フィッシングとは

この記事は約 2 分で読めます

フィッシングとは、正規のサービスや企業を装った偽のウェブサイトやメールを使い、ユーザーのパスワード、クレジットカード番号、個人情報などを騙し取るサイバー攻撃の手口です。英語の「 fishing (釣り)」の綴りを変えた語で、 f を ph に置き換える 1990 年代のハッカー文化の言葉遊び (phreaking など) の影響を受けたと説明されています。 FBI の IC3 (インターネット犯罪苦情センター) が公表した 2024 年の年次報告では、フィッシングとなりすましの申告が 193,407 件で、犯罪種別のなかで最も多くなりました。同じ報告には、生成 AI を使った金融詐欺について 2024 年 12 月に注意喚起が出されたことも記録されています。

歴史的背景

フィッシングの起源は 1990 年代半ばの AOL (America Online) に遡ります。攻撃者が AOL のスタッフを装い、ユーザーのパスワードを聞き出す手口が最初期の事例とされています。 2000 年代にはオンラインバンキングを標的としたフィッシングが急増し、 2010 年代以降はクラウドサービスや SNS アカウントを狙う攻撃が主流になりました。2020 年代半ば以降は生成 AI を悪用した、文法的に完璧なフィッシングメールの作成が容易になり、従来の「不自然な日本語」という見分け方が通用しなくなっています。

フィッシングの種類と比較

一般的なフィッシングは不特定多数を標的にしますが、より高度な変種も存在します。スピアフィッシングは特定の個人や組織を狙った標的型攻撃で、受信者の情報を事前に調査して信憑性の高いメールを送ります。ホエーリングはスピアフィッシングの中でも経営幹部 (CEO 、 CFO など) を標的にした攻撃で、「鯨 (whale)」を狙うことに由来します。スミッシングは SMS を利用したフィッシング、ビッシングは電話を使った手口です。攻撃の精度と被害額は、一般フィッシング → スピアフィッシング → ホエーリングの順に高くなる傾向があります。

現場での使用例

業務で最初に狙われやすいのは、請求書や支払いのやり取りが日常業務になっている経理・総務の担当者です。典型的な形は、正規の取引先とドメインが 1 文字だけ違う送信元から、請求書を装った添付ファイルやリンクが届くというものです。文面は自然で、金額や取引先名も実在のものが使われるため、内容の違和感だけで判断するのは難しくなります。届いた側にできる現実的な手順は、添付やリンクを開く前に社内の報告窓口へ転送し、判断を自分ひとりで完結させないことです。同じメールは複数人に届いている前提で部門内へ周知し、すでに開いてしまった場合は端末をネットワークから切り離してから、そのアカウントのパスワード変更とセッションの失効を行います。

攻撃フロー

見分けるポイント

フィッシングメールを見分けるには、送信元アドレスのドメインを確認することが重要です。正規のドメインに似せた微妙に異なるアドレス (例: amaz0n.com) が使われることが多くあります。また、「アカウントが停止されます」「 24 時間以内に対応してください」といった緊急性を煽る文面は典型的なフィッシングの特徴です。リンク先の URL をクリック前に確認し、正規のドメインであることを必ず確かめましょう。

実務での対策と落とし穴

セキュリティ現場でよくある誤解は「自分は騙されない」という過信です。ソーシャルエンジニアリングは知識不足を突く手口ではなく、急いでいる状況や上下関係といった文脈を突く手口なので、仕組みを知っている人でも条件がそろえば引っかかります。組織で模擬フィッシング訓練を行うなら、クリック率の下げ幅を成果として追うより、開いてしまった人がためらわずに報告できる経路を先に用意するほうが実害を止めます。サービスごとに異なるランダムなパスワードを使い分けることで、万が一 1 つのサービスでフィッシング被害に遭っても、他のサービスへの被害拡大を防げます。二段階認証の設定も有効な対策です。