フィッシング詐欺とは実在する組織をかたる偽のメール・SMSで偽サイトへ誘導し、IDやカード番号を盗む手口。フィッシング対策協議会の2026年8月の報告は82,338件、本物との見分けは「非常に困難」と協議会。入力した時の連絡先まで原文で【2026年10月版】

2026年10月13日・日本時間時点の情報です。 フィッシング詐欺（フィッシング、英語で phishing）とは、実在する組織をかたったメールやSMSで偽のサイトに誘導し、IDやパスワード、クレジットカード番号などを入力させて盗む詐欺です。フィッシング対策協議会に2026年8月に寄せられた報告は82,338件で、協議会は本物のメールやサイトとの判別は「非常に困難」と書き、警察庁もリンクの真偽を見た目で判断することは「非常に困難」と書いています。協議会・警察庁・総務省が勧めるのは、メールやSMSのリンクを開かず、いつものアプリやブックマークから確かめることと、入力してしまった時にすぐカード会社や金融機関へ連絡することです。

3行まとめ

1. フィッシング詐欺は、実在する組織をかたって偽サイトに誘導し、ID・パスワード・カード番号などを盗む詐欺。協議会・警察庁・総務省が原文で定義している（2026年10月13日取得）。
2. 協議会の月次報告書で、2026年10月13日時点の最新は2026年8月分（9月18日公開）。報告82,338件・前月比約24.5%増。名前を使われた割合は Amazon 約26.1%、Apple 約16.1%、ANA 約12.5%。報告件数であって被害件数ではない。
3. 本物との判別は協議会が「非常に困難」と書く。入力した時は、カードならカード会社の紛失・盗難窓口、ネットバンキングなら金融機関へ連絡し、被害が出たら警察のサイバー犯罪相談窓口へ。迷う時の電話は「＃9110」・188・IPA（03-5978-7509）。

声や映像を偽物にする詐欺は、AI音声クローン詐欺の記事とディープフェイクとはに任せます。

フィッシング詐欺とは何か。協議会・警察庁・総務省の定義

フィッシング対策協議会の「フィッシングとは」のページは、次のように書いています。

「フィッシング (Phishing) とは実在する組織を騙って、ユーザネーム、パスワード、アカウントID、ATMの暗証番号、クレジットカード番号といった個人情報を詐取することです。電子メールのリンクから偽サイト (フィッシングサイト) に誘導し、そこで個人情報を入力させる手口が一般的に使われています。」

警察庁の「フィッシング対策」のページは、情報を盗むことに加えて、マルウェア（スマートフォンなどに入り込む不正なプログラム）に感染させることも手口に含めています。

「実在のサービスや企業をかたり、偽のメールやＳＭＳ（携帯電話のショートメッセージ）で偽サイトに誘導し、ＩＤやパスワードなどの情報を盗んだり、マルウェアに感染させたりする手口です。」

総務省の「国民のためのサイバーセキュリティサイト」は、次のように説明し、語源を「魚釣り（fishing）と洗練（sophisticated）から作られた造語であるといわれています」と書いています。

「フィッシング詐欺とは、送信者を詐称したメールやSMSを送りつけ、貼り付けたリンクをクリックさせて偽のホームページに誘導することで、クレジットカード番号やアカウント情報（ユーザID、パスワードなど）などの重要な情報を盗み出す詐欺のことです。」

警察庁は、盗まれたあとに「アカウントを乗っ取られてお金を奪われたり、インターネット通信販売サイトで勝手に買物をされたりします」と書き、入力を求められる情報の例として、口座番号、カード番号、暗証番号（ワンタイムパスワードを含む）、住所・氏名・電話番号・生年月日、各種のIDとパスワード、運転免許証やマイナンバーカードの画像を挙げています。SMSから誘導されるものを、協議会は「スミッシング」と呼びます。IPAは、看板やチラシのQRコードから偽サイトへ誘導する「クイッシング（QRコード詐欺）」の事例も挙げています。

サポート詐欺やビジネス詐欺メールは別の項目

IPAの「情報セキュリティ10大脅威 2026」個人編は、フィッシングと「サポート詐欺（偽警告）による金銭被害」を別の項目にしています。警察庁も、警告画面を見て電話をかけると遠隔操作で料金を請求される例（サポート詐欺）や、取引先や経営者になりすまして入金を促す「ビジネス詐欺メール」を、別の対策ページで扱っています。協議会の2026年8月の報告書も、社長の名前でLINEグループを作らせる手口や警察をかたる手口を「フィッシング以外では」と分けて書いています。

フィッシング対策協議会とは。月次報告書を出している団体

協議会（Council of Anti-Phishing Japan）は、自らの成り立ちを次のように書いています。

「米国を中心に被害拡大が顕著となってきた 2005 年、フィッシングに対する情報収集・提供、注意喚起等の活動を中心とした対策を促進するため、オンラインショッピング、金融、IT ベンダー、情報セキュリティベンダー等の事業者会員に、内閣府、金融庁、警察庁、総務省、経済産業省といった関係府省庁等をオブザーバとして加え発足いたしました。」

協議会に報告されたフィッシングサイトのうち、稼働を確認したものは、JPCERT/CCに共有され、閉鎖に向けた調整が行われる、と協議会は書いています。

いまどれくらい報告されているか。協議会の月次報告書、2026年8月分は82,338件

協議会は、前月分の報告件数・フィッシングサイトのURL件数・悪用されたブランド数を月次報告書にまとめ、「毎月中旬～下旬に公開しています」と書きます。2026年は1月分から8月分まで、公開日が毎月12日から21日の間でした（一覧ページの日付）。2026年10月13日2時台の時点で、一覧の最新は「2026/08 フィッシング報告状況」（2026年9月18日公開）で、9月分のページの住所を直接開くと404でした。9月分が出ると、最新月と数字は変わります。

2026年8月分の数字は次のとおりです。

• フィッシング報告件数：82,338件。前月より16,219件増え、約24.5%増。
• フィッシングサイトのURL件数（重複なし）：39,800件。前月より3,467件減り、約8.0%減。
• フィッシングに悪用されたブランド件数：96。前月より5件減。

直近12か月の報告件数を、各月の月次報告書の本文から並べます。

2025年8月は193,333件でした（2025年8月分の月次報告書）。2026年8月分の本文には「前年」「2025 年 8 月」の語がなく、前年同月との比較や、件数が前年より少ない理由は書かれていません。この記事も、増減の理由は推測しません。

件数は被害数ではない

協議会のよくあるご質問は、「月次報告書に掲載しているフィッシングの件数は、フィッシングの報告を受けた件数であり、被害数ではありません」と書き、数え方を「1 メール 1 件、または 1 URL 1 件」、報告は「個人からの報告が非常に多く、フィッシングメールそのものを転送していただくことが大多数」と説明しています。報告された数なので、報告する人の数にも左右されます（筆者の整理）。この数字から、被害に遭った人の数や金額は読み取れません。

2026年8月に名前を使われたブランドと文面

総評は、報告全体のうち Amazon をかたるものが約26.1%（減少傾向）、Apple が約16.1%、ANA が約12.5%（ともに増加傾向）と書きます。次に多かったセゾンカードと統計局を加えた上位5ブランドで約69.9%です。分野別では、EC系が約43.3%、クレジット・信販系が約29.0%、航空系が約13.3%、官公庁系が約5.2%、金融（銀行）系が約2.4%でした。文面は、注文や配達、返金、決済情報や契約更新、不正利用検知、本人認証、ポイントやマイルの有効期限などをよそおうものが多かったとあります。

SMSから誘導されるもの（スミッシング）は「報告数は少ない状態が続いています」とされています。SMSは直接転送できず、スクリーンショットをメールに添付して報告するよう協議会が案内しているので（後述）、この少なさがSMSによる被害の少なさを意味するかは、協議会の資料からは言えません。

2026年9月の緊急情報

協議会のトップページに載っている「緊急情報」のうち、2026年9月の分は2件です。

• 9月8日：Androidスマートフォン用の不正アプリのインストールへ誘導するメール。件名は「Androidスマホをお使いですか？今すぐ15,622ポイントが受け取れます」など。
• 9月30日：国税庁をかたって不正アプリのインストール等へ誘導するメール。件名は「【重要】e-Taxメッセージボックスに新しいお知らせがあります」など。協議会は「2026年9月30日現在、スマートフォン用e-Taxアプリは提供されていません」と書いています。

IPAの「情報セキュリティ10大脅威 2026」個人編は、「フィッシングによる個人情報等の詐取」を個人向けの10項目のひとつに挙げ、初選出は2019年で「8年連続8回目」です。

メールやSMSを見て、すぐ見分けられるのか

協議会の「フィッシングとは」のページに、この疑問への答えがあります。

「「見破る方法はありますか？」「見分け方のコツはありますか？」とご質問いただきますが、最近のフィッシング詐欺は非常に精巧に作られており、以下のような点で本物のメールやサイトと見分けがつかないことが多く、判別は非常に困難です。」

理由は4つ挙げられています。差出人やメールアドレスを本物と同じ表記に偽装するのは簡単であること。正規のメールを複製したり、AIで自然な日本語を生成したりしていること。フィッシングサイトでも証明書を簡単に取得できるため、URLに鍵マークが表示されること。Webサイトも簡単に複製できること、です。

警察庁も、電子メールは「送信元名称」や「送信元メールアドレス」を変えるのが容易で、スマートフォンのメールアプリは表示項目が少ない場合もあるため判断は一層困難だと書き、リンクについても「見た目でリンクの真偽を判断することは非常に困難です」と書きます。総務省は「ひと目ではフィッシング詐欺であると判別できないケースが増えています」と書きます。IPAの個人向けハンドブックは、対策のひとつに次の文を置いています。

「突然届いた身に覚えのないメールやSMSは真偽を見分けようとせず、基本的に無視し、削除する」

公的機関が挙げる手がかりと、その限界

手がかりが全く書かれていないわけではありません。各機関の記述と、当てになる範囲を並べます。

協議会は、送信ドメイン認証（送信元が本物かを確かめる仕組み）に成功した正規メールにだけブランドのロゴを表示するBIMI（ビミ。Brand Indicators for Message Identification）も紹介し、2026年8月の報告書は、Gmail、Apple iCloudメール、auメール、ドコモメール、@niftyメールなどが対応していると書いています。2026年9月8日の緊急情報は、「正規メール視認性向上」機能に対応したメールサービス以外では、フィッシングメールを「見分けることは非常に困難です」と書きます。自分のメールサービスが対応しているかは、各サービスの案内で確かめる必要があります。

見分けられなくても使える確認の方法

1. リンクを開かず、公式アプリか登録したブックマークから開く。協議会は「必須」の対策に挙げ、警察庁と金融庁も同じ趣旨を書く。検索結果から開く時は、警察庁が誘引経路に「検索サイトの広告」を挙げているので注意する。
2. 入力を求められたら、入力前に一度立ち止まり、不安なら公式窓口へ問い合わせる（協議会）。電話は、メールに書かれた番号ではなく、正規のWebサイトや郵便物で調べた番号にかける（総務省）。
3. パスワードを使い回さず、パスワード管理機能を使う。協議会は、自分で登録した正規サイトにだけ自動入力するので、偽サイトには反応しないと書く。
4. パスキーや多要素認証を設定する。協議会は「推奨」の区分に置き、金融庁はパスキー認証等を挙げる。ただしIPAは、偽サイトで入れたIDとパスワードを攻撃者がすぐ使ってログインし、そこへ届いたワンタイムパスワードも偽サイトに入れさせて、二要素認証を突破する「リアルタイム型フィッシング」が横行していると書く。
5. ログイン通知を使い、利用明細や利用状況をこまめに確認する（IPAの「早期検知」）。

生成AIで偽メールの文面は自然になったのか

協議会は、2026年度版の「フィッシング対策ガイドライン」（オンラインサービス事業者向け。PDFの電子署名の日付は2026年5月29日）の序で、次のように書いています。

「生成 AI を活用した自然な文章表現や個別最適化されたメッセージによる攻撃の巧妙化も顕著となった。従来の不自然な日本語や明らかな誤りを手掛かりに判別することが難しくなり、この点についての注意喚起のみでは被害を防ぎきれない状況になっている。」

IPAの「情報セキュリティ10大脅威 2026」組織編の解説書も、AIによる翻訳能力の向上で、攻撃者が「フィッシングの文面を標的の母国語で違和感なく表現することを可能にし」、多言語での攻撃を格段に容易にする、と書いています。

一方、協議会の2026年8月の月次報告書には、逆向きの観察も載っています。

「AI にメール文面の作成を指示したと思われるプロンプトがメール本文に残っていたり、メール本文に差出人のブランドや連絡先が記載されていなかったり、利用者に向けたメール文面では使わない言い回しだったり、件名や差出人の文字列が左右逆（RTL 表記）など、人が見ると「不自然すぎる」メールが多くみられました。」

同じ段落は、目に見えない文字を単語の間に埋め込んで迷惑メールフィルターをすり抜けようとするメールの中に、HTMLで表示するときれいな体裁のものが確認されており、注意が必要だとも書いています。

筆者の読みです。不自然な文面のメールが多数ある一方で自然な文面のものもあり、「日本語が不自然だから偽物」とは言えても、「日本語が自然だから本物」とは言えません。本記事が取得した警察庁・総務省・金融庁・政府広報オンラインのページには、「生成AI」の語はありませんでした（取得したテキストで検索）。メールをAIに見せて判定してもらう使い方について、OpenAIは2026年9月16日の発表で、「毎週、数千万回にわたり、人々が不審なメッセージやメール、ウェブサイトの確認を ChatGPT に依頼しています」と書いています（英語版の原文は「Tens of millions of times a week, people ask ChatGPT for help evaluating suspicious messages, emails, and websites.」。日本語版を2026年10月13日2時14分、英語版を2時23分に開いて確認。当サイトの記事も参照）。この発表のテキストに、判定の正確さを示す数字はありませんでした。協議会の「今すぐできるフィッシング対策」とIPAの個人向けハンドブックには、AIで判定する方法の記述はなく、IPAは前に引いたとおり「見分けようとせず」無視して削除するよう書いています。

リンクを開いた・入力してしまった時にすること

協議会の「今すぐできるフィッシング対策」は、「被害にあったかもしれないサインと対処法」を表にしています。

協議会のよくあるご質問は、クレジットカード情報なら「すぐにクレジットカード会社の紛失・盗難窓口へ連絡し、利用停止と、必要に応じてカード再発行の手続きを行ってください」、インターネットバンキングの認証情報なら「すぐに金融機関へ連絡してください」、被害が出ているなら「お住まい地域の警察本部のサイバー犯罪相談窓口へご連絡してください」と書きます。警察庁は、盗まれたIDやパスワードを使っているすべてのサービスで速やかに変更するよう書き、総務省の事例6は、カード会社へ連絡してから警察に被害届を出す順を書いています。

アプリをインストールしてしまった場合は、警察庁が、荷物追跡のアプリを入れたところ電話帳の番号宛てにSMSが大量に送られていた相談事例を載せています。ただ、その後に端末をどうするかという具体的な手順は、本記事が取得した協議会・警察庁・IPA個人編のページには書かれていませんでした。

連絡先

フィッシング対策協議会への報告のしかた

協議会の「フィッシングの報告」のページが書く内容です。報告はWebフォームか電子メールで受け付けています。

• フィッシングと思われるメールは、リンクを開かずに報告受付のアドレス（月次報告書の表記で info@antiphishing.jp）へ転送する。SMSは直接転送できないので、スクリーンショットをメールに添付する。偽サイトを見つけたら、そのアドレスを送る。
• 迷惑メールフォルダーに入ったメールはすでに検知されているので、報告は不要。
• 報告した情報は、警察など法執行機関や、かたられた組織へ提供する場合がある。受領確認の返信は件数が多いため割愛している。
• 受信したメールが本物かを確かめる必要がある場合は、かたられたブランドのサポート窓口へ問い合わせるよう書いている。協議会の窓口は対策を案内している、とある（よくあるご質問）。

2026年10月13日2時台に、協議会のページを開いて確かめたこと

筆者は2026年10月13日2時1分から、協議会のページをログインせずに開き、本文を保存して数字を読みました。

• 2時1分25秒に「月次報告書」の一覧を取得し、先頭が「2026年09月18日 2026/08 フィッシング報告状況」で、9月分がないことを確かめました。2時2分6秒に9月分の住所（202609.html）を直接開くと、404でした。
• 2時1分48秒に8月分を取得し、「82,338 件」「16,219 件増加」「約 24.5 % 増」「39,800 件」「96 件」を確かめました。16,219÷66,119は約24.5%で、報告書の数字と合います。
• 2時1分から2時6分に2025年8月から2026年8月までの月次報告書を取得し、報告件数の表を作りました。13か月分で、連続する月の件数と「前月より○件増加／減少」は12か所すべて合いました（検算結果は取得した原文と同じ場所に保存）。たとえば2026年2月の57,096件に65,285件を足すと、3月の122,381件です。
• 2時6分2秒にヘッドレスのブラウザー（画面を出さない状態）で8月分のページを1280×800と390×844で撮影しました。どちらも先頭の「フィッシング報告件数」の下に12か月の棒グラフがあり、グラフの数字は本文の件数と同じでした。筆者が2026年1月から8月の件数を足すと879,827件です（報告件数の足し算で、被害件数ではありません）。
• 2時14分にOpenAIの発表ページを開きました。curlは403で、ヘッドレスのブラウザーでは日本語版が表示されました。2時23分に英語の設定で開き直し、引用した一文の英語の原文を確かめました。
• 協議会の報告用アドレスは、ページでは迷惑メール対策として「@」が画像に置き換えられています。この記事のアドレスは、月次報告書の本文の表記です。

出典：フィッシング対策協議会「2026/08 フィッシング報告状況」（https://www.antiphishing.jp/report/monthly/202608.html）を2026年10月13日2時6分に筆者が撮影。

9月分の数字と、窓口の応答は確かめていない

• 9月分の数字。2026年10月13日2時台の時点で9月分は未公開でした。公開後は最新月の数字が変わります。
• 被害の件数と金額。協議会の件数は報告件数です。警察庁や金融庁などの被害額の統計は取得していません。
• 偽のメールやサイトを実際に開いて見分けを試すこと。筆者は開いていません。
• 各窓口への電話。番号と受付時間は各機関のページの記述で、カード会社ごとの連絡先、都道府県警察の窓口、各銀行の窓口は個別に確認していません。
• アプリをインストールしてしまった後の手順（前の節）。
• BIMIに自分のメールサービスが対応しているか。協議会の報告書の記述を引いただけです。
• 海外の機関（米国のCISAやAPWGなど）の資料。

協議会・警察庁・総務省・IPAなどのページと取得時刻

定義・数字・対処法は、フィッシング対策協議会（フィッシングとは・月次報告書2025年8月分〜2026年8月分・今すぐできるフィッシング対策・フィッシングの報告・よくあるご質問・ガイドライン2026年度版・緊急情報2件）、警察庁、総務省、政府広報オンライン、IPA、金融庁、国民生活センター、東京都クレジットカード犯罪対策連絡協議会、全国銀行協会、インターネット・ホットラインセンター、OpenAIのページに基づきます。いずれも2026年10月13日の2時1分から2時23分に取得しました。ページの名前とURLは、記事末尾の出典欄に並べています。窓口の電話番号や受付時間、報告件数は変わることがあるので、使う前に各機関の最新のページを見てください。