フィッシング報告件数

2024 年 6 月にフィッシング対策協議会に寄せられたフィッシング報告件数 (海外含む) は、前月より 480 件増加し、144,160 件となりました。

フィッシングサイトの URL 件数

2024 年 6 月のフィッシングサイトの URL 件数 (重複なし) は、前月より 16,902 件増加し、54,991 件となりました。

フィッシングに悪用されたブランド件数

2024 年 6 月のフィッシングに悪用されたブランド件数 (海外含む) は、前月より 20 件減少し、71 件となりました。

総評

2024 年 6 月のフィッシング報告件数は 144,160 件となり、2024 年 5 月と比較すると 480 件増加でほぼ同数となりました。
Amazon をかたるフィッシングの報告は前月と比較すると減少傾向とはなりましたが、報告数全体の約 26.3 % を占めました。次いで各 2 万件以上の報告を受領した三井住友カード、ヤマト運輸、各 1 万件以上だった東京電力、イオンカードをかたるフィッシングの報告をあわせると、全体の約 82.1 % を占めました。特にヤマト運輸をかたるフィッシング報告数は、前月の約 26 倍と急増しました。また 1,000 件以上の大量の報告を受領したブランドは 11 ブランドとなり、これらを合わせると全体の約 93.9 % を占めました。

分野別では、報告数全体に対する割合はクレジット・信販系 約 38.4 %、EC 系 約 27.2 %、配送系 約 15.7 %、電力・ガス・水道系 約 11.4 %、金融系 約 2.4 %となり、前月と比較すると配送系以外の分野は、おおむね減少傾向となりました。
フィッシングに悪用されたブランドは 71 ブランドとなり減少しました。クレジット・信販系 15 ブランド、金融系 10 ブランド、通信事業者・メールサービス系 10 ブランド、オンラインサービス系 ６ ブランド、EC 系 5 ブランド、配送系 4 ブランドとなりました。 前月までは多くのブランドを次々と狙う傾向がみられましたが、6 月は特定のブランドをかたるフィッシングメールを大量にばらまく傾向だったため、結果的にブランド数が減ったと思われます。

SMS から誘導されるフィッシング (スミッシング) については、宅配便関連の不在通知を装う文面から Apple をかたるフィッシングサイトへ誘導するタイプの報告が最も多く、次いで金融系ブランドをかたる文面の報告を多く受領しました。スミッシングへの対策については、「事業者のみなさまへ」「利用者のみなさまへ」を参考にしてください。
また、Google メッセージの RCS チャットで送信されたフィッシングメッセージの報告を受領しました。ブランド名を設定したグループを作成して、海外の電話番号からメッセージを送信しているケースを確認しています。 正規サービス事業者がグループチャットで契約者へ請求等に関するお知らせを送るケースは無いと思われるため、このようなメッセージを受け取った際にはスクリーンショットを撮ってフィッシング対策協議会へ報告するとともに、Google へも「スパムとして報告」をしてください。

2024 年 6 月のフィッシングサイトの URL 件数は 54,991 件と急増し、2024 年 5 月と比較すると 16,902 件、約 44.4 % 増加となりました。
報告全体の URL（重複あり）の TLD 別では .com が約 50.8 %、次いで .cn 約 24.0 %、.top 約 6.0 %、.xyz 約 5.8 %、.net 約 4.5 %、.dev 約 3.3% となり、前月に引き続き .com ドメイン名および .cn ドメイン名の悪用が多い状況が続いています。 重複なしの URL では .cn ドメイン名にランダム文字列のサブドメイン名を付加し、フィッシングメールに記載する「使い捨て」リダイレクト用 URL として使うケースが全体の約 41.3 %を占めました。そのほかでは Web プロキシ―サービスやトラッキング用 URL などリダイレクト機能があるサービスを悪用し、フィッシングサイトへ誘導するケースが増えました。これらはもともと正規の目的で利用されていたサービスであり、フィルターでブロックされづらい可能性があるため、注意が必要です。

ある調査用メールアドレス宛に 6 月に届いたフィッシングメールのうち、約 53.3 % がメール差出人に実在するサービスのメールアドレス (ドメイン名) を使用した「なりすまし」フィッシングメールであり、前月に引き続き「なりすまし」送信が半数以上を占めました。
送信ドメイン認証技術 DMARC のポリシーが reject (認証失敗したメールは受信拒否) または quarantine (認証失敗したメールを迷惑メールフォルダー等へ隔離) で、フィルタリング可能な なりすましフィッシングメールは約 30.6 % と増加傾向となり、 DMARC ポリシーが none (認証失敗したメールも素通しして受信) または DMARC 対応していないドメイン名のなりすましフィッシングメールは約 22.7 % と減少傾向となりました。独自ドメイン名による非なりすましメール配信は約 46.7 % と前月とほぼ同割合となり、 そのうち DMARC に対応して認証成功 (dmarc=pass) したメールは約 33.4 % と、非なりすましメールの送信ドメイン認証への対応率が上がっています。現状、利用者への連絡手段としてメールを送信する事業者は DMARC への対応がほぼ必須となっているため、DMARC による送信元ドメイン名の認証結果は正規メールか否かの判断基準の一つとなっています。
逆引き (PTR レコード) 設定がされていない IP アドレスからの送信は約 85.9 % と多い状況が続いており、特に大量配信される不正メールは送信元に逆引き設定がされていないケースが多いため、メールサービスを運用している場合は、そのようなメールを受け取らないことを検討してください。

6 月もフィッシングメールの大量配信により、報告数が多い状況が続いています。特定のブランドをかたり、ほぼ同じ文面のフィッシングメールが毎日何通も届くため、このようなメールは不審であるという認知度が向上して報告が増えたとも考えられますが、類似している正規メールがフィッシングメールとして報告されるケースも増えています。
件名から迷惑メールフィルターで検知されたと判断できる報告メールは全体の約 2 割であり、本物のメールの画像や文章をコピーしている「なりすまし送信」メールは、送信ドメイン認証により正規メールにのみ表示されるロゴ、アイコン、マーク等や S/MIME による電子署名がなければ判別が困難になっています。また、メール文面に非表示のゴミ文字列や正規の URL を混ぜたり、Unicode 文字列で URL を記載するなど、検知を回避しようとする試みも続きました。
また不正なメッセージを送る新たな配信経路として、Google チャットが悪用されるなど、スミッシング対策を回避してモバイル端末へ着信させようとする試みも確認されており、今後も注意が必要です。

フィッシング以外では、 不審な仕事 (アルバイト) の募集、モバイルキャリア等をかたった当選通知、ブランド模造品の販売サイトへの誘導、仮想通貨での支払いを要求する脅迫メール (セクストーションメール) の報告が多く寄せられました。このようなメールから誘導されたサイトで詐欺被害に遭った場合は、最寄りの警察署へ相談、情報提供を行ってください。

事業者のみなさまへ

メールサービスを提供している通信事業者は、DMARC ポリシーに従ったメールの配信を行うとともに、迷惑メール対策を強化してください。また、ウェブメールやメールアプリなどでは送信ドメイン認証の検証状況を利用者が認識できるよう、検証結果に基づいた警告表示ならびに検証対象としたドメインの表示を検討してください。
オンラインサービスを提供している事業者は、DMARC レポートで正規メールが利用者に届いていることを確認しながら、最終的にポリシーを quarantine または reject に変更し、なりすましメールが受信者に届かないようにしてください。

送信ドメイン認証を運用中の注意事項としては、メール配信サービスを追加したり、ネットワーク設備を統廃合するうちに、DNS に登録されている送信ドメイン認証の設定値が無効となる場合があります。特に多いのは SPF のエラーであり、さまざまなプロモーションメール配信を行う部門を持つ大手事業者で発生しているケースがよく見られます。定期的にチェックサイトで確認したり、DMARC レポートで送信メールが正常に判定されているか等、監視を行ってください。

不正メールを排除し、正規メールのみを確実に利用者に届けるため、大手メールサービスの Gmail が 2023 年 10 月に「メール送信者のガイドライン」を公開しており、6 月以降、5,000通/日以上の一括送信者は DMARC 対応必須となっています。Email sender guidelines FAQ (英語版) に、メールの受信拒否の際に返るエラーコードについて追記されているので、Gmail にメールが届かない場合は参照してください。メール送信ログのエラーや DMARC レポート、Gmail の Postmaster Tools を確認し、問題が見つかった場合は調査および改善を行うか、配信用メールサービスをより安全なサービスへ変更することも、検討してください。
またモバイル大手のドコモでは 10月以降 DMARC 未対応メールには警告表示を行う、と発表しています。これは送信数の多少に関わらず、すべての送信者が対象となります。日本政府も 6 月の犯罪対策閣僚会議において詐欺対策としての DMARC への対応促進を発表しており、今後、DMARC 正式運用はメールセキュリティにおける基本的な要件となると考えられます。DMARC 未対応、対応未計画の送信者は、まずは p=none のモニタリングモードでの DMARC 対応を早めに開始することを検討してください。

スミッシング対策としては、「0005」で始まる国内モバイルキャリア共通の SMS 発信用の共通番号（共通ショートコード) 等を使うこと、正規メッセージにはURLは記載しないこと、認証コードのメッセージにその事由や警告を記載する等を検討し、利用者にはそれらを確認するよう、啓発を行ってください。

利用者のみなさまへ

大量のフィッシングメールが届いている場合は、そのメールアドレスが漏えいしていることを意味します。漏えいした情報は犯罪者間で売買され、消すことができません。参考情報の「なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット」を参考に、正規メールにアイコンが表示されるなどのフィッシング対策機能が強化されているメールサービスに新たにメールアドレスを作成し、オンラインサービスへ登録しているメールアドレスを切り替えていくことを検討してください。
フィッシングサイトに入力した情報を、犯罪者が裏で本物のサイトへ入力し、SMS 認証コード等も詐取して二要素認証を突破して、登録情報を変更したり、不正利用するケースが確認されています。身に覚えがない決済や登録変更の通知がきた場合は、送信ドメイン認証でアイコンが表示されている等、正規メールであるかを確認した上で、サービスのサポート窓口へ対応について相談してください。

普段からログインを促すようなメールや SMS を受信した際は、正規のアプリやブックマークした正規の URL からサービスへログインして情報を確認し、クレジットカード情報や携帯電話番号、認証コード、口座情報、ワンタイムパスワード等の入力を要求された場合は、入力する前に一度立ち止まり、本当に必要な手続きなのか、その入力先サイトが本物かを確認してください。特に初めて利用するサイトの場合は、運営者情報や問い合わせ先などを確認し、似たようなフィッシングや詐欺事例等がないか、確認するようにしてください。

Android スマートフォンの場合はスミッシングから不正アプリ (マルウェア等) のインストールへ誘導されることが多いため、日頃から SMS のリンクからのアプリのインストールは行わないよう、注意するとともに Google Play プロテクトや正規のウイルス対策アプリ等で不正なアプリ (マルウェア等) をインストールしていないか確認してください。

情報提供のお願い

フィッシングか否かの判断に迷う不審なメールや SMS を受け取った場合は、各サービス事業者の問い合わせ窓口やフィッシング対策協議会 (info@antiphishing.jp) まで、ご報告ください。 【報告方法】はこちら

参考情報

  NTTドコモ: ドコモメールにフィッシング詐欺対策を目的とした 「なりすましメールの警告表示機能」を導入
～フィッシング詐欺の可能性がある不審なメール開封時に警告を表示～
     https://www.docomo.ne.jp/binary/pdf/info/news_release/topics_240522_00.pdf

  政府会議: 令和6年6月18日 第39回 犯罪対策閣僚会議 国民を詐欺から守るための総合対策
     https://www.kantei.go.jp/jp/singi/hanzai/dai39/39gijisidai.html

  なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット
     https://www.antiphishing.jp/enterprise/domain_authentication.html#advantages

  Gmail : Email sender guidelines (英語版)
     https://support.google.com/mail/answer/81126?hl=en

  Gmail : Email sender guidelines FAQ
     https://support.google.com/a/answer/14229414?hl=en

  Gmail : メール送信者のガイドライン (最新のアップデートが反映されていないため、英語版も参照してください)
     https://support.google.com/mail/answer/81126?hl=ja

  Gmail : Postmaster Tools を使ってみる
     https://support.google.com/mail/answer/9981691

  JPAAWG: Google & 米国Yahoo!の迷惑メール対策強化について
     https://connpass.com/event/304457/