正送金は4,747件で、手口の9割近くがフィッシングだとされています［7］。

この手口は、どれほど身近になっているのか。フィッシング対策協議会の報告件数は、2025年（1〜12月）に過去最多の2,454,297件に達し、2024年の約1.43倍となった［5］。12か月で割ると1か月あたり約20万件、1日あたり約6,700件になる（筆者の計算）。ただし、これは協議会に寄せられた報告の数で、被害の件数ではない。

名前を使われるのは、多くの人が日常で使うサービスだ。2026年8月の報告は82,338件（前月より16,219件増）で、Amazonが約26.1%、Appleが約16.1%、ANAが約12.5%、上位5ブランドの合計は約69.9%だった［6］。これは報告されたメールの中での割合だ。順位は固定ではなく、7月のAmazonは約37.0%だった［10］。

迷惑メールフィルターが守ってくれるとは限らない。2025年後半、攻撃者が自前の独自ドメインを使い、DMARC認証を通過させてフィルターを回避する手口が急増し、12月には、調査用のメールアドレスに届いたメール全体の約75.3%に達した［5］。つまり「認証に通ったメール」は、「差出人のドメインが正しく管理されている」ことは示しても、「内容が本物である」ことまでは示さない。

警察庁の報告を伝える記事では、令和7年のインターネットバンキング不正送金は4,747件、被害額は約103億9,700万円で、手口の9割近くがフィッシングとされる［7］。数字は大きいが、本稿が注目するのは被害の大きさよりも、見た目も技術的な認証も当てにならない以上、利用者の側の習慣と仕組みが守りの中心になる、という点だ。では、人が入力すること自体をなくせないのか。

パスキーという あたらしい ログインの しかたが あります。パスワードを うつ かわりに、スマホの ロックを とく ときと おなじ そうさを します。

FIDO（ファイド）アライアンスという くみあいは、パスキーを つくる とき、「フィッシングに つよい こと」を いちばん たいせつな もくひょうの 1つに して います［8］。

パスワードは、うって しまえば、だれかが ぬすんで また つかえます。でも パスキーでは、ひみつの かぎを じぶんで うって にせの サイトに わたす ひつようが ありません［8］。

ただし、ログインの しかたは サービスごとに ちがいます。つかう ときは、おうちの 人と せっていを たしかめましょう。

人が入力しない認証

偽サイトにパスワードを入力すると、攻撃者に知られるおそれがあります。

パスキーは、FIDOアライアンスが標準を作っている認証方式です。公開鍵暗号を使うため、サービスと利用者の間で共有される秘密がなく、秘密鍵を相手に入力して渡す必要もありません。FIDOは「フィッシング耐性」を設計の中心的な目標としています［8］。

偽サイトに渡せるものがない

パスワードのように、盗んで再利用できるものが無いので、偽サイトに誘導されても、そこに入力できる秘密がそもそもありません［8］。仕組みの細部は、FIDOアライアンスの英語の資料に詳しく書かれています。

パスワードをやめられない場面も、まだ多くあります。パスワードを使うサービスでは、協議会が勧める対策が、入口を変えること、サービスごとに別のパスワードにすること、多要素認証やログイン通知の設定です［4］。パスキーは、その先にある選択肢の一つです。

人が秘密を入力する限り、偽サイトに渡してしまう余地は残る。この前提を変えるのがパスキーだ。FIDOアライアンスのパスキーは、公開鍵暗号を使い、秘密鍵を相手に入力して渡す必要がない。サービスと利用者が共有する秘密がなく、FIDO認証は、フィッシング耐性（phishing resistance）を設計の中心目標とする［8］。

この設計では、偽サイトの側に、盗んで再利用できるものが無い。パスワードは偽サイトに入力すると攻撃者に知られるおそれがあるが、パスキーは秘密鍵を入力して渡す方式ではない（端末に固定されるタイプなら、秘密鍵は端末の外に出ない）［8］。なお、鍵がサイトとどう結びつくかといった細部は、本稿が使った資料の範囲外で、FIDOアライアンスの資料（英語）に詳しい。

では、パスワードをやめればよいか。現実には、パスキーに対応しないサービスも残る。そのため、フィッシング対策協議会が示す対策は、公式サイトやアプリから入る、サービスごとに別のパスワードにする、多要素認証やパスキーを設定する、ログイン通知をオンにする、という組み合わせになっている［4］。入口を変える習慣と、パスキーは、対立するものではなく、役割を分け合う。前者は対応していない場面でも使え、後者は人の判断に頼らない守りになる。

フィッシング（phishing）は、「つり」の fishing に にて います。えさで さかなを つる ように、にせの メールで 人を さそう ことから、こう よばれた と いわれます［9］。

つづりが f では なく ph なのは、むかしの でんわの しくみに ふせいで はいる 「phone phreaking（フォン フリーキング）」と いう ことばに ならった から、と いわれます［9］。

1996ねんごろ、アメリカの AOL（エーオーエル）という サービスの アカウントの パスワードを だまし とる ことから、ひろまった と されて います［9］。

フィッシング（phishing）の語は、釣りを意味する fishing になぞらえたもので、f が ph に替わったのは、電話網に不正に入りこむ「phone phreaking」という行為にならったものだと、コンピューターの専門誌 Computerworld の記事は説明しています［9］。

この語は、1996年ごろ、アメリカのAOLというサービスのアカウントのパスワードをだまし取る行為から広まったとされます［9］。ただし、どこで最初に使われたかは、資料で説明が分かれています。長い歴史の中で、手口は電話からメール、SMS、偽サイトへと姿を変えてきました。

この言葉はいつ生まれたのか。Computerworldの解説によれば、phishing は fishing（釣り）の類推で、f を ph に替えたのは、電話網に不正侵入する phone phreaking（フォン・フリーキング）へのなぞらえだ。1996年ごろ、AOL（エーオーエル）のアカウントのパスワードをだまし取る行為から広まったとされる［9］。

ただし、最初に使われた場所は資料によって説明が割れ、AOL系のUsenetグループとする説や、alt.2600とする説がある。そのため、日付までは断定しない。この語は、利用者をだまして情報を引き出す行為を指して広まったとされ、現在の定義（実在する組織をかたり、パスワードや暗証番号、カード番号などを盗む行為［1］）にそのままつながっている。

おうちの 人に たのんで、よく つかう サービスを 1つ えらびます。さわるのは、おとなの 人です。

その サービスに、ブックマークか、こうしきの アプリが あるか、なければ どんな 入口が あるかを みて みましょう。メールの リンクから はいるのと、どちらを つかって いるでしょうか。

あやしい メールが きたら、リンクは ひらきません。ひらかずに、おうちの 人に みせます。パスワードや、おぼえの ない コードは、ひとに おしえては いけません。

家の人にお願いして、よく使うサービスを1つ選びます。操作するのは大人の人です。そのサービスについて、ブックマークがあるか、公式アプリがあるかを見てみましょう。普段はメールのリンクから入っているのか、アプリから入っているのかも、話してみてください。

怪しいメールやSMSが届いたときは、リンクを開かずに家の人に見せます。パスワードや、覚えのない認証コードを、人に教えてはいけません。

もう一歩進むなら、フィッシング対策協議会の月ごとの報告状況のページが、日本語で読めます［6］。どのサービスの名前が多いか、月で順位がどう変わるかを見ると、次に気になることが見つかるかもしれません。

見た目も鍵マークもメール認証も頼れないなら、残るのは入口と仕組みだ。自分が使うサービスについて、①公式アプリやブックマークからの入口があるか、②パスワードがサービスごとに別か、③多要素認証やパスキーが使えるか、④ログイン通知がオンか、を点検できる。これは、フィッシング対策協議会が挙げる対策の項目に対応する［4］。

資料としては、協議会の月次の報告状況が日本語で読める［6］。件数や上位ブランドの割合は月ごとに変わるため、数字を読むときは、「何の割合か」と「どの月か」を分けて記録すると比べやすい。協議会の月次ページで、7月と8月の件数や上位ブランドの割合を並べて、どこが変わったかを調べてみるのもよい［10］。