フィッシング詐欺、徹底解説見分けるのを、
やめる

順番に読むほど納得できるように書きましたが、結論だけ先に置いておきます。この3つが、この特集の全部です。

1. 1
   偽物は「見分けられない前提」で使う

   目を凝らして見分けようとするほど、精巧なものに当たったときに負けます。見分けを人間の目に任せるのをやめます。

2. 2
   連絡の中のリンクからは入らない

   メールやSMSは「お知らせが来た合図」としてだけ受け取り、確認は公式アプリか、自分で保存したブックマークから入り直します。

3. 3
   最後は「入力するもの」を無くす

   パスキーに切り替えると、偽サイトに渡してしまうパスワードそのものが無くなります。仕組みで守る、いちばん確実な方法です。

ここから、実際にどういうものが届いているのかを並べます。ただしこれは見分けるための一覧ではありません。知らなければ「大変だ」から始まり、一度見たことがあれば「ああ、これか」から始まります。変わるのは判断の速さではなく、判断の入口です。

まず、迷惑メールフォルダを開いてみてください

届く経路は、メールとSMSだけではありません

ここが多くの方の盲点です。9つの入口があります。

• メール最も多い経路。迷惑メール判定をすり抜けたものだけが目に入ります。
• SMS（スミッシング）宅配、料金、カード。電話番号だけで届きます。
• 電話声で認証コードを聞き出します。確かめ方 →
• LINE公式アカウントを装い、友だち追加や認証を促します。
• SNSのダイレクトメッセージ「著作権侵害の報告があります」型が典型です。乗っ取られたら →
• 検索結果の広告枠連絡すら来ない型。「〇〇 ログイン」と自分で検索した先が偽サイトです。
• ブラウザやアプリの通知一度許可すると、そのサイトを閉じたあとも届き続けます。
• QRコード貼り紙や請求書のQRが、別のものに貼り替えられている場合があります。
• カレンダーの招待覚えのない予定が入り、その本文にリンクが置かれます。

名前を使われているのは、あなたが使っているサービス

フィッシング対策協議会に寄せられた報告は、2026年6月の1か月で 72,370件 でした。前の月（5月）は126,061件です。月ごとの増減が大きいので、この数字は「いまの規模」ではなく「毎月これだけの報告が届いている」という桁として読んでください。

同じ月に名前を使われた企業・サービスは 98件。そのうち上位5つだけで、報告全体の約55%を占めます。分野で見ると通販（EC）系が約42.7%、クレジット・信販系が約27.4%。この2分野だけで全体のおよそ7割です。

2026年6月に最も多く名前を使われたのは Amazon（約24.0%）、次いで VISA（約11.8%）、Apple（約11.6%）でした。これは、その企業に問題があるという意味ではありません。利用者が多いサービスほど、名前を使えば「心当たりのある人」に当たる確率が上がる、というだけのことです（この点は04で詳しく説明します）。

出典：フィッシング対策協議会「2026/06 フィッシング報告状況」／「2026/05 フィッシング報告状況」（月次報告書）。確認日：2026年8月13日。数字は毎月更新されます。

文面の型（再現例）

以下はすべて偽メッセージの再現例で、実物の画像ではありません。文面は無限に増えますが、攻撃する側の目的は増えません。そこで、文面ではなく「あなたに何をさせたいか」で分けています。実在のサービス名は伏せて「〇〇」としています。

いつ来るか

型と同じくらい、届くタイミングが効いています。

• 大型セールや年末年始など、荷物と注文が増える時期
• 確定申告や、税・保険の納付が話題になる時期
• カードや通信料金の引き落とし日の前後
• 引っ越し、入学、機種変更など、手続きが立て込んでいる時期
• 情報漏えいのニュースが出た直後。「〇〇社の流出について、お客様が対象の可能性があります。パスワードの再設定をお願いします」——本物の注意喚起と、それに便乗した偽物が同時に届きます。最も混乱しやすい瞬間です。漏えいのお知らせが来たら →
• 実際に注文した直後、荷物を待っている最中。偶然の一致が疑いを消します

なぜ効くのか

文面は違っても、使われているものは同じです。6つに畳めます。

1. 期限「24時間以内」「本日中」。考える時間を奪います。
2. 少額4,000円ほどの請求。確認するより払うほうが早い、と思わせる金額です。
3. 偶然の一致本当に荷物を待っている。本当に注文した直後。それだけで疑いは消えます。
4. 警戒心の利用警告に正しく反応しようとする動きが、そのまま罠になります（再現例A2）。
5. 良い知らせ還付、返金、当選。焦らせないので、警戒そのものが働きません。
6. 権威銀行、カード会社、警察、税務署。名乗るだけで従いやすくなります。

「注意していれば見分けられる」という前提そのものが、もう成り立ちません。何が偽装できるのかを、5つに分けて並べます。

03-2　リンク先のURLも根拠にならない

短縮URL、転送、正規サービスのリダイレクト機能を挟まれると、押すまで行き先が分かりません。さらに、URLの「どこが持ち主なのか」は、慣れていないと読み取れない形をしています。

apple.com.login-verify.example は Apple ではありません。持ち主を表しているのは末尾側であって、途中に本物の名前をいくら入れても、それは飾りです。この読み方を一般の方に求めるのは、現実的ではありません。

鍵マーク（🔒）も、本物の印ではありません。あれは「通信が暗号化されている」という意味であって、「相手が本物である」という意味ではありません。証明書は誰でも無料で取得できるため、偽サイトにも普通に鍵マークが付きます。

つまり：URLを凝視して見分ける方法を、MAMORUGはおすすめしません。

03-4　認証コード（ワンタイムパスワード）も突破される

ここが、いま最も誤解されている部分です。「二段階認証を設定してあるから、パスワードが漏れても大丈夫」——残念ながら、それだけでは足りない場合があります。

03-3で触れた「中継役」が入ると、こうなります。

1. あなたが偽サイトにIDとパスワードを入力する
2. 偽サイトは、それをその場で本物のサイトへ転送する
3. 本物のサイトは、正規の手続きとしてあなたに認証コードを送る
4. あなたの手元に、本物のコードが届く
5. あなたが偽サイトにコードを入力すると、それも本物へ転送される
6. コードの有効時間が切れる前に、相手がログインを完了する

SMSで届く数字も、認証アプリに表示される数字も、この形では同じように通ってしまいます。スマホに出る「ログインを承認しますか？」の通知も、タイミングを合わせて押させることができます。

そしてもう一つ。この手口で最終的に盗まれるのは、突き詰めると「ログインが済んだ状態」そのものです。だからパスワードを変えただけでは、相手が入ったままになることがあります。あわせて「すべての端末からログアウト（サインアウト）」まで行う必要があります（06で手順を示します）。

だから二段階認証は無意味、ではありません

ここで破られているのは「あなたが打ち込む種類のコード」だけです。二段階認証があるだけで、どこかから流出したパスワードを使った自動的な乗っ取りは、ほぼ止まります。まだ設定していない方が、いま設定するのは、いまでも正しい一歩です。これは階段を1段上げる話であって、階段そのものを否定する話ではありません。二段階認証とパスキーの設定 →

03-5　では、なぜパスキーだけは中継できないのか

ここまでの話は、すべて「あなたが何かを入力し、それが転送される」という形でした。入力するものが無ければ、転送するものもありません。それがパスキーです。

パスキーでは、鍵がスマホやパソコンの中にあり、その鍵は「どのサイト用の鍵か」を覚えています。偽サイトの前に立たされても、住所が違うので、鍵はそもそも反応しません。あなたの指紋や顔で確認するのは、その鍵を使ってよいかどうかだけです。

大事なのは、本物かどうかを判定しているのが人間の目ではなく、端末だという点です。だから「そっくりに見えるかどうか」は、まったく関係がなくなります。

つまり：見分けを人間の目からはずして、仕組みに任せる。これがこの特集の着地点です。パスワード・パスキー・二段階認証の関係を整理する →

「これだけ偽メールが来るなら、名前を使われている会社が何とかすべきでは」——自然な疑問です。ここには、知っておくと納得できる構造があります。

攻撃する側は、その企業のシステムに侵入していません。自分で用意したサーバーからメールを送り、自分で取得したドメインにコピーしたサイトを置きます。企業の設備は、一切使われていません。名前と見た目だけが借りられています。

だから企業の側からは、そのメールが送られたことも、あなたが開いたことも見えません。自社のログにも記録が残りません。届いた人が知らせてくれるまで、存在にすら気づけないことがあります。

企業がまったく何もしていないわけではありません。送信ドメインの認証を整え、公式アプリの中で通知を出し、パスキーを提供し、見つけた偽サイトには停止を依頼しています。ただ、偽サイトは止めても翌日には別の住所で立ち上がります。追いかけ続けるしかないのが実情です。

つまり：名前を使われた企業を責めても、あなたのアカウントは守れません。その瞬間に「どこから入るか」を選べるのは、あなただけです。だからこの特集は、企業ではなくあなたの手元の話をしています。

見分けないと決めたら、やることは4つだけです。全部を今日やる必要はありません。上から順に、できるものから。

1. 1
   経路を固定する

   届いた連絡は「お知らせが来た合図」としてだけ受け取り、確認は必ず公式アプリか、自分で保存したブックマークから行います。リンクを押さないのではなく、入口を自分で決めておくという考え方です。

   怪しいメール・SMSの確かめ方宅配SMS偽の通販サイト怪しい電話

2. 2
   入力するものを無くす（パスキー）

   まずはメールの中心アカウント（GoogleまたはApple）から。ここは他のサービスの復旧にも使われる、鍵束の中心です。

   結局どれを使えばいい？Googleに設定するiPhoneで使い始めるサービス別の設定

3. 3
   認証コードは、誰にも伝えない

   電話でも、メッセージでも、家族を名乗る相手でも同じです。コードを聞いてくる時点で、本物ではありません。パスキーがまだ使えないサービスでは、二段階認証を設定しておきます。

   教えてしまったとき二段階認証の設定

4. 4
   保管庫に自動入力させる

   03-6のとおり、自動入力が出ないこと自体が合図になります。道具に見分けさせる、いちばん手軽な方法です。

   パスワード管理機能の始め方推奨セキュリティ設定 S1

気づいてこのページを開いた時点で、対応は始まっています。順番だけ置いておきます。

1. そのサービスのパスワードを変える偽サイトからではなく、公式アプリか自分で開いた公式サイトから行います。
2. 「すべての端末からログアウト」まで行う03-4のとおり、盗まれるのは「ログインが済んだ状態」そのもののことがあります。パスワード変更だけでは相手が入ったままになる場合があるため、設定画面にあるログアウト（サインアウト）操作もあわせて行います。
3. 同じパスワードを使い回している他のサービスも変えるメール、次に銀行・決済、その次にSNSと通販の順です。
4. カード情報を入力した場合は、カード会社へ連絡するカード裏面か公式アプリの窓口へ。検索結果の広告やメール内の番号は使いません。
5. 画面、URL、届いたメッセージを保存しておく相談や手続きのときに必要になります。

詳しい手順：情報を入力してしまったとき／乗っ取られたかもしれないとき／知らないカード請求／知らない送金・出金

全部を伝える必要はありません。この3行だけで足ります。そのまま送ってください。

1. メールやSMSのリンクからは、ログインしない。アプリかブックマークから開き直す。

2. 届いた数字（認証コード）は、電話でもメッセージでも、誰にも教えない。

3. 「見分けよう」としなくていい。見分けられないように作られているから。

図もそのまま送れます：認証コードが横取りされる仕組みの図／パスキーだけ中継できない理由の図