フィッシング対策協議会(Council of Anti-Phishing Japan)は、「フィッシング対策協議会　Council of Anti-Phishing Japan｜報告書類｜月次報告書｜2026/09 フィッシング報告状況」において、2026年9月の月次報告を行った。

報告件数は9万4661件となり、前月から1万2323件、約15.0%増加した。フィッシングサイトのURL件数も4万9032件と、前月比で9232件、約23.2%増えた。悪用されたブランドは105件で、こちらも前月から9件増加した。5月以降の減少傾向は7月で止まり、8月からは再び増加傾向が続いている。

Amazonをかたる詐欺が3割超、氏名入りメールも確認

ブランド別では、Amazonをかたるフィッシングが全体の約33.2%を占め、最多となった。次いでAppleが約11.1%で、セゾンカード、アメリカン・エキスプレス、国税庁が続いた。上位5ブランドで全体の約65.3%を占めている。

  • 国税庁をかたるフィッシングメールの例　出典：フィッシング対策協議会

    国税庁をかたるフィッシングメールの例　出典：フィッシング対策協議会

分野別では、EC関連が約47.9%、クレジット・信販関連が約35.0%となり、この2分野で全体の8割以上を占めた。いずれも報告件数、構成比ともに増加傾向にある。

フィッシングサイトのURLでは、amazonaws.comのホスト名を利用したケースが全体の約11.6%を占めた。docs.google.comやwindows.net、sendgrid.netなど、正規サービスのドメイン名を悪用する事例も引き続き確認された。

フィッシングメールでは、注文や商品配達、返金、決済情報の確認、契約更新、不正利用の検知、本人認証、ポイントやマイルの有効期限などを装う手口が目立った。さらに、受信者の氏名が記載されたメールも確認された。9月はサイバー攻撃による情報漏えいの公表が相次いだが、これらの事故との関連性は明らかになっていない。

また、不自然な日本語や、AIへの指示文とみられるプロンプトが本文に残されたメールも確認された。Unicodeの不可視文字や制御文字を単語の間に挿入し、迷惑メールフィルターの回避を試みる手口もみられた。こうしたメールの中には、HTML形式で表示すると自然な文面に見えるものもあった。

フィッシングメールの送信元については、実在するサービスのドメイン名を使った「なりすまし」メールが約37.8%を占め、増加傾向が続いている。一方、独自ドメイン名から送信されたメールは約62.2%だった。

情報漏えいに便乗する詐欺に注意

9月はサイバー攻撃による情報漏えいの公表が相次いだ。フィッシング対策協議会は、漏えいした個人情報が不正ログインやフィッシング詐欺に悪用される可能性があるとして、事業者に対して多要素認証の導入やログイン後の操作の監視強化などを推奨している。

利用者に対しては、パスキーや多要素認証の設定を呼びかけている。情報漏えいに関する案内が届いた場合も、メール内のリンクを不用意に開かず、ブックマークなどから正規サイトにアクセスして確認することが重要だ。

また、Android端末を対象に、アプリの更新やポイント付与、申請手続きなどを装い、不正アプリのインストールへ誘導するメールも大量に確認された。同協議会は、メール内のリンクからアプリを入手せず、公式アプリストアや正規アプリを利用するよう注意を促している。