フィッシング報告件数

2026 年 3 月にフィッシング対策協議会に寄せられたフィッシング報告件数は、前月より 65,285 件増加し、122,381 件となりました。

フィッシングサイトの URL 件数

2026 年 3 月に報告を受けたフィッシングサイトの URL 件数 (重複なし) は、前月より 52,863 件増加し、69,936 件となりました。

フィッシングに悪用されたブランド件数

2026 年 3 月に報告を受けたフィッシングに悪用されたブランド件数は、前月より 27 件増加し、123 件となりました。

総評

2026 年 3 月のフィッシング報告件数は 122,381 件となり、2026 年 2 月と比較すると大きく 65,285 件増加し、約 114.3 % 増となりました。
報告数全体のうち Amazon をかたるフィッシングが約 20.9 %、Apple をかたるフィッシング 約 10.5 % となりました。 次いで報告が多かったマネックス証券、ANA、セゾンカードをかたるフィッシングを加えた上位 5 ブランドの報告をあわせると、全体の約 51.6 % を占めました。また 1,000 件以上の大量の報告を受領したブランドは 28 ブランドとなり、これらを合わせると全体の約 89.3 % を占めました。

分野別では、報告数全体に対する割合は、EC 系 約 38.3 %、クレジット・信販系 約 25.2 %、証券系 約 12.0 %、航空系 約 7.7 %、配送系 約 2.8 %、官公庁系 約 2.7 %、オンラインサービス系 約 2.3 %となり、前月と比較すると、EC 系、航空系、官公庁系の割合が増加傾向となりました。報告総数が大きく増加したため、割合が減少している分野でも報告件数は前月より増加しています。
フィッシングに悪用されたブランドは 123 ブランドとなり、多くのブランドが狙われました。クレジット・信販系 26 ブランド、通信事業者・メールサービス系 17 ブランド、EC 系 12 ブランド、金融（銀行）系 12 ブランド、証券系 11 ブランド、オンラインサービス系 8 ブランド、決済サービス系 6 ブランドとなりました。

SMS から誘導されるフィッシング (スミッシング) については、報告数が増えており、Amazon、東京電力、PayPay をよそおった文面の報告を多く受領しています。スミッシングへの対策については、「事業者のみなさまへ」「利用者のみなさまへ」を参考にしてください。

2026 年 3 月のフィッシングサイトの URL 件数は 69,936 件となり、2026 年 2 月と比較すると大きく 52,863 件増加し、約 309.6% 増となりました。 前月と同様に、同じホスト名でパラメーターを変える URL が増加し、BASIC 認証表記やランダムサブドメイン名などを使うパターンは減少しています。また先月に引き続き docs.google.com や sendgrid.net などの正規サービスを悪用してフィッシングサイトへ誘導したり、amazonaws.com のホスト名を URL にそのまま使用するケースが増加傾向となりました。
報告全体の URL (重複あり) の TLD 別では .com 約 58.9 ％、.cn 約 20.2 %、.cfd 約 13.3 % を併せると全体の約 92.5 %を占め、前月に引き続き .com と .cn および .cfd の悪用が多い状況が続きました。次いで報告が多かった .info 約 1.8 %、.net 約 1.2 %、.top 約 0.8 %、.cyou 約 0.7 %、shop 約 0.7 %、.jp 約 0.7 % を合わせると、全体の約 98.4 % を占めました。

ある調査用メールアドレス宛に 3 月に届いたフィッシングメールのうち、メール差出人に実在するサービスのメールアドレス (ドメイン名) を使用した「なりすまし」フィッシングメールは約 49.7 % となり、割合が増加しました。
送信ドメイン認証技術 DMARC のポリシーが reject (認証失敗したメールは受信拒否) または quarantine (認証失敗したメールを迷惑メールフォルダー等へ隔離) に設定されているドメイン名を使用した、検知可能な「なりすまし送信」メールは約 38.6 %、DMARC ポリシーが none (認証成功・失敗したメールを両方区別なく素通し) または DMARC 未対応ドメイン名の「なりすまし送信」メールは約 11.1 % となりました。独自ドメイン名による「非なりすまし送信」メールは約 50.3 %、そのうち DMARC に対応して認証成功 (dmarc=pass) したメールは約 62.5 % となりました。1 月まで多かった送信ドメイン認証に対応していないフィッシングメールが 2 月から 3 月にかけて減少したまま推移しており、相対的に送信ドメイン認証に対応したフィッシングメールの割合が多い状況が続いています。

逆引き (PTR レコード) 設定がされていない IP アドレスからの送信は約 56.7 % となり減少傾向となってますが、全体の半数以上を占める多い状況が続いています。
特に Google Cloud サービスからの送信が急増しており、全体の約 41.4 % を占めています。独自ドメイン名で逆引きを設定したり、bc.googleusercontent.com のままで送信してくるケースが多く、逆引き設定済では約 95.7 % が Google Cloud からの送信となっています。逆引きに設定されたドメイン名における TLD 別では .com 約 96.5 %、.jp 約 2.1 %、.net 約 1.1 %、となり、.com が多い状況が続いています。逆引き設定は対象の IP アドレス管理を行っている事業者が管理しており、デフォルトの逆引き名がある、または手軽に設定変更できるサービスが不正メール送信に使われる傾向となっています。

調査用メールアドレス宛に届いたフィッシングメールの送信元 IP アドレスの国別は US 約 53.8 %、SG 約 20.1 %、HK 約 6.7 %、CN 約 6.1 %、NZ 約 4.2 % となりました。 2 月に減少したレジデンシャルプロキシやボットネット経由と思われる CN からの配信は、3 月も減少したまま推移しており、代わりに Google Cloud など US からの配信が増加しています。（参考情報：「フィッシング報告受領件数（2026年1月～3月日別グラフ）」、「調査用メールアドレス宛へのフィッシングメール着信件数（2026年1月～3月日別）グラフ」）

3 月は報告件数および URL 件数が増加傾向となりました。1 月末に激減したレジデンシャルネットワークからの配信に代わり、汎用的なクラウドサービスからの送信が増加しています。本物と信じてしまうような巧みなメール文面も多く、不正メールの送信ドメイン認証への対応率も上がっており、高性能な迷惑メールフィルターの利用や、BIMI のようにドメイン名のレピュテーションが行われる技術の普及が重要と考えられます。
金融庁の発表では証券系における不正アクセス件数および取引件数は 2 月より減少しましたが、不正取引金額は増加しました。証券系をかたるフィッシングの報告は、3 月も 1 万件以上受領しているため、引き続き注意が必要です。
また警察庁が発表した「令和７年におけるサイバー空間をめぐる脅威の情勢等について」によると、インターネットバンキングに係る不正送金事犯の被害総額は約 103 億 9,700 万円と、前年の約 1.2 倍となっており、フィッシングがその手口の約 9 割を占めている、とのことです。報告窓口でも継続的に報告を受領していることから、正規メールが見分けられるメールサービスの利用、パスキーなど「フィッシング耐性のある認証」への事業者側の対応、ならびに利用者への啓発が重要と考えられます。

フィッシングメール文面としては登録情報の更新や本人確認依頼、商品の注文およびキャンセル、商品配達に関する通知、税金や公共料金等の支払い依頼、多要素認証の設定を依頼する文面などの報告を多く受領しました。またポイントプレゼントやマイル有効期限等の通知などの文面も配信が続いています。本物メール文面を模倣し、フィッシングサイトへのリンクを追加したフィッシングメールは違和感に気付きにくいため、送信ドメイン認証により正規メールにのみ表示されるブランドロゴ、アイコン、マーク等や S/MIME による電子署名等などがなければ判別が困難になっています。また受信者が正規メールを迷惑メールとして報告することで、DMARC に対応していても送信者に対する評価が下がり、正規メールが迷惑メールへ振り分けられるケースが見られます。利用者が望まないメールの配信については「ワンクリック購読解除」への対応を検討してください。
またモバイル回線以外では閲覧できないフィッシングサイトが増えており、フィッシングサイトの稼働確認と停止調整を回避しようとする試みが続いています。

フィッシング以外ではアカウントが無効、異常を検知、別のデバイスからログインがあった等のメール文面から、マイクロソフト等をかたるサポート詐欺サイトへ誘導するメールが前月と同様に多い状況が続きました。また、企業の代表取締役社長の名前で LINE グループを作るよう指示したのち振り込め詐欺へ誘導したり、警察をかたり指定口座への振り込め詐欺へ誘導したり、仮想通貨での支払いを要求する脅迫メールなどの報告も、前月と同様に多数寄せられました。このようなメールはご利用のメールサービスへ迷惑メール報告するとともに、もしも誘導されたサイトで詐欺被害に遭った場合は、最寄りの警察署へ相談、情報提供を行ってください。

事業者のみなさまへ

大量の不正メールは受信者がそれらに対応する時間やさまざまな IT リソースを奪い、大きな損失となっています。
メールサービスを運用している事業者および組織では、セキュリティ上、送信ドメイン認証で認証失敗 （fail）したり、FCrDNS 認証に失敗（逆引き正引き不一致で fail）したメールは、ウェブメールやメールアプリでその結果が判別できるよう表示を工夫する対策を検討してください。 また DMARC ポリシーに従ったメールの配送を行い、FCrDNS認証に失敗したメールは一時エラーを返すなど、必要なメールのみ受け取れるよう、対策を検討してください。特に逆引き設定は Gmail 送信者ガイドラインでは対応必須となっており、現在では多くの正規メールが逆引き設定された IP アドレスから送信されるため、不正メールのみを排除する効果が期待できます。

オンラインサービスを提供している事業者は、DMARC ポリシーを reject に変更する計画を立ててください。現在、事業者規模の大小問わず、ドメイン名を悪用したなりすましフィッシングメール配信が確認されています。また、正規メールが不審なメールとして報告されるケースが急増しています。 メールからのコンバージョン率が下がっている場合は、ドメイン名＝ブランドへの信頼度が低下しているため、ブランドロゴ、アイコン、マーク等の正規メール視認性向上を行い、利用者へ十分に啓発を行ってください。
特に DMARC で認証成功したメールにブランドロゴを表示する BIMI (Brand Indicators for Message Identification) は認証マーク証明書 (VMC : Verified Mark Certificate) 取得時に対象ブランドに対する第三者認証が行われ、サーバー証明書と同様に審査基準に応じた信頼性を担保しており、金融庁、総務省および内閣官房国家サイバー統括室が BIMI 対応済です。BIMI のロゴ表示は日本では特にモバイル系メールアドレスでのカバー率が高く、現在は Gmail、Apple iCloud メール、auメール、ドコモメール、@nifty メールなどが対応しており、フィッシングメールに紛れた正規メールを判別可能となることで、信頼性と開封率が上がるため、契約者（利用者）へメールを配信している事業者は BIMI への対応を検討してください。
また、参考情報の「迷惑メール相談センター：送信ドメイン認証実施状況」の受信側 DMARC および BIMI の項目を参照し、利用者に DMARC 受信側対応を行っているメールサービスを使うよう推奨してください。認証失敗したメールを素通して表示するメールサービスの利用者は、被害に遭う可能性が高くなっています。

詐取された認証情報の不正利用への対策としては、パスキーなど ID/パスワード以外の多要素認証方法も追加するなどの認証強化を検討してください。 SMS 認証併用の際にはスミッシング対策として、「0005」で始まる国内モバイルキャリア共通の SMS 発信用の共通番号（共通ショートコード) 等を使う、正規メッセージには URL は記載しない、認証コードのメッセージにその用途や本物の入力画面照合のためのキーワードを記載する等を検討し、利用者にはそれらを確認するよう、啓発を行ってください。
SMS 共通番号については、参考情報の「SMS共通番号/共通ショートコード情報」も参照してください。

利用者のみなさまへ

ID とパスワードが知られてしまっても、それだけではログインできないよう、利用しているオンラインサービスでパスキー等の多要素認証が利用できる場合は、必ず設定してください。
また、誘導元となるフィッシングメールや詐欺メールへの対処法を知ることは重要です。参考情報の「迷惑メール相談センター：迷惑メール対策BOOK「撃退！迷惑メール」」などを参考にフィッシングやさまざまなネットトラブル等について情報収集と対策を行ってください。
大量のフィッシングメールが届いている場合は、そのメールアドレスが漏えいしていることを意味します。漏えいした情報は犯罪者間で売買され、消すことができません。参考情報の「なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット」を参考に、正規メールにアイコンが表示されるなどのフィッシング対策機能が強化されているメールサービスに新たにメールアドレスを作成し、オンラインサービスへ登録しているメールアドレスを切り替えていくことを検討してください。
フィッシングサイトに入力した情報を、犯罪者が裏で本物のサイトへ入力し、SMS 認証コード等も詐取して二要素認証を突破して、登録情報を変更したり、不正利用するケースが確認されています。身に覚えがない決済や登録変更の通知がきた場合は、送信ドメイン認証でアイコンが表示されている等、正規メールであるか確認したり、サービスのサポート窓口へ対応について相談してください。

スマートフォンのアプリやブラウザーではパスワードマネージャーが利用できます。自分で登録した正規サイトにのみ ID とパスワードを自動投入するため、フィッシングサイトのような偽サイトには反応しません。パスワードの代わりにパスキーを利用すると、自分のスマートフォンでのみパスワードレスでログインできる等、より利便性と安全性が増します。普段からログインを促すようなメールや SMS を受信した際は、正規のアプリやパスワードマネージャーを使って正規のサイトへログインし情報を確認してください。クレジットカード情報や携帯電話番号、認証コード、口座情報、ワンタイムパスワード等の入力を要求された場合は、入力する前に一度立ち止まり、本当に必要な手続きなのかを確認してください。特に初めて利用するサイトの場合は、運営者情報や問い合わせ先などを確認し、似たようなフィッシングや詐欺事例等がないか、確認するようにしてください。

情報提供のお願い

フィッシングか否かの判断に迷う不審なメールや SMS を受け取った場合は、各サービス事業者の問い合わせ窓口やフィッシング対策協議会 (info@antiphishing.jp) まで、ご報告ください。 【報告方法】はこちら

参考情報

  フィッシング報告受領件数（2026年1月～3月日別）

  調査用メールアドレス宛てへのフィッシングメール着信件数（2026年1月～3月日別）

  金融庁: インターネット取引サービスへの不正アクセス・不正取引にご注意ください
     https://www.fsa.go.jp/ordinary/chuui/chuui_phishing.html

  警察庁: 令和７年におけるサイバー空間をめぐる脅威の情勢等について
     https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf

  迷惑メール相談センター: 送信ドメイン認証実施状況
     https://www.dekyo.or.jp/soudan/contents/auth/index.html

  迷惑メール相談センター: 迷惑メール対策BOOK「撃退！迷惑メール」
     https://www.dekyo.or.jp/soudan/contents/info/pamphlet.html#gmeiwaku

  なりすまし送信メール対策について : 送信ドメイン認証に対応するメリット
     https://www.antiphishing.jp/enterprise/domain_authentication.html#advantages

  Gmail : メール送信者のガイドライン
     https://support.google.com/mail/answer/81126?hl=ja

  Gmail : メール送信者のガイドラインに関するよくある質問
     https://support.google.com/a/answer/14229414?hl=ja

  Gmail : Postmaster Tools で送信メールを監視する
     https://support.google.com/a/topic/6259779?hl=ja

  SMS共通番号/共通ショートコード情報
     https://japansms.com/