フィッシング報告件数
2025 年 9 月にフィッシング対策協議会に寄せられたフィッシング報告件数は、前月より 31,360 件増加し、224,693 件となりました。
2025 年 9 月に報告を受けたフィッシングサイトの URL 件数 (重複なし) は、前月より 7,206 件減少し、69,077 件となりました。
2025 年 9 月に報告を受けたフィッシングに悪用されたブランド件数は、前月より 12 件増加し、111 件となりました。
2025 年 9 月のフィッシング報告件数は 224,693 件となり、2025 年 8 月と比較すると 31,360 件、約 16.2 % 増加しました。
大量の不要な不正メールは受信者がそれらに対応する時間やさまざまな IT リソースを奪い、大きな損失となっています。
ID とパスワードが知られてしまっても、それだけではログインできないよう、利用しているオンラインサービスでパスキーや多要素認証が利用できる場合は、必ず設定してください。
フィッシングか否かの判断に迷う不審なメールや SMS を受け取った場合は、各サービス事業者の問い合わせ窓口やフィッシング対策協議会 (info@antiphishing.jp) まで、ご報告ください。
【報告方法】はこちら
Kyash をかたるフィッシング (2025/09/05)
総務省: フィッシングメール対策の強化に関する要請
https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000260.html
フィッシングサイトの URL 件数
フィッシングに悪用されたブランド件数
総評
報告数全体のうち Amazon をかたるフィッシングは約 15.4 %、Apple をかたるフィッシング 約 11.3 % となりました。次いで 1 万件以上の報告を受領した ANA、日本航空 をかたるフィッシングの報告をあわせると、全体の約 36.0 % を占めました。また 1,000 件以上の大量の報告を受領したブランドは 45 ブランドとなり、これらを合わせると全体の約 93.3 % を占めました。
分野別では、報告数全体に対する割合は、EC 系 約 28.9 %、クレジット・信販系 約 22.8 %、航空系 約 9.3 %、配送系 約 7.5 %、金融（銀行）系 約 7.0 %、証券系 約 6.3 %、オンラインサービス系 約 4.2 %、交通系 約 2.8 % となり、前月と比較すると、EC 系と配送系が急増、クレジット・信販系と航空系は増加、証券系は大きく減少しました。
フィッシングに悪用されたブランドは 111 ブランドとなり、クレジット・信販系 25 ブランド、金融（銀行）系 21 ブランド、証券系 11 ブランド、通信事業者・メールサービス系 7 ブランド、EC 系 7 ブランドとなり、クレジット・信販系および金融（銀行）系のブランドが増加しました。
SMS から誘導されるフィッシング (スミッシング) については、前月より増加傾向となり、クレジット・信販系をかたるスミッシングが増加しました。宅配便の不在通知をかたる文面の報告も続いており、さまざまなメッセージ文面が確認されています。スミッシングへの対策については、「事業者のみなさまへ」「利用者のみなさまへ」を参考にしてください。
2025 年 9 月のフィッシングサイトの URL 件数は 69,077 件となり、2025 年 8 月と比較すると 7,206 件減少しました。
報告全体の URL (重複あり) の TLD 別では .com 約 41.0 ％、.cn 約 35.0 %、次い で1 万件以上の報告を受領した .net 約 7.3 %、 .top 約 4.9 % を併せると全体の約 88.2 %を占め、前月に引き続き .com と .cn のドメイン名の悪用が多い状況が続きました。1,000 件以上 1 万件以下の報告では .cyou 約 2.4 %、.me 約 2.3 ％、.shop 約 1.4 %、その他の 2 gTLD 約 1.8 % となり、前月と比較すると上位以外は、多くの gTLD に分散していフィッシングに悪用されていました。
ある調査用メールアドレス宛に 9 月に届いたフィッシングメールのうち、メール差出人に実在するサービスのメールアドレス (ドメイン名) を使用した「なりすまし」フィッシングメールは約 41.5 % となり増加傾向となりました。
送信ドメイン認証技術 DMARC のポリシーが reject (認証失敗したメールは受信拒否) または quarantine (認証失敗したメールを迷惑メールフォルダー等へ隔離) で、フィルタリング可能な なりすましフィッシングメールは約 18.6 %、DMARC ポリシーが none (認証成功・失敗したメールを両方区別なく素通し) または DMARC 対応していないドメイン名のなりすましフィッシングメールは約 22.9 % と増加傾向となりました。独自ドメイン名による非なりすましメール配信は約 58.5 %、そのうち DMARC に対応して認証成功 (dmarc=pass) したメールは約 28.7 % となり、送信ドメイン認証結果によりフィルターをすり抜けようとする試みは減少しました。
逆引き (PTR レコード) 設定がされていない IP アドレスからの送信は約 88.6 % を占めており、前月より増加しました。
逆引き設定済では、前月より減少したものの Google Cloud サービスで独自ドメイン名で逆引きを設定したり、bc.googleusercontent.com のままで送信してくるケースが続き、全体の約 8.1 %、逆引き設定済では約 62.7 % が Google Cloud サービスからの発信となりました。
逆引き設定済におけるTLD 別では .com 約 63.0 %、.jp 約 12.3 %、.cn 約 9.1 %、 .br 約 7.8 %、となり、前月に引き続き .com が多く、.jp も増加傾向となっています。逆引き設定は対象の IP アドレス管理を行っている事業者が管理しており、デフォルトの逆引き名がある、または手軽に設定変更できるサービスが不正メール送信に使われる傾向となっています。またアカウントの乗っ取りや不正契約などによる国内ホスティングサービスや ISP の IP アドレスからの発信が増えているため、注意が必要です。
調査用メールアドレス宛に届いたフィッシングメールの送信元 IP アドレスの国別は CN 約 48.0 %、HK 約 16.9 %、US 約 14.7 %、VN 約 5.6 %、BR 約 5.4 %、JP 約 3.0 % となり、多くは一般契約者用回線と思われる IP アドレスから発信されていました。
9 月前半はフィッシングメール配信数ならびに報告数が平均約 8,500 件/日と多い状況が続き、特にモバイル系メールアドレス利用者からの報告が多い状況が続きましたが、後半は平均約 6,500 件/日と減少しました。金融庁からの発表によると 9 月は証券会社をかたるフィッシングによる不正アクセス・不正取引被害は減少傾向となっており、それを裏付けるように 8 月まで多かった証券会社をかたるフィッシングメールも次第に報告は減少傾向となりました。代わりにしばらく報告が少なかった他業種のブランドが次々と狙われました。また国勢調査の時期にあわせて調査への回答依頼をよそおうフィッシングも報告されました。
フィッシングサイトへは登録情報の確認・再設定、不正検知による利用制限、月額請求、サービス契約・決済 (カード) 情報更新、各種ポイントや航空会社マイレージの有効期限・加算に関する通知、高級ホテルやレストランへの招待、電気/ガス料金/税金支払い、宅配便配達不能通知、キャンペーンへの応募や当選確認などのメール文面による誘導が続いています。また利用者が見慣れている本物メールや、サービス提供事業者が送っている注意喚起メールを模倣したフィッシングメールも多く、このようなメールは違和感に気付きにくいため、送信ドメイン認証により正規メールにのみ表示されるブランドロゴ、アイコン、マーク等や S/MIME による電子署名等などがなければ判別が困難になっています。
また違和感のないメール文面や細工された URL などで迷惑メールフィルターや監視ツールの検知を回避したり、クローキングでフィッシングサイトの稼働確認を回避しようとする試みが続いています。これらの手法は毎週のように変更され、対策を行っても翌週には再び迷惑メールフィルターのすり抜けが発生しています。一方で日本語が不自然、字が間違っている、Unicode文字で記載されていて見た目におかしい、転送しようとするとメール表示が壊れるなど、迷惑メールフィルターのすり抜けは成功しても、人間が見ると不審とわかるフィッシングメールの配信が前月と同様に続いています。
国内メールサービスでフィッシングメールが素通りして利用者に届き、被害が続いている状況への対策として、総務省は 2025 年 9 月 1 日フィッシングメールへの対策を強化するため、通信事業関連の業界 4 団体に対し、フィルタリングの判定技術の向上や送信ドメイン認証 (DMARC) 対応の強化、フィッシング対策サービスの利用者への周知・啓発を行うよう、要請を行いました。本件については、各団体に 3 カ月ごとに取り組み状況を総務省へ報告することも要請しており、今後、各団体主導で対応が進むことが期待されます。
フィッシング以外では PC のセキュリティチェックや、セキュリティプラグインの更新、お得なアプリと見せかけてマルウェアのインストールへ誘導するメールが大量に報告されました。
また、投資のアドバイスやセミナーへの勧誘メールが継続的に配信されています。SNS の友達登録等を促された場合は、連絡やアクセスをせずに、メール内のキーワードで検索し、詐欺事例が無いか確認するようにしてください。不正なメールとしては現金/ポイント当選、支援給付金申請、仮想通貨での支払いを要求する脅迫メール、警察を装った詐欺メールなどの報告が寄せられました。このようなメールから誘導されたサイトで詐欺被害に遭った場合は、最寄りの警察署へ相談、情報提供を行ってください。
事業者のみなさまへ
メールサービスを運用している事業者および組織では、セキュリティ上、送信ドメイン認証で認証失敗 （fail）したり、FCrDNS 認証に失敗（逆引き正引き不一致で fail）したメールは、ウェブメールやメールアプリでその結果が判別できるよう対策を検討してください。また DMARC ポリシーに従ったメールの配送を行い、FCrDNS認証に失敗したメールは一時エラーを返すなど、必要なメールのみ受け取れるよう、対策を検討してください。特に逆引き設定は Gmail 送信者ガイドラインでは対応必須となっており、現在では正規サービスのメールについては、基本的に逆引き設定された IP アドレスからのみ送られてくると考えられるため、不正メールのみを排除する効果が期待できます。
またメールアプリやウェブメールを提供している事業者は、正しく構成されていない URL や細工された URL はリンクとして機能しないよう対策を行ってください。 特にプロトコル（スキーム）を記述していない（https:// 等がなく、ホスト名以降のみ）、不十分な表記（https:/ホスト名 や https:ホスト名など）がリンクとして機能することは、現代においては利用者の利便性向上にはならず、アプリやツールの脆弱性とも言えます。
オンラインサービスを提供している事業者は、DMARC ポリシーを reject に変更する計画を立ててください。現在、事業者規模の大小問わず、ドメイン名を悪用したなりすましフィッシングメール配信が確認されています。メールからのコンバージョン率が下がっている場合は、ドメイン名＝ブランドへの信頼度が低下しているため、ブランドロゴ、アイコン、マーク等の正規メール視認性向上を行い、利用者へ十分に啓発を行ってください。
特に DMARC で認証成功したメールにブランドロゴを表示する BIMI (Brand Indicators for Message Identification) は認証マーク証明書 (VMC : Verified Mark Certificates) 取得時に対象ブランドに対する第三者認証が行われており、サーバー証明書と同様に審査基準に応じた信頼性を担保しています。
BIMI のロゴ表示は日本では特にモバイル系メールアドレスでのカバー率が高く、現在は Gmail、Apple iCloud メール、auメール、ドコモメール、@nifty メールなどが対応しており、フィッシングメールに紛れた正規メールを判別できるようになり、信頼性と開封率が上がるため、契約者（利用者）へメールを配信している事業者は BIMI への対応を検討してください。
また、参考情報の「迷惑メール相談センター：送信ドメイン認証実施状況」の受信側 DMARC および BIMI の項目を参照し、利用者に DMARC 受信側対応を行っているメールサービスを推奨してください。不正メールを素通しするメールサービスの利用者は、被害に遭う可能性が高くなっていす。
また、詐取された認証情報の不正利用への対策として、パスキーなど ID/パスワード以外の多要素認証方法も追加するなどの認証強化を検討してください。
SMS 認証併用の際にはスミッシング対策として、「0005」で始まる国内モバイルキャリア共通の SMS 発信用の共通番号（共通ショートコード) 等を使う、正規メッセージには URL は記載しない、認証コードのメッセージにその用途や本物の入力画面照合のためのキーワードを記載する等を検討し、利用者にはそれらを確認するよう、啓発を行ってください。
SMS 共通番号については、参考情報の「SMS共通番号/共通ショートコード情報」も参照してください。
利用者のみなさまへ
大量のフィッシングメールが届いている場合は、そのメールアドレスが漏えいしていることを意味します。漏えいした情報は犯罪者間で売買され、消すことができません。参考情報の「なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット」を参考に、正規メールにアイコンが表示されるなどのフィッシング対策機能が強化されているメールサービスに新たにメールアドレスを作成し、オンラインサービスへ登録しているメールアドレスを切り替えていくことを検討してください。
フィッシングサイトに入力した情報を、犯罪者が裏で本物のサイトへ入力し、SMS 認証コード等も詐取して二要素認証を突破して、登録情報を変更したり、不正利用するケースが確認されています。身に覚えがない決済や登録変更の通知がきた場合は、送信ドメイン認証でアイコンが表示されている等、正規メールであるか確認したり、サービスのサポート窓口へ対応について相談してください。
スマートフォンのアプリやブラウザーではパスワードマネージャーが利用できます。自分で登録した正規サイトにのみ ID とパスワードを自動投入するため、フィッシングサイトのような偽サイトには反応しません。パスワードの代わりにパスキーを利用すると、自分のスマートフォンでのみパスワードレスでログインできる等、より利便性と安全性が増します。普段からログインを促すようなメールや SMS を受信した際は、正規のアプリやパスワードマネージャーを使って正規のサイトへログインし情報を確認してください。クレジットカード情報や携帯電話番号、認証コード、口座情報、ワンタイムパスワード等の入力を要求された場合は、入力する前に一度立ち止まり、本当に必要な手続きなのかを確認してください。特に初めて利用するサイトの場合は、運営者情報や問い合わせ先などを確認し、似たようなフィッシングや詐欺事例等がないか、確認するようにしてください。
Android スマートフォンの場合はスミッシングから不正アプリ (マルウェア等) のインストールへ誘導される可能性があるため、日頃から SMS のリンクからのアプリのインストールは行わないよう、注意するとともに Google Play プロテクトや正規のウイルス対策アプリ等で不正なアプリ (マルウェア等) をインストールしていないか確認してください。
情報提供のお願い
今月の緊急情報
https://www.antiphishing.jp/news/alert/kyash_20250905.html
国勢調査への回答依頼をよそおうフィッシング (2025/09/22)
https://www.antiphishing.jp/news/alert/kokusei_20250922.html
参考情報
金融庁: インターネット取引サービスへの不正アクセス・不正取引による被害が急増しています
https://www.fsa.go.jp/ordinary/chuui/chuui_phishing.html
迷惑メール相談センター: 送信ドメイン認証実施状況
https://www.dekyo.or.jp/soudan/contents/auth/index.html
JANOG56 : 2025年フィッシングの動向と対策＆最新メールセキュリティー
https://www.janog.gr.jp/meeting/janog56/phishing/
フィッシング対策協議会 証明書普及促進WG：
送信ドメイン認証技術導入実施状況について ～ ISP、CATV、モバイル事業者、フリーメール事業者における導入・設定状況 ～
https://www.antiphishing.jp/report/wg/cert_20250916.html
なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット
https://www.antiphishing.jp/enterprise/domain_authentication.html#advantages
Gmail : メール送信者のガイドライン
https://support.google.com/mail/answer/81126?hl=ja
Gmail : メール送信者のガイドラインに関するよくある質問
https://support.google.com/a/answer/14229414?hl=ja
Gmail : Postmaster Tools で送信メールを監視する
https://support.google.com/a/topic/6259779?hl=ja
SMS共通番号/共通ショートコード情報
https://japansms.com/