フィッシング報告件数
2025 年 8 月にフィッシング対策協議会に寄せられたフィッシング報告件数は、前月より 33,100 件減少し、193,333 件となりました。
2025 年 8 月に報告を受けたフィッシングサイトの URL 件数 (重複なし) は、前月より 8,989 件減少し、76,283 件となりました。
2025 年 8 月に報告を受けたフィッシングに悪用されたブランド件数は、前月より 2 件増加し、99 件となりました。
2025 年 8 月のフィッシング報告件数は 193,333 件となり、2025 年 6 月と比較すると 33,100 件、約 14.6 % 減少しました。
大量の不要な不正メールは受信者がそれらに対応する時間やさまざまな IT リソースを奪い、大きな損失となっています。
普段から注意していて自分はフィッシングには騙されない、と考えていても、昨今の本物と見分けのつかないフィッシングメールに騙され、情報を入力して被害に遭うケースが急増しています。ID とパスワードが知られてしまっても、それだけではログインできないよう、利用しているオンラインサービスでパスキーや多要素認証が利用できる場合は、必ず設定してください。
フィッシングか否かの判断に迷う不審なメールや SMS を受け取った場合は、各サービス事業者の問い合わせ窓口やフィッシング対策協議会 (info@antiphishing.jp) まで、ご報告ください。
【報告方法】はこちら
SMBC日興証券をかたるフィッシング (2025/08/06)
総務省: フィッシングメール対策の強化に関する要請
https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000260.html
フィッシングサイトの URL 件数
フィッシングに悪用されたブランド件数
総評
報告数全体のうち SBI証券 をかたるフィッシングは約 12.3 %、Amazon をかたるフィッシング 約 12.0 % となりました。次いで 1 万件以上の報告を受領した Apple、American Express、ANA をかたるフィッシングの報告をあわせると、全体の約 44.8 % を占めました。また 1,000 件以上の大量の報告を受領したブランドは 34 ブランドと、先月に引き続き多数のブランドが狙われる状況が続いており、これらを合わせると全体の約 94.6 % を占めました。
分野別では、報告数全体に対する割合は、EC 系 約 22.0 %、クレジット・信販系 約 21.8 %、証券系 約 16.8 %、航空系 約 7.8 %、金融（銀行）系 約 7.8 %、モバイル系 約 4.8 %、交通系 約 4.4 % となり、前月と比較すると、EC 系と金融（銀行）系は急増、クレジット・信販系は増加、証券系とモバイル系は大きく減少しました。
フィッシングに悪用されたブランドは 99 ブランドとなり、クレジット・信販系 20 ブランド、金融（銀行）系 16 ブランド、証券系 11 ブランド、通信事業者・メールサービス系 7 ブランド、EC 系 6 ブランドとなりました。
SMS から誘導されるフィッシング (スミッシング) については、前月より増加傾向となり、クレジット・信販系、国税庁、SNS 系、宅配便の不在通知をかたる文面の報告を受領しています。スミッシングへの対策については、「事業者のみなさまへ」「利用者のみなさまへ」を参考にしてください。
2025 年 8 月のフィッシングサイトの URL 件数は 76,283 件となり、2025 年 7 月と比較すると 8,989 件減少しました。
報告全体の URL (重複あり) の TLD 別では .com 約 47.5 %、.cn 約 21.9 %、.top 約 10.5 % となり、特に .com ドメイン名の悪用が倍増し、この上位 3 TLD のみ 1 万件以上の報告を受領しました。1,000 件以上 1 万件以下の報告では .shop 約 4.6 %、.net 約 2.3 %、その他の 11 gTLD 約 9.5 % となり、多くの gTLD がフィッシングに使われました。
ある調査用メールアドレス宛に 8 月に届いたフィッシングメールのうち、メール差出人に実在するサービスのメールアドレス (ドメイン名) を使用した「なりすまし」フィッシングメールは約 40.7 % となり増加傾向となりました。
送信ドメイン認証技術 DMARC のポリシーが reject (認証失敗したメールは受信拒否) または quarantine (認証失敗したメールを迷惑メールフォルダー等へ隔離) で、フィルタリング可能な なりすましフィッシングメールは約 19.6 %と増加傾向に、DMARC ポリシーが none (認証成功・失敗したメールを両方区別なく素通し) または DMARC 対応していないドメイン名のなりすましフィッシングメールは約 21.1 % と増加傾向となりました。独自ドメイン名による非なりすましメール配信は約 59.3 %、そのうち DMARC に対応して認証成功 (dmarc=pass) したメールは約 57.1 % となり、送信ドメイン認証結果によりフィルターをすり抜けようとする試みが急増しました。
逆引き (PTR レコード) 設定がされていない IP アドレスからの送信は約 81.4 % を占めており、多い状況が続きました。逆引き設定済では、特に 8月 8日以降、次第に Google Cloud サービスで独自ドメイン名で逆引きを設定したり、bc.googleusercontent.com のままで送信してくるケースが増加し、全体の約 10.8 %、逆引き設定済では約 57.7 % が Google Cloud サービスからの発信となりました。逆引き設定済におけるTLD 別では .com 約 62.8 %、.cn 約 18.6 %、.br 約 7.4%、.jp 約 4.2 % となり、.com が急増し、.cn は減少傾向となっています。逆引き設定は対象の IP アドレス管理を行っている事業者が管理しており、デフォルトの逆引き名がある、または手軽に設定変更できるサービスが不正メール送信に使われる傾向となっています。またアカウントの乗っ取りや不正契約などによる国内ホスティングサービスや ISP の IP アドレスからの発信が増えているため、注意が必要です。
8 月前半はフィッシングメール配信数ならびに報告数は前月と比較すると減少していましたが、後半は特に EC 系、航空会社系、クレジットカード系ブランドをかたるフィッシングメールの配信が増え始め、報告数は増加傾向となりました。7 月まで多かった証券会社をかたるフィッシングメールは配信が続きましたが、報告は減少傾向となっています。
メール文面は多要素認証などセキュリティ設定の依頼、補償の申請、登録情報の再確認、不正検知による利用制限、月額請求、サービス利用更新手続き、決済 (カード) 情報更新、航空会社マイレージの加算、高級ホテルやレストランへの招待当選、電気/ガス料金/税金支払い、未加算ポイントの手続き、ポイント有効期限のお知らせ、宅配便配達不能通知などのメール文面による誘導が続いています。また利用者が見慣れている本物メールや、サービス提供事業者が送っている注意喚起メールを模倣したフィッシングメールも多く、このようなメールは違和感に気付きにくいため、送信ドメイン認証により正規メールにのみ表示されるブランドロゴ、アイコン、マーク等や S/MIME による電子署名等などがなければ判別が困難になっています。
また違和感のないメール文面や細工された URL などで迷惑メールフィルターや監視ツールの検知を回避したり、クローキングでフィッシングサイトの稼働確認を回避しようとする試みが続いています。これらの手法は毎週のように変更され、対策を行っても翌週には再び迷惑メールフィルターのすり抜けが発生しています。一方で日本語が不自然、字が間違っている、Unicode文字で記載されていて見た目におかしい、転送しようとするとメール表示が壊れるなど、迷惑メールフィルターのすり抜けは成功しても、人間が見ると不審と判るフィッシングメールの配信が前月と同様に続いています。
国内メールサービスでフィッシングメールが素通りして利用者に届き、被害が続いている状況への対策として、総務省は 2025 年 9 月 1 日フィッシングメールへの対策を強化するため、通信事業関連の業界 4 団体に対し、
フィルタリングの判定技術の向上や送信ドメイン認証 (DMARC) 対応の強化、フィッシング対策サービスの利用者への周知・啓発を行うよう、要請を行いました。本件については、各団体に 3 カ月ごとに取り組み状況を総務省へ報告することも要請しており、今後、各団体主導で対応が進むことが期待されます。
フィッシング以外では、証券会社をかたり儲かる投資のアドバイスやセミナーへの勧誘のメールが大量に配信されています。SNS の友達登録等を促された場合は、連絡やアクセスをせずに、メール内のキーワードで検索し、詐欺事例が無いか確認するようにしてください。不正なメールとしては現金/ポイント当選、支援給付金申請、仮想通貨での支払いを要求する脅迫メール、警察を装った詐欺メールなどの報告が寄せられました。このようなメールから誘導されたサイトで詐欺被害に遭った場合は、最寄りの警察署へ相談、情報提供を行ってください。
またメール本文が無くメールアドレスの到達性を確認していると思われるメールや、差出人や送信元が正規ではないが、不正なリンクが無い（誘導先が正規サイトのURL）メールなど、不審メールも多く確認されています。正規のメールではない、と判断したら、迷惑メールとして利用しているメールサービスへ報告してください。
事業者のみなさまへ
メールサービスを運用している事業者および組織では、セキュリティ上、送信ドメイン認証で認証失敗 （fail）したり、FCrDNS 認証に失敗（逆引き正引き不一致で fail）したメールは、ウェブメールやメールアプリで警告表示する等の対策を検討してください。また DMARC ポリシーに従ったメールの配送を行い、FCrDNS認証に失敗したメールを受信しない（一時エラーを返す）など、必要なメールのみ受け取れるよう、対策を検討してください。特に逆引き設定は Gmail 送信者ガイドラインでは対応必須となっており、現在では正規サービスのメールについては、基本的に逆引き設定された IP アドレスからのみ送られてくると考えられるため、不正メールのみを排除する効果が期待できます。
またメールアプリやウェブメールを提供している事業者は、正しく構成されていない URL や細工された URL はリンクとして機能しないよう対策を行ってください。
特にプロトコル（スキーム）を記述していない（https:// 等がなく、ホスト名以降のみ）、不十分な表記（https:/ホスト名 や https:ホスト名など）がリンクとして機能することは、現代においては利用者の利便性向上にはならず、アプリやツールの脆弱性とも言えます。
オンラインサービスを提供している事業者は、DMARC ポリシーを reject に変更する計画を立ててください。現在、事業者規模の大小問わず、ドメイン名を悪用したなりすましフィッシングメール配信が確認されています。メールからのコンバージョン率が下がっている場合は、ドメイン名＝ブランドへの信頼度が低下しているため、ブランドロゴ、アイコン、マーク等の正規メール視認性向上を行い、利用者へ十分に啓発を行ってください。
特に DMARC で認証成功したメールにブランドロゴを表示する BIMI (Brand Indicators for Message Identification) は認証マーク証明書 (VMC : Verified Mark Certificates) 取得時に対象ブランドに対する第三者認証が行われており、サーバー証明書と同様に審査基準に応じた信頼性を担保しています。BIMI のロゴ表示は日本では特にモバイル系メールアドレスでのカバー率が高く、現在は Gmail、Apple iCloud メール、auメール、ドコモメール、@nifty メールなどが対応しており、フィッシングメールに紛れた正規メールを判別できるようになり、信頼性と開封率が上がるため、契約者（利用者）へメールを配信している事業者は BIMI への対応を検討してください。
また、参考情報の「迷惑メール相談センター：送信ドメイン認証実施状況」の受信側 DMARC および BIMI の項目を参照し、利用者に DMARC 受信側対応を行っているメールサービスを推奨してください。受信側対応していないメールサービスの利用者は正規メールとそれ以外の判別ができず、被害に遭う可能性が高くなります。
また、詐取された認証情報の不正利用への対策として、パスキーなど ID/パスワード以外の多要素認証方法も追加するなどの認証強化を検討してください。
SMS 認証併用の際にはスミッシング対策として、「0005」で始まる国内モバイルキャリア共通の SMS 発信用の共通番号（共通ショートコード) 等を使う、正規メッセージには URL は記載しない、認証コードのメッセージにその用途や本物の入力画面照合のためのキーワードを記載する等を検討し、利用者にはそれらを確認するよう、啓発を行ってください。
SMS 共通番号については、参考情報の「SMS共通番号/共通ショートコード情報」も参照してください。
利用者のみなさまへ
また○や□の囲み文字、斜体や太字など、見た目に不自然な文字で記載されたリンクはフィッシングサイトや危険なサイトに誘導される可能性があるので、アクセスしないようご注意ください。
大量のフィッシングメールが届いている場合は、そのメールアドレスが漏えいしていることを意味します。漏えいした情報は犯罪者間で売買され、消すことができません。参考情報の「なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット」を参考に、正規メールにアイコンが表示されるなどのフィッシング対策機能が強化されているメールサービスに新たにメールアドレスを作成し、オンラインサービスへ登録しているメールアドレスを切り替えていくことを検討してください。
フィッシングサイトに入力した情報を、犯罪者が裏で本物のサイトへ入力し、SMS 認証コード等も詐取して二要素認証を突破して、登録情報を変更したり、不正利用するケースが確認されています。身に覚えがない決済や登録変更の通知がきた場合は、送信ドメイン認証でアイコンが表示されている等、正規メールであるか否かを確認した上で、サービスのサポート窓口へ対応について相談してください。
スマートフォンのアプリやブラウザーではパスワードマネージャーが利用できます。自分で登録した正規サイトにのみ ID とパスワードを自動投入するため、フィッシングサイトのような偽サイトには反応しません。パスワードの代わりにパスキーを利用すると、自分のスマートフォンでのみパスワードレスでログインできる等、より利便性と安全性が増します。普段からログインを促すようなメールや SMS を受信した際は、正規のアプリやパスワードマネージャーを使って正規のサイトへログインし情報を確認してください。クレジットカード情報や携帯電話番号、認証コード、口座情報、ワンタイムパスワード等の入力を要求された場合は、入力する前に一度立ち止まり、本当に必要な手続きなのかを確認してください。特に初めて利用するサイトの場合は、運営者情報や問い合わせ先などを確認し、似たようなフィッシングや詐欺事例等がないか、確認するようにしてください。
Android スマートフォンの場合はスミッシングから不正アプリ (マルウェア等) のインストールへ誘導される可能性があるため、日頃から SMS のリンクからのアプリのインストールは行わないよう、注意するとともに Google Play プロテクトや正規のウイルス対策アプリ等で不正なアプリ (マルウェア等) をインストールしていないか確認してください。
情報提供のお願い
今月の緊急情報
https://www.antiphishing.jp/news/alert/smbcnikko_20250806.html
GMOあおぞらネット銀行をかたるフィッシング (2025/08/29)
https://www.antiphishing.jp/news/alert/gmo_aozora_20250829.html
参考情報
金融庁: インターネット取引サービスへの不正アクセス・不正取引による被害が急増しています
https://www.fsa.go.jp/ordinary/chuui/chuui_phishing.html
日本証券業協会: 【重要】インターネット取引サービスを利用する投資家の皆様へ 不正アクセス・不正取引の被害急増のお知らせと大切な資産を守るためのお願いについて
https://www.jsda.or.jp/about/hatten/inv_alerts/alearts04/index.html
迷惑メール相談センター: 送信ドメイン認証実施状況
https://www.dekyo.or.jp/soudan/contents/auth/index.html
JANOG56 : 2025年フィッシングの動向と対策＆最新メールセキュリティー
https://www.janog.gr.jp/meeting/janog56/phishing/
フィッシング対策協議会 証明書普及促進WG：
送信ドメイン認証技術導入実施状況について ～ ISP、CATV、モバイル事業者、フリーメール事業者における導入・設定状況 ～
https://www.antiphishing.jp/report/wg/cert_20250916.html
なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット
https://www.antiphishing.jp/enterprise/domain_authentication.html#advantages
Gmail : メール送信者のガイドライン
https://support.google.com/mail/answer/81126?hl=ja
Gmail : メール送信者のガイドラインに関するよくある質問
https://support.google.com/a/answer/14229414?hl=ja
Gmail : Postmaster Tools で送信メールを監視する
https://support.google.com/a/topic/6259779?hl=ja
SMS共通番号/共通ショートコード情報
https://japansms.com/