フィッシングメール対策｜見分け方と盗まれても破られない設計

2026年6月17日

＠SOHO編集部

この記事のポイント

✓フィッシングメール対策を
✓見分け方と設計の2層に分けて整理しました
✓送信元ドメインとリンク先の確認手順

結論から書きます。フィッシングメール対策は、「見分ける」だけでは足りません。見分ける訓練をどれだけ積んでも、忙しい日に、見慣れた差出人名で、ちょうど待っていた件名で届いたメールは開いてしまいます。だから対策は2層にする必要があります。1層目が見分け方、2層目が「仮に情報を入力してしまっても、それだけでは侵入されない」設計です。そして効果が大きいのは、圧倒的に2層目です。

私はアパレルブランドのEC運営代行やSNS運用を請け負っています。この仕事の性質上、複数のクライアントの管理画面、決済サービス、広告アカウント、SNSアカウントのログイン情報を預かる形になります。つまり、自分がフィッシングに引っかかった場合、被害が及ぶのは自分だけではありません。この責任の重さに気づいてから、認証の設計を全部やり直しました。

在宅で働く人、フリーランスで働く人には、社内の情報システム部門がいません。届いたメールを判断するのも、認証の設定を決めるのも、端末を管理するのも自分です。この記事では、その立場で今日から実行できることを、優先順位をつけて書きます。順番が大事なので、上から読んでください。

フィッシングメールが減らない理由と現在の規模

まず、相手がどういう規模で動いているのかを数字で押さえます。

報告件数の推移が公表されています。

フィッシング対策協議会が公表しているデータによると、フィッシング被害の報告件数は、2019年は55,787件、2020年は224,676件、2021年は526,504件と年々増えています。2020年に急激に増え、2021年は前年より倍以上増加しているのです。このことからもわかるように、フィッシングメールの脅威は年々増加しています。出典: fielding.co.jp

2年で報告件数が9倍を超える増え方をしています。これは手口が巧妙になったからというより、送るコストがほぼゼロだからです。数十万通送って0.1%が反応すれば数百件の成果になる。この経済性が成立している限り、量は減りません。

攻撃全体の中での位置づけも明確です。

実際、トレンドマイクロの調査によると、2022年にブロックされた脅威のうち55％がメールに関するものでした。このことからも、フィッシングメールは現在でも、最も多く使われている攻撃手段の1つだといえます。出典: trendmicro.com

攻撃の半分以上がメール経由です。ウイルス対策ソフトを入れているかどうかより、メールをどう扱うかのほうが、実際のリスクに直結しているということです。

そして近年、文面の質が大きく上がっています。かつては日本語が不自然で見分けやすかったのですが、現在は自動生成された自然な日本語で、企業の実際のメールテンプレートを模した文面が届きます。ロゴも配色もフッターの文言も本物と同じです。文面の違和感で見分けるという方法は、もはや第一の防御線として弱くなっています。データとロジックで判断するなら、文面の印象ではなく、機械的に確認できる箇所を見るべきです。

送られてくる口実の内容も、季節や制度で変わります。確定申告の時期には税務関連、年度末には料金未納、大型セールの時期には配送業者の不在通知、給付金や還付金の制度がニュースになればその名前を使った通知。つまり、自分が今まさに関心を持っている話題で届きます。「待っていたメール」だから開いてしまうのです。ここを個人の注意力で防ごうとするのは、設計としてうまくありません。

見分け方1 送信元のドメインを機械的に見る

最初に確認するのは、表示名ではなく実際のメールアドレスのドメインです。

表示名は送信者が自由に設定できます。「Amazon」「三井住友カード」「クライアント名」と表示されていても、それは差出人が書いた文字列にすぎません。確認すべきは@の後ろの部分です。この確認方法について、具体的な指摘があります。

送信元のメールアドレスを確認するようにしましょう。フィッシングメールでは送信元が騙られる事がよくあります。送信元の名前は取引先になっているけれど、よくよく確認するとフリーメールアドレスや、取引先に類似した別のメールアドレスから送信されている場合もあります。よくあるのは「o(オー)と0(ゼロ)」「l(エル)と1(イチ)」など、似た文字で置き換えられたメールアドレスの利用です。また、メールアドレスの前半は取引先と全く同じで、ドメインが異なるというパターンもあります。少しでも違和感を感じた場合は、表示名だけでなくメールアドレスのドメインまで確認するようにすると良いでしょう。出典: fielding.co.jp

ここに書かれている文字の置き換えは、実際に大量に使われています。数字のゼロと英字のオー、小文字のエルと数字のイチ、大文字のアイと小文字のエル。フォントによっては見分けが付きません。だから目で読むのではなく、コピーして検索するほうが確実です。

もうひとつよく使われるのが、ドメインの後ろに文字を足す手法です。本物が「example.co.jp」なら「example-support.co.jp」「example.co.jp.login-verify.com」のような形にする。後者は特に注意が必要で、一見「example.co.jp」で始まっているように見えますが、実際のドメインは末尾の「login-verify.com」です。ドメインは右から読むという原則を覚えておいてください。いちばん右のドットから2つの区切りが、実際の持ち主を示します。

スマートフォンのメールアプリは、初期状態では表示名だけを見せる設定になっているものが多いです。この設定では判断材料が足りません。差出人のアドレスを常に表示する設定に変えてください。この1つの設定変更で、判別できる割合が大きく変わります。

そして、正規のメールであっても、そのアドレスが必ず正しいとは限りません。送信元アドレスを偽装する技術的な手段があり、ドメイン側でSPF、DKIM、DMARCという仕組みを設定していない場合、なりすましを防げません。自分が独自ドメインでメールを運用している場合は、この3つの設定を確認してください。設定していないと、自分のドメインを騙ったメールが取引先に届く側になります。

見分け方2 リンク先のURLを開く前に確認する

次に確認するのは、本文中のリンクが実際にどこへ向かっているかです。

パソコンなら、リンクにマウスを乗せると画面の下部や吹き出しに実際のURLが表示されます。スマートフォンなら、リンクを長押しするとプレビューが出ます。この確認をせずにタップするのをやめる、というだけで防げる被害が相当あります。

見るポイントはドメインだけです。パスの部分がどれほど本物らしく作られていても、意味はありません。「https://www.example.co.jp.secure-login.info/account」のようなURLは、ドメインが「secure-login.info」です。また、短縮URLになっている場合は、その先が確認できないため、業務のメールでは原則として開かないと決めてよいです。

近年増えているのが、リンク先が正規のクラウドサービスになっているパターンです。文書共有サービスやフォームサービスの正規ドメイン上に偽のログイン画面を作り、そこへ誘導する。ドメインは本物のサービスなので、ドメイン確認だけでは弾けません。この場合の判断基準は、「ログイン情報を入力する画面が、そのサービスのログイン画面として正しいか」です。銀行の認証情報をフォームサービスの画面で入力させることは、正規の運用ではありえません。

そして最も確実な習慣が、メールのリンクからログインしないという一点です。カード会社や銀行、決済サービスの通知が来たら、メールのリンクは使わず、自分のブックマークから、あるいは公式アプリを開いて確認します。本当に重要な通知であれば、そのサービスにログインすれば必ず同じ内容が表示されます。表示されないなら、そのメールは偽物です。

この習慣は、判断を不要にするという点で優れています。メールの真偽を見分ける必要がなくなるからです。見分けるコストをゼロにする設計のほうが、見分ける精度を上げるより現実的です。

見分け方3 文面の構造で判断する

文面の日本語の自然さでは判別できなくなりました。代わりに見るべきは、文面が何を要求しているかという構造です。

危険な要求は、次のどれかです。第一に、緊急性と期限を伴う行動要求。「24時間以内にご対応いただかないとアカウントを停止します」「本日中に支払わないと法的手続きに移行します」。第二に、認証情報の入力要求。パスワード、暗証番号、SMSで届いた認証コード、クレジットカードの番号とセキュリティコード。第三に、通常の手順から外れた依頼。「今回だけ別の口座に振り込んでください」「システム変更のため再度ログインしてください」。第四に、添付ファイルを開かせる要求。請求書、見積書、配送伝票を装ったファイルで、拡張子が実行形式やマクロ付きの文書になっているもの。

とくに認証コードの共有要求は、単純な判断基準になります。SMSやアプリに届く認証コードを、他人に伝える必要がある場面は存在しません。電話で「確認のためコードを教えてください」と言われたら、相手が誰であっても伝えないと決めておけば、被害の大きな一群を防げます。

もうひとつの見方が、そのメールが自分の状況と整合するかです。使っていない決済サービスの請求通知、注文していない商品の発送通知、契約していない電力会社の未納通知。これらは考えれば不整合ですが、忙しいときは「何かの手違いかも」と思って開いてしまいます。開くのではなく、心当たりがないならそのまま削除するのが正解です。

添付ファイルについては、運用ルールを決めておくのが有効です。取引先とのファイル共有は、あらかじめ決めた共有サービスを使う。メールに突然添付されてきたファイルは、送信元に別の連絡手段で確認してから開く。この2つを決めておけば、判断に迷う場面が減ります。

文面に人がどう反応するのかについては、組織で行われている訓練の結果が参考になります。どういう件名と差出人の組み合わせが実際に開かれるのかは社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで具体的に整理されています。自分が引っかかりやすい型を知っておくことは、個人でも役に立ちます。

取引先のなりすましとビジネスメール詐欺

フリーランスや在宅で働く人にとって、実は一般的なフィッシングより危険なのがこちらです。

手口はこうです。攻撃者が、取引先または自分のメールアカウントに侵入し、過去のやりとりを読みます。そして進行中の案件の文脈に合わせて、「振込先の口座が変わりました」というメールを送ります。差出人は本物のアドレスか、1文字だけ違うアドレス。文面は過去のやりとりの続きとして自然に繋がっており、案件名も担当者名も正確です。この形は、注意深く読んでも見分けが困難です。

だから防御は文面ではなく手続きで行います。振込先の変更、支払方法の変更、納品先の変更といった金銭が動く変更については、メール以外の手段で確認する。電話、または以前から使っているチャット。この確認を全案件のルールにしておきます。相手に「念のため電話で確認させてください」と言うのは、失礼ではなく専門的な対応です。実際、私がクライアントにこのルールを提案したとき、嫌がられたことは一度もありません。むしろ、そこまで考えているのかと信用されました。

自分のメールアカウントが侵入されるとどうなるかも考えておくべきです。過去のやりとりが全部読まれ、取引先に対して自分の名前で偽のメールが送られます。被害者は取引先で、加害の経路は自分です。この事態は、賠償の問題だけでなく、取引そのものを失います。だからメールアカウントの防御は、単なる自分の情報の話ではありません。

侵入の兆候も知っておきます。送信済みフォルダに自分が送っていないメールがある。特定の差出人からのメールが自動的に別フォルダへ振り分けられる転送ルールが増えている。ログイン履歴に見覚えのない地域からのアクセスがある。とくに転送ルールの追加は、侵入者が痕跡を隠すためによく使う手口です。定期的に確認してください。

対策の本体は「盗まれても入られない」設計

ここが最も重要な節です。見分け方を全部やっても、いつかは引っかかります。だから、引っかかった後に被害が成立しない状態を作ります。

第一に、パスキーへの移行です。パスキーは、端末の中の鍵と生体認証を使って本人確認をする方式で、入力する秘密がありません。入力する情報がないので、偽サイトに入力させることが原理的にできません。しかも、鍵はサイトのドメインに紐づいているため、偽サイトでは動作しません。対応しているサービスから順に切り替えていくのが、現時点で最も効果の大きい対策です。

第二に、多要素認証の有効化と、方式の選び方です。パスキーに未対応のサービスでは多要素認証を使いますが、方式に強弱があります。強い順に、物理的なセキュリティキー、認証アプリのワンタイムコード、SMSによるコードです。SMSは、電話番号を乗っ取る手口があるため最も弱い方式ですが、何もないよりは大きく改善します。方式ごとの違いと導入の考え方はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で比較されています。

第三に、パスワードの使い回しをやめることです。フィッシングで1つのサービスのパスワードが漏れたとき、使い回していると全部が開きます。パスワード管理ツールを使って、サービスごとに異なるランダムな文字列にします。管理ツールにはもうひとつ効果があって、登録したドメインと違うサイトでは自動入力が働きません。つまり、偽サイトに来たことをツールが教えてくれます。この副次的な効果は、判別の手段としても実用的です。

第四に、重要なアカウントの分離です。仕事用のメールアドレスと、金銭が動くサービスに使うアドレスを分けます。決済や銀行に使うアドレスを公開せず、そのアドレスに届くメールを最小にしておくと、そこに届いた通知の異常さが目立ちます。

この4つのうち、今日できるのは全部です。時間は合計で1時間もかかりません。それでいて、効果は文面を見分ける訓練より大きい。データで考えるなら、投じる時間に対する効果がこれほど高い対策は他にありません。

端末とメール環境で済ませておく設定

設計の次は環境です。順に確認してください。

OSとブラウザを自動更新にします。フィッシングの誘導先は、認証情報を入力させるだけでなく、脆弱性を突いて端末に侵入する場合もあります。更新を止めていると、リンクを開いただけで被害が成立することがあります。

メールソフト側の設定を見直します。画像の自動読み込みを切ると、開封を検知されずに済みます。HTMLメールをテキスト表示にする設定があれば、リンクの実際のURLが本文に見える形になり、判別が容易になります。迷惑メールフィルタは有効にしておきますが、フィルタに頼り切らないという前提は必要です。

携帯回線を使っているなら、通信会社が提供している迷惑メール対策の機能を確認します。なりすましメールの拒否、URL付きメールの拒否、指定ドメインの受信設定など、無料で使える機能が用意されています。制度面の情報や事業者の取り組みは総務省のサイトで確認できます。

バックアップを取っておきます。フィッシングの延長でランサムウェアに至った場合、手元のデータが暗号化されます。外部ストレージとクラウドの2系統でバックアップがあれば、最悪の場合でも業務を再開できます。クライアントのデータを預かる仕事をしているなら、これは義務の範囲です。

ドメインを持っている場合は、SPF、DKIM、DMARCを設定します。これは自分を守る対策ではなく、自分のドメインを騙ったメールが他人に届くのを防ぐ対策です。クライアントワークをしていて自分のドメインでメールを送っているなら、設定しておかないと取引先に迷惑がかかります。

こうした設定や設計をひととおり理解していること自体が、仕事の価値になる場面もあります。中小の事業者は、これを社内で回せる人がいません。実際にどういう案件があるかはAI・マーケティング・セキュリティのお仕事で業務の中身まで確認でき、ネットワークや認証の基礎を客観的に示すならCCNA（シスコ技術者認定）のような認定が説明の手間を減らします。事業者側の投資の考え方は中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法にまとまっています。

メール以外の経路も同じ設計で守る

フィッシングという言葉はメールを指しますが、同じ手口はすでに他の経路にも広がっています。対策の考え方は同じなので、経路ごとに追加で確認することだけ書きます。

SMSを使う型は、宅配業者の不在通知、通信料金の未納、金融機関の利用確認といった短い文面とURLで届きます。メールより文字数が少ないため判別材料が乏しく、送信元が番号だけなのでドメイン確認ができません。だから、SMSに含まれるURLは原則として開かないと決めるのが実用的です。宅配の状況は配送業者の公式アプリで、料金は通信会社のマイページで確認できます。

電話を使う型は、SMSやメールのあとに「先ほどの通知の件で」と電話がかかってくる形です。ここで認証コードや暗証番号を聞かれます。電話は相手の番号を偽装できるため、表示された番号が公式のものであっても信用の根拠にはなりません。いったん切って、自分が調べた番号からかけ直すのが唯一の安全な対応です。

QRコードを使う型は、掲示物や郵送物、あるいはメールに貼られた画像として届きます。読み取った先のURLは見えないまま開くことになるため、リンクより危険です。読み取り後にURLを確認してから開ける設定をONにしておき、認証情報の入力が求められたらそこで止めてください。

SNSのダイレクトメッセージを使う型もあります。とくにビジネスで使っているアカウントには、広告の審査、著作権の申し立て、アカウントの利用制限といった口実で偽の通知が届きます。プラットフォームの通知は、原則としてアプリ内の通知欄で確認できます。メッセージで届いた外部リンクから対応する必要はありません。

経路が増えても、守る仕組みは同じです。入力する秘密を持たない認証にする、パスワードを使い回さない、通知は自分から公式の入口を開いて確認する。この3つが、経路の違いを吸収してくれます。

開いてしまった、入力してしまったときの手順

やってしまった場合の手順を、時間の順に並べます。慌てて順序を間違えると被害が広がります。

リンクを開いただけで、何も入力していない場合。まずは端末をネットワークから切り離し、ウイルス対策ソフトでスキャンします。心当たりのないアプリやプロファイルが追加されていないかを確認します。多くの場合、開いただけなら被害は成立していませんが、スマートフォンで構成プロファイルのインストールを求められて許可した場合は、それを削除してください。

認証情報を入力してしまった場合。最優先はパスワードの変更です。ただし、偽サイトのリンクからではなく、公式アプリまたはブックマークからログインして変更します。そのパスワードを他のサービスでも使っていた場合は、そちらも全部変更します。あわせて多要素認証を有効にし、ログイン履歴を確認し、身に覚えのないセッションをすべてログアウトさせます。メールであれば、転送ルールと送信済みフォルダを確認してください。

クレジットカード情報を入力してしまった場合。カード会社の緊急連絡先に電話し、カードを停止して再発行します。カード裏面の番号は、フィッシングで届いたメールに書かれた番号ではなく、カード本体または公式アプリに表示されている番号を使います。その後、明細を確認し、身に覚えのない決済があれば異議申立てをします。

銀行の情報を入力してしまった場合。銀行に連絡して口座の取引を停止します。あわせてインターネットバンキングのパスワードと、ワンタイムパスワードの設定を変更します。金融サービスに関する相談窓口は金融庁のサイトに案内があります。

クライアントのアカウント情報だった場合。これは最優先で、かつ隠してはいけません。すぐにクライアントに連絡し、対象アカウントのパスワード変更とセッションの無効化を依頼します。報告が遅れるほど被害が拡大し、信用の損失も大きくなります。正直なところ、この連絡をする瞬間は本当に気が重いです。私も、疑わしいリンクを開いてしまった時点でクライアントに報告したことがあります。結果的に被害はありませんでしたが、報告したことで「そういう運用をしている人だ」と受け取られ、以後の取引がむしろ安定しました。隠して後で発覚するほうが、比較にならないほど損失が大きいのです。

最後に、記録を残します。届いたメールのヘッダー情報、アクセスしたURL、入力した情報の種類、対処した時刻。これを1枚にまとめておくと、その後の手続きが全部速くなります。

市場を20年見てきた立場からの観察

フリーランスと在宅ワークの市場を20年運営してきた立場から、2つ書いておきます。

ひとつは、認証の設計を整えている人ほど、預かる範囲の大きい仕事を任されているという傾向です。運営者として見てきた限りでは、クライアントのアカウントや決済に関わる領域を任される人は、技術が突出しているというより、事故を起こさない運用を持っています。口座変更は電話で確認する、パスワードは使い回さない、疑わしい時点で報告する。この3つを実際にやっている人は、任せる側から見ると圧倒的に安心です。セキュリティの設計は、守りのコストではなく、受注できる仕事の範囲を広げる投資になっています。

もうひとつは、額面より手取りの話です。中間に取り分を置かない直接取引では、同じ予算を出す依頼者はより多く依頼でき、受ける側は同じ仕事から残る金額が厚くなります。手数料0%の意味は、金額の大小ではなく、働いた分がそのまま残るという質の話です。そして直接取引では、依頼者と受け手が直接メールでやりとりします。だからこそ、なりすましへの備えは、単なる個人の防衛ではなく取引の前提になります。この備えがある人だけが、間に誰も挟まない関係を安心して結べます。

長く続けている人ほど、単発の作業を取り合うのではなく「この人に任せると楽だ」という関係づくりに時間を使っています。楽だと感じさせる要素の中には、事故を起こさないという信頼が確実に含まれています。技術の分野で仕事を広げたいなら、どういう水準で報酬が動いているかも見ておくとよいです。ソフトウェア作成者の年収・単価相場で分布を確認できます。

対策の優先順位をもう一度だけ書きます。今日やるのは、主要なアカウントのパスキーまたは多要素認証の有効化、パスワードの使い回しの解消、メールのリンクからログインしないという習慣の3つです。文面を見分ける訓練は、その後でよいのです。

よくある質問

Q. フィッシングメールを見分ける一番確実な方法は何ですか？

表示名ではなく、送信元アドレスのドメインを右から読んで確認することです。あわせて、本文のリンクにマウスを乗せるか長押しして実際のURLのドメインを見ます。ただし最も確実なのは見分けないことで、通知が来たらメールのリンクは使わず、ブックマークか公式アプリからログインして同じ内容が表示されるか確認する習慣が有効です。

Q. 多要素認証を設定すれば、フィッシングの被害は防げますか？

大幅に減りますが、方式によって強さが違います。SMSで届くコードは、認証コードを入力させる偽サイトや電話番号の乗っ取りで突破される可能性があります。物理的なセキュリティキーやパスキーは、鍵がドメインに紐づいているため偽サイトで動作せず、原理的に強い方式です。対応しているサービスから順に移行してください。