フィッシング詐欺2026年最新手口｜AIで巧妙化した攻撃とパスキー・多要素認証による完全対策
フィッシング詐欺が「見抜けない時代」へ突入
かつてフィッシング詐欺といえば、不自然な日本語や粗雑なデザインで比較的見分けやすいものでした。しかし2026年現在、その常識は完全に崩れています。日本サイバー犯罪対策センター（JC3）の専門家も「いまのフィッシング詐欺は、個人の注意力だけで対抗できる段階をすでに超えている」と指摘しており、文章・デザイン・URLに至るまで本物と見分けがつかないレベルに達しています。
被害は過去最悪水準――2025〜2026年の実態
フィッシング対策協議会のデータによると、2025年の国内フィッシング詐欺報告件数は過去最悪の171万8,036件を記録しました。報告数は1月の約12万件から始まり、10月には月間19万件超という過去最高を更新しています。組織的かつ大規模化の傾向が顕著で、証券会社を狙った不正送金被害の累計額も数千億円規模に上ると報告されています。
なりすまし対象として最も多く報告されているのはAmazonで、次いでApple、ANA、VISA、ETC利用照会サービスが続き、上位5ブランドだけで全報告の約31.5%を占めています。2026年に入ってからも、国民年金・住民税の納付依頼を装うフィッシングや、国内ISPの認証情報を悪用した大規模送信など、新たな手口が次々と確認されています。
2026年に急増する最新の攻撃手口
① リアルタイムフィッシング（AiTM攻撃）
従来の二要素認証（SMS認証など）を無力化する高度な手口です。攻撃者は被害者と本物のサービスの「中間」に偽サイトを挟み、被害者がログイン情報を入力すると同時にリアルタイムで本物のサイトへ中継します。ワンタイムパスワードまでも奪い取り、不正ログインを完結させるこの手法は、国内証券会社を狙った大規模不正送金でも関与が指摘されています。
② AIを活用した自然な文章・偽サイト生成
生成AIの普及により、従来は粗雑だった日本語文章も流暢になり、精巧な偽サイトが量産されています。世界経済フォーラム（WEF）の調査では回答者の87%がAI関連の脆弱性を2025年に最も急速に拡大したサイバーリスクと認識しており、フィッシングもその中心的な脅威として挙げられています。
③ スミッシング（SMS型フィッシング）の多様化
宅配便の不在通知、料金未払い、公的機関（国民年金・税務署など）を装ったSMSが急増しています。スマートフォンに直接届くため開封率が高く、URL短縮サービスを利用して偽サイトへ誘導するケースが後を絶ちません。
「技術で守る」ための具体的な対策
フィッシング対策協議会が示す対策の重点項目は以下の3点です。
- 技術で守る：多要素認証・パスキー・迷惑メール対策機能・Webフィルタリング・ウイルス対策ソフトを有効にする
- 入力に注意：メールやSMSのリンク先では個人情報を入力せず、必ずブックマークや公式アプリからログインする
- 迷ったら相談：ひとりで抱え込まず、家族・警察相談専用電話（#9110）・消費者ホットライン（188）へ相談する
特に注目すべきはパスキー（FIDO2認証）の普及です。パスキーはフィッシングサイトへ誘導されてもID・パスワードを盗まれない「フィッシング耐性のある認証」として、主要プラットフォームへの実装が急速に進んでいます。AiTM攻撃もSMS認証を突破する一方でFIDO2準拠のパスキーには有効に機能しないことが実証されており、国内でも2026年中に業界横断でパスキー移行を進める動きが加速しています。
企業が今すぐ取るべきアクション
個人の注意だけでは限界があるため、企業・組織側の対策も不可欠です。
- DMARC／DKIM／SPFの導入：自社ドメインのなりすましメールを防ぐメール認証技術。総務省も業界に対し導入強化を要請しています
- 多要素認証（MFA）の全社展開：AiTM攻撃への対策として、SMSではなくFIDO2準拠の認証器の利用を推奨
- 従業員向けフィッシング訓練：定期的な模擬フィッシングメール訓練と教育で、組織全体のリテラシーを向上させる
- インシデント対応手順の整備：被害発覚時の報告ルート・連絡先・初動手順をあらかじめ文書化しておく
まとめ：「見抜く」より「仕組みで防ぐ」時代
2026年のフィッシング詐欺は、AIの活用によって「見た目では判断不可能」なレベルに達しています。個人の注意力に頼った対策には限界があり、パスキーや多要素認証といった技術的な防御と、組織的なプロセス整備の両輪が求められます。「怪しいと思ったらアクセスしない」という基本姿勢を維持しつつ、最新の認証技術を積極的に採用することが、フィッシング詐欺被害を防ぐ最善の手段です。
