フィッシング報告件数

2025 年 7 月にフィッシング対策協議会に寄せられたフィッシング報告件数は、前月より 33,563 件増加し、226,433 件となりました。

フィッシングサイトの URL 件数

2025 年 7 月に報告を受けたフィッシングサイトの URL 件数 (重複なし) は、前月より 25,165 件増加し、85,272 件となりました。

フィッシングに悪用されたブランド件数

2025 年 7 月に報告を受けたフィッシングに悪用されたブランド件数は、前月より 3 件増加し、97 件となりました。

総評

2025 年 7 月のフィッシング報告件数は 226,433 件となり、2025 年 6 月と比較すると 33,563 件、約 17.4 % 増加しました。
報告数全体のうち SBI証券 をかたるフィッシングは約 16.1 %、NTTドコモをかたるフィッシングは約 13.2 %といずれも増加、Apple をかたるフィッシングは約 7.0 %、ANA をかたるフィッシングは約 6.9 % と減少傾向ではあるものの多い状況が続きました。次いで 1 万件以上の報告を受領した VISA、松井証券、Amazon をかたるフィッシングの報告をあわせると、全体の約 58.3 % を占めました。また 1,000 件以上の大量の報告を受領したブランドは 35 ブランドと急増し、これらを合わせると全体の約 94.4 % を占めました。

分野別では、報告数全体に対する割合は、証券系 約 24.3 %、クレジット・信販系 約 19.0 %、EC 系 約 14.1 %、モバイル系 約 13.3 %、航空系 約 7.4 %、配送系 約 5.6 %、交通系 約 4.4 % となり、前月と比較すると証券系、モバイル系が急増、クレジット・信販系、配送系、交通系も増加傾向、EC 系は大きく減少しました。
フィッシングに悪用されたブランドは 97 ブランドとなり、クレジット・信販系 21 ブランド、金融（銀行）系 14 ブランド、証券系 12 ブランド、通信事業者・メールサービス系 8 ブランド、決済系 6 ブランド、オンラインサービス系 6 ブランドとなりました。

SMS から誘導されるフィッシング (スミッシング) については、7 月は全体的に報告が減少傾向ではあるものの、宅配便の不在通知を装う文面の報告が続いています。スミッシングへの対策については、「事業者のみなさまへ」「利用者のみなさまへ」を参考にしてください。

2025 年 7 月のフィッシングサイトの URL 件数は 85,272 件となり、2025 年 6 月と比較すると 25,165 件増加しました。
報告全体の URL (重複あり) の TLD 別では .cn 約 26.4 %、 .top 約 22.4%、.com 約 21.9 % となり、特に .top ドメイン名の悪用が急増しました。次いで 1 万件以上の報告では .cc 約 4.7 % となり、あわせると報告全体の約 75.3 % を占めました。1,000 件以上 1 万件以下の報告では .sbs 約 3.5 %、.shop 約 2.5 %、.jp 約 2.5 %、.pw 約 1.8 %、.me 約 1.8 %、.goog 約 1.8 %、.love 約 1.7 %、その他の 9 TLD 約 6.3 % となりました。重複なし URL では Google 翻訳の URL をリダイレクト元として悪用するケースが続いており、約 8.5 % を占めました。

ある調査用メールアドレス宛に 7 月に届いたフィッシングメールのうち、メール差出人に実在するサービスのメールアドレス (ドメイン名) を使用した「なりすまし」フィッシングメールは約 32.2 % となり減少傾向となりました。
送信ドメイン認証技術 DMARC のポリシーが reject (認証失敗したメールは受信拒否) または quarantine (認証失敗したメールを迷惑メールフォルダー等へ隔離) で、フィルタリング可能な なりすましフィッシングメールは約 15.1 %と増加傾向に、DMARC ポリシーが none (認証成功・失敗したメールを両方区別なく素通し) または DMARC 対応していないドメイン名のなりすましフィッシングメールは約 17.1 % と減少傾向となりました。独自ドメイン名による非なりすましメール配信は約 67.8 %、そのうち DMARC に対応して認証成功 (dmarc=pass) したメールは約 32.9 % となり、送信ドメイン認証結果によりフィルターをすり抜けようとする試みが増加しました。
逆引き (PTR レコード) 設定がされていない IP アドレスからの送信は、多い状況が続いており、約 87.7 % を占めました。逆引きに設定されたホスト名は、.cn 約 5.2 %、.br 約 2.2%、.com 約 1.6 %、.net 約 1.0 %、.jp 約 1.0 % となりました。また先月同様、.cn や .com の独自ドメイン名を PTR レコードに設定していた送信元 IP アドレスは特定のホスティングサービスに集中しており、逆引き設定済の約 41.9 %を占めていました。逆引き設定は対象の IP アドレス管理を行っている事業者が管理しており、手軽に設定変更できるホスティングサービスは多くないため、このように集中したと考えられます。またアカウントの乗っ取りや不正契約などによる国内ホスティングサービスや ISP の IP アドレスからの発信が増えているため、注意が必要です。

7 月のフィッシング報告数は再び急増しました。主な要因としては、多要素認証設定依頼や補償に関するメール等を装った証券会社をかたるフィッシングメールの配信が再び増加したためで、いかにも「本物らしい」メール文面で、証券会社のドメイン名のメールアドレスに使った「なりすまし」送信も、多数確認されました。
証券系以外ではサービス利用更新手続き、決済 (カード) 情報更新、航空会社マイレージの加算、高級ホテルやレストランへの招待当選、電気/ガス料金/税金支払い、未加算ポイントの手続き、ポイント有効期限のお知らせ、不正検知による利用制限、月額請求、認証情報更新、宅配便配達不能通知などのメール文面による誘導が続いています。また利用者が見慣れている本物メールや、サービス提供事業者が送っている注意喚起メールを模倣したフィッシングメールも多く、このようなメールは違和感に気付きにくいため、送信ドメイン認証により正規メールにのみ表示されるブランドロゴ、アイコン、マーク等や S/MIME による電子署名等などがなければ判別が困難になっています。
メール文面に非表示のゴミ文字列を混ぜる、正規サイト URL や無関係な URL を多数混在させる、Unicode 文字を混ぜて URL を記載する、URL の BASIC 認証情報 (フィッシングサイトアクセス時には不要となる) 部分やサブドメイン名、パラメーター部分にランダムな文字列を記載するなど、迷惑メールフィルターや解析ツール等の検知を回避しようとする試みが続いています。これらのパターンは毎週のように変更され、メールフィルター等で対策を行っても翌週には再びすり抜けが発生しています。一方で日本語が不自然、字が間違っている、Unicode文字で記載されていて見た目におかしい、転送しようとするとメール表示が壊れるなど、迷惑メールフィルターのすり抜けは成功しても、人間が見ると不自然さを感じるフィッシングメールが、前月に引き続き多く見られました。

また、報告上位ブランドや大きな被害の要因となった証券会社をかたるフィッシングメールなど、大量に配信されているフィッシングメールは逆引き設定がされていない IP アドレスから送られることが多く、FCrDNS (Forward Confirmed Reverse DNS) 認証を行うと判別ができるため、大きな効果が期待できます。FCrDNS 認証は Gmail など海外メールサービスでは一般的なメールセキュリティ設定ですが、日本国内のモバイルやISP、自組織で構築運用しているメールサービスの多くは対応が遅れています。また送信ドメイン認証に失敗したメールも DMARC ポリシーに関わらず素通しする国内メールサービスが多いため、利用者にこのようなメールを届かないようにする、または判別できるようにする対策の実施が、被害抑制に向けた重要な課題となっています。

フィッシング以外では、証券会社をかたり儲かる投資のアドバイスやセミナーへの勧誘のメールが大量に配信されています。SNS の友達登録等を促された場合は、連絡やアクセスをせずに、メール内のキーワードで検索し、詐欺事例が無いか確認するようにしてください。不正なメールとしては現金/ポイント当選、支援給付金申請、仮想通貨での支払いを要求する脅迫メール、警察を装った詐欺メールなどの報告が寄せられました。このようなメールから誘導されたサイトで詐欺被害に遭った場合は、最寄りの警察署へ相談、情報提供を行ってください。
またメール本文が無くメールアドレスの到達性を確認していると思われるメールや、差出人や送信元が正規ではないが、不正なリンクが無い（誘導先が正規サイトのURL）メールなど、不審メールも多く確認されています。正規のメールではない、と判断したら、迷惑メールとして利用しているメールサービスへ報告してください。

事業者のみなさまへ

大量の不要な不正メールは受信者がそれらに対応する時間やさまざまな IT リソースを奪い、大きな損失となっています。
メールサービスを運用している事業者および組織では、セキュリティ上、送信ドメイン認証で認証失敗 （fail）したり、FCrDNS 認証に失敗（逆引き正引き不一致で fail）したメールは、ウェブメールやメールアプリで警告表示する等の対策を検討してください。また DMARC ポリシーに従ったメールの配送や、FCrDNS認証 に失敗したメールを受信しない（一時エラーを返す）など、必要なメールのみ受け取れるよう、対策を検討してください。特に逆引き設定は Gmail 送信者ガイドラインでは対応必須となっており、現在では正規サービスのメールについては、基本的に逆引き設定された IP アドレスからのみ送られてくると考えられるため、不正メールのみを排除する効果が期待できます。

オンラインサービスを提供している事業者は、DMARC ポリシーを reject に変更する計画を立ててください。現在、事業者規模の大小問わず、ドメイン名を悪用したなりすましフィッシングメール配信が確認されています。quarantine では迷惑メールとして届くため、受信者は正規メールも迷惑メールとして認識するようになります。メールからのコンバージョン率が下がっている場合は、ドメイン名＝ブランドへの信頼度が低下しているため、ブランドロゴ、アイコン、マーク等の正規メール視認性向上を行い、利用者へ十分に啓発を行ってください。
特に DMARC で認証成功したメールにブランドロゴを表示する BIMI (Brand Indicators for Message Identification) は認証マーク証明書 (VMC : Verified Mark Certificates) 取得時に対象ブランドに対する第三者認証が行われており、サーバー証明書と同様に審査基準に応じた信頼性を担保しています。BIMI のロゴ表示は日本では特にモバイル系メールアドレスでのカバー率が高く、現在は Gmail、Apple iCloud メール、auメール、ドコモメール、ソフトバンク、@nifty メールなどが対応しており、フィッシングメールに紛れた正規メールを判別できるようになり、信頼性と開封率が上がるため、契約者（利用者）へメールを配信している事業者は BIMI への対応を検討してください。
また、参考情報の「迷惑メール相談センター：送信ドメイン認証実施状況」の受信側 DMARC および BIMI の項目を参照し、利用者に DMARC 受信側対応を行っているメールサービスを推奨してください。受信側対応していないメールサービスの利用者は正規メールとそれ以外の判別ができず、被害に遭う可能性が高くなります。

また、詐取された認証情報の不正利用への対策として、パスキーなど ID/パスワード以外の多要素認証方法も追加するなどの認証強化を検討してください。盗まれた ID/パスワードにより不正ログインされ、 2025 年 1 月から 7 月にかけて 6,200 億円以上の不正取引が発生した証券業界では、多要素認証を必須化する動きとなっています。 オンラインでのクレジットカード決済に対応している EC 加盟店は、2025 年 3 月に新版が公開された 「クレジットカード・セキュリティガイドライン」において、EMV 3-Dセキュアへの対応に加え、会員サイトへの不正ログイン対策が要請されています。現在、クレジットカード決済に対応しているオンラインサービスを運用している場合はご確認ください。

SMS 認証併用の際にはスミッシング対策として、「0005」で始まる国内モバイルキャリア共通の SMS 発信用の共通番号（共通ショートコード) 等を使う、正規メッセージには URL は記載しない、認証コードのメッセージにその用途や本物の入力画面照合のためのキーワードを記載する等を検討し、利用者にはそれらを確認するよう、啓発を行ってください。

利用者のみなさまへ

普段から注意していて自分はフィッシングには騙されない、と考えていても、昨今の本物と見分けのつかないフィッシングメールに騙され、情報を入力して被害に遭うケースが急増しています。ID とパスワードが知られてしまっても、それだけではログインできないよう、利用しているオンラインサービスでパスキーや多要素認証が利用できる場合は、必ず設定してください。
また○や□の囲み文字、斜体や太字など、見た目に不自然な文字で記載されたリンクはフィッシングサイトや危険なサイトに誘導される可能性があるので、アクセスしないようご注意ください。
大量のフィッシングメールが届いている場合は、そのメールアドレスが漏えいしていることを意味します。漏えいした情報は犯罪者間で売買され、消すことができません。参考情報の「なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット」を参考に、正規メールにアイコンが表示されるなどのフィッシング対策機能が強化されているメールサービスに新たにメールアドレスを作成し、オンラインサービスへ登録しているメールアドレスを切り替えていくことを検討してください。
フィッシングサイトに入力した情報を、犯罪者が裏で本物のサイトへ入力し、SMS 認証コード等も詐取して二要素認証を突破して、登録情報を変更したり、不正利用するケースが確認されています。身に覚えがない決済や登録変更の通知がきた場合は、送信ドメイン認証でアイコンが表示されている等、正規メールであるか否かを確認した上で、サービスのサポート窓口へ対応について相談してください。

スマートフォンのアプリやブラウザーではパスワードマネージャーが利用できます。自分で登録した正規サイトにのみ ID とパスワードを自動投入するため、フィッシングサイトのような偽サイトには反応しません。パスワードの代わりにパスキーを利用すると、自分のスマートフォンでのみパスワードレスでログインできる等、より利便性と安全性が増します。普段からログインを促すようなメールや SMS を受信した際は、正規のアプリやパスワードマネージャーを使って正規のサイトへログインし情報を確認してください。クレジットカード情報や携帯電話番号、認証コード、口座情報、ワンタイムパスワード等の入力を要求された場合は、入力する前に一度立ち止まり、本当に必要な手続きなのかを確認してください。特に初めて利用するサイトの場合は、運営者情報や問い合わせ先などを確認し、似たようなフィッシングや詐欺事例等がないか、確認するようにしてください。

Android スマートフォンの場合はスミッシングから不正アプリ (マルウェア等) のインストールへ誘導される可能性があるため、日頃から SMS のリンクからのアプリのインストールは行わないよう、注意するとともに Google Play プロテクトや正規のウイルス対策アプリ等で不正なアプリ (マルウェア等) をインストールしていないか確認してください。

情報提供のお願い

フィッシングか否かの判断に迷う不審なメールや SMS を受け取った場合は、各サービス事業者の問い合わせ窓口やフィッシング対策協議会 (info@antiphishing.jp) まで、ご報告ください。 【報告方法】はこちら

今月の緊急情報

  アコムをかたるフィッシング (2025/07/31)
     https://www.antiphishing.jp/news/alert/acom_20250731.html

参考情報

  金融庁: インターネット取引サービスへの不正アクセス・不正取引による被害が急増しています
     https://www.fsa.go.jp/ordinary/chuui/chuui_phishing.html

  日本証券業協会: 【重要】インターネット取引サービスを利用する投資家の皆様へ 不正アクセス・不正取引の被害急増のお知らせと大切な資産を守るためのお願いについて
     https://www.jsda.or.jp/about/hatten/inv_alerts/alearts04/index.html

  経済産業省: 「クレジットカード・セキュリティガイドライン」が改訂されました
     https://www.meti.go.jp/press/2024/03/20250305002/20250305002.html

  迷惑メール相談センター: 送信ドメイン認証実施状況
     https://www.dekyo.or.jp/soudan/contents/auth/index.html

  JANOG56 : 2025年フィッシングの動向と対策＆最新メールセキュリティー
     https://www.janog.gr.jp/meeting/janog56/phishing/

  なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット
     https://www.antiphishing.jp/enterprise/domain_authentication.html#advantages

  Gmail : メール送信者のガイドライン
     https://support.google.com/mail/answer/81126?hl=ja

  Gmail : メール送信者のガイドラインに関するよくある質問
     https://support.google.com/a/answer/14229414?hl=ja

  Gmail : Postmaster Tools で送信メールを監視する
     https://support.google.com/a/topic/6259779?hl=ja

  SMS共通番号/共通ショートコード情報
     https://japansms.com/