フィッシング対策協議会(Council of Anti-Phishing Japan)は、「フィッシング対策協議会 Council of Anti-Phishing Japan｜報告書類｜月次報告書｜2026/07 フィッシング報告状況」において、2026年7月の月次報告を行った。
月間のフィッシングメールの報告件数は6万6119件で、前月から6251件減少。フィッシングサイトのURL件数は4万3267件で、前月より1026件増加。悪用されたブランド件数は101件で3件増加した。報告件数は2月の急減以降、4月にかけて復調を見せていたが、5月以降は再び減少傾向が続いている。
-
7月はAmazonをかたる事例が約37.0%でトップを維持した 引用：フィッシング対策協議会
Amazonが37%、正規クラウドを悪用するフィッシングも増加
7月はAmazonをかたる事例が約37.0%でトップを維持。Appleをかたる事例が約11.8%で続いた。次いでセゾンカード、JCB、イープラスをかたる事例の報告が多く、これら上位5ブランドで全体の約68.6%を占めた。1000件以上の報告が寄せられたブランドは11に上り、全体の約84.4%を構成している。
分野別ではEC関連が約50.5%と半数を超え、これにクレジット・信販関連(約25.4%)、オンラインサービス関連(約7.5%)が続いた。これら3分野の順位および割合は前月とほぼ同一であり、悪用分野の集中傾向が読み取れる。
一方で攻撃手法には変化が見られる。フィッシングサイトのホスト名として「amazonaws.com」がそのまま悪用されるケースが急増し、全体の約23.2%を占めた。さらに、短縮URLやSendGridなどからリダイレクトさせるケースや、正規サービスのドメインを悪用する手口も増えており、単純にURLだけを見て安全性を判断することが難しくなっている。
フィッシングメールの送信では、逆引き(PTRレコード)設定のあるIPアドレスの使用傾向が続いている。これは送信ドメイン認証やFCrDNS認証の広がりを受け、セキュリティの厳しいメールサービスへの到達性を優先した結果とみられる。実際にクラウドサービスを悪用した配信の増加傾向が確認され、Microsoft Azureからの送信が約52.5%、BytePlusが約24.3%、Google Cloudが約10.7%を占めた。
フィッシング攻撃の切り替えが高速化、文面やブランドを数日単位で変更
メールの内容では、「注文」、「商品の配達」、「返金」、「決済情報の更新」、「不正利用の検知」、「本人認証」、「ポイントやマイルの有効期限」など、利用者の反応を得られやすい話題が多く使用された。一方で、差出人のブランド名や連絡先の記載がない、通常の企業メールでは使わない表現が含まれるなど、人間が読めば不自然と感じられるケースも多くみられた。
こうした中、攻撃者がメールサービスのフィルターを回避しながら、攻撃手法を短期間で切り替える傾向もみられている。フィッシング対策協議会は、攻撃者がメール文面やかたるブランドを数日単位で切り替えていると説明。メールが受信者に届くか、リンクが開かれるかなどを確認しながら、試行錯誤を繰り返している可能性を指摘している。
事業者および利用者に求められる対策
フィッシング対策協議会は、企業の公式サイトで公開している画像やブランド名、経営陣の情報などが不正にコピーされ、フィッシングサイトに悪用されるケースが増加していると報告。これらフィッシングサイトを確認した企業に対し、著作権および商標権侵害などを理由に最寄りの警察署へ相談するように呼びかけている。
フィッシングメールでは、アプリのインストールおよび更新を求める内容や、経理担当者を標的とする書類確認および提出を求めるメールの増加を報告。企業に対し、これらメールの対応策を協議、決定し、社内に周知徹底することを求めた。
オンラインサービスを提供している企業に対しては、5月から6月にかけて発生した国内の大規模な情報流出への対策として、多要素認証(MFA: Multi-Factor Authentication)のサポートおよび全ユーザーへの適用を求めた。必要な対策を完了できていない場合は、監視の強化、パスワードの再設定の要求、必要な場合は強制リセットも視野に検討することを提案している。
利用者に対しては、メールサービスの運営者から情報流出の案内が届いているか確認するように呼びかけた。情報流出の対象に含まれる場合は、パスワードの変更、メールアドレスの変更、多要素認証の設定のすべてを実施するように推奨している。
「カードをスマホにかざして」――遠隔地から不正決済、Android狙う新たな攻撃
