フィッシング攻撃2026年最新動向｜AI生成・スミッシング急増と企業の対策
フィッシング攻撃が再び「侵入手法トップ」に返り咲いた2026年
2026年第1四半期、フィッシングは初期アクセスが特定されたインシデントの3分の1以上を占め、2025年第2四半期以来初めてカテゴリの首位となったことがCisco Talosの調査で明らかになりました。攻撃件数の絶対数は前年比20%減（Zscaler ThreatLabz）と減少傾向にある一方、1件あたりの攻撃精度と成功率は急上昇しており、「量より質」へのシフトが鮮明です。
2026年のフィッシング：3つの最新手口
① AI生成フィッシングメール──「不自然な日本語」が消えた
フィッシングメールの見破り方として定番だった「不自然な日本語」や「誤字脱字」は、もはや有効な判断基準ではありません。ChatGPTやClaudeなどの大規模言語モデル（LLM）を悪用した攻撃者は、業界用語や社内の慣用表現まで正確に再現した詐欺メールを大量生成できます。ある調査では攻撃の82%以上がAI言語モデルを利用しているとも報告されており、従来のユーザー教育の前提が根本から崩れています。
さらに高度化しているのがスピアフィッシングの自動化です。OSINTツールとAIがLinkedInやSNSから標的の職務・関係者・直近の活動情報を収集・分析し、個人に刺さるメッセージを自動生成・送信・追跡するパイプラインが、犯罪用ツールとしてすでに流通しています。
② AiTM攻撃──MFAをリアルタイムで突破
フィッシングで認証情報を奪うだけでなく、攻撃者が正規サービスと被害者の間にリアルタイムでプロキシとして介入し、ワンタイムパスワード（OTP）やSMS認証コードまで盗み取るAiTM（Adversary-in-The-Middle）攻撃が拡大しています。一般的なMFAを突破できるため、「MFAを導入しているから安全」という認識は2026年時点では通用しません。
③ スミッシング・ボイスフィッシングの再燃
フィッシング対策協議会の2026年4月月次報告によれば、同月の報告件数は151,112件（前月比約2.3万件増）に達し、悪用ブランドは117に及びます。PayPayや東京電力を装ったスミッシング（SMS経由のフィッシング）が再増加しているほか、偽サイトではなく正規の決済URLへ誘導して送金させる手口も確認されており、URLや見た目だけでは判別が困難になっています。金融機関を装った自動音声ボイスフィッシングも再燃し、2025年末には約20億円の被害が報告されました。
IPAの警鐘：「AIリスク」が情報セキュリティ10大脅威に初登場
IPA（情報処理推進機構）が発表した情報セキュリティ10大脅威2026では、「AIの利用をめぐるサイバーリスク」が初選出でいきなり3位にランクイン。AI悪用によるフィッシングの巧妙化がリスクの一つとして明示されました。また「ビジネスメール詐欺（BEC）」も10位に入っており、メールを介した脅威が複数上位を占める状況が続いています。
企業が今すぐ取るべき5つの対策
- FIDO2パスキー・ハードウェアキーへの移行：SMS・OTP型MFAはAiTM攻撃で突破されるリスクがあります。YubiKeyなどFIDO2準拠デバイスへの移行が2026年時点での最善策です。
- AIベースのメールセキュリティ導入：ポリモーフィック検知機能を持つAI型メールセキュリティ製品を導入し、従来のシグネチャベース検知では捕捉できないAI生成フィッシングメールに対応します。
- DMARC・DKIM・SPFの完全適用：送信ドメイン認証技術を適切に設定し、自社ドメインのなりすましを防ぎます。フィッシング対策協議会の2026年度ガイドラインでも強く推奨されています。
- 承認済み送信者アーキテクチャの整備：インバウンドメールを承認済みのパートナー・顧客・ベンダーに限定する仕組みを整備し、AI生成フィッシングが依存する攻撃対象面を縮小します。
- インシデント対応フローの整備と継続的教育：「怪しいと感じたときに何をすべきか」を全従業員が迷わず行動できる運用フローを整備します。定期的なシミュレーション訓練でセキュリティ意識を継続的に強化してください。
まとめ
2026年のフィッシング攻撃は「件数の減少」と「精度の急上昇」という二律背反の局面を迎えています。AIが攻撃者の参入障壁を大幅に下げた結果、従来の「見破る」アプローチは限界に達しました。企業はメール・SMS・音声など多様な経路を横断した多層防御と、AiTMにも耐えうる強固な認証基盤の整備を急ぐ必要があります。
