日々のことば(ブログ)
✍️フィッシング詐欺とは?AI時代の最新手口と盗まれた情報の行方|2026年の恐ろしい現在地

✍️フィッシング詐欺とは?AI時代の最新手口と盗まれた情報の行方|2026年の恐ろしい現在地

おはよう。
フィッシング詐欺とは、AppleやAmazon、銀行、クレジットカード会社、宅配会社など実在する組織を装い、偽サイトへ誘導してID、パスワード、カード番号、認証コードなどを盗み取る犯罪だ。

もう何年も前から聞く言葉なので、「またフィッシングか」「迷惑メールなんて無視すればいい」と、僕たち自身が慣れてしまっているところもあると思う。
でも、2026年現在のフィッシングを改めて調べてみると、そんな軽いものではなかった。

AI。
本物そっくりの偽サイト。
リアルタイムで2段階認証を突破しようとする仕組み。
盗んだパスワードを売る市場。
犯罪者向けの月額フィッシングサービス。
乗っ取った銀行口座や証券口座。
企業ネットワークへの侵入口の売買。
そして、その先にある不正送金、ランサムウェア、犯罪収益のマネーロンダリング。

一通の詐欺メールだけを見ていると、その向こう側にある巨大な犯罪の仕組みまではなかなか見えない。

今回は、2026年現在、フィッシング犯罪がどこまで進化しているのか。
そして盗まれた情報が、その後どこへ行き、どうやって犯罪に使われていくのか。
改めて、そこまで追ってみたい。


きっかけはAppleそっくりの一通のメールだった

2026年9月、Appleから届いたように見えるメールを見て、一瞬だけ「これ、本物か?」と思った。

画面はAppleの領収書によく似ている。
そこには身に覚えのないサブスクリプション料金が表示され、「契約を管理・解約する」といったボタンまである。

普段の僕なら、こういうメールはほぼ相手にしない。
ところが、このときはいくつかの条件が重なった。

見たのが夜中だった。
そして前日に、たまたま自分でサブスクリプションを整理し、無料特典のアプリなどをいろいろ触っていた。

だから一瞬、

「昨日、間違えて何か押したかな?」

と思ってしまった。

結局、メールのボタンからではなくApple側の公式画面を自分で開き、サブスクリプションを確認すると、その契約は存在しなかった。

Apple自身も、本物そっくりのメールを使い、実際には購入していないコンテンツや契約していないサービスの「領収書」を見せてリンクを押させるフィッシングがあると注意喚起している。Appleサポート

今回の犯人が、僕が前日にサブスクを触っていたことを知っていたとは考えていない。
おそらく偶然だ。

でも、その偶然だけで、一瞬「本当かもしれない」という物語が頭の中にできた。

ここが怖かった。


2026年、フィッシングは「よくある迷惑メール」で済む規模ではない

警察庁によると、2025年に報告されたフィッシングは245万4,297件。
前年から42.9%増えた。

2019年は約5万6,000件だった。
そこからわずか数年で、200万件をはるかに超える規模に膨れ上がっている。

そして、この記事を書いている2026年の直近を見ると、フィッシング対策協議会に寄せられた2026年7月の報告だけでも66,119件。
確認されたフィッシングサイトのURLは重複を除いて43,267件、悪用されたブランドは101ブランドだった。

Amazonをかたるものが約37.0%、Appleが約11.8%。
つまり今回のようなAppleを装ったメールも、特殊な例ではない。

僕らが毎日のように削除している迷惑メールの背景では、これだけの規模の犯罪活動が続いている。


昔のような「変な日本語だから詐欺」ではなくなってきた

昔のフィッシングには、分かりやすいものも多かった。

変な日本語。
不自然な敬語。
明らかにおかしいロゴ。
怪しいURL。

もちろん、今でもそういうメールは大量にある。

しかし、「日本語を見れば分かる」「URLを見れば分かる」という知識だけで安心するのは危ない。

2026年7月、フィッシング対策協議会の調査用メールアドレスに届いたフィッシングメールでは、約26.5%が、差出人に実在するサービスのメールアドレスやドメインを使った「なりすまし」だった。

さらに短縮URLや正規サービスからのリダイレクトなどを利用し、セキュリティー側から危険なURLと判定されにくくしようとするケースも確認されている。
正規サービスのドメインなどを利用したケースは約25.8%に達している。

しかも、フィッシング対策協議会は2026年度版ガイドラインで、本物のメールを丸ごとコピーし、リンクだけをフィッシングサイトへ差し替えることができると注意している。

つまり、「見た目が本物だから大丈夫」は通用しない。


そしてAIが、詐欺をもう一段変えた

ここが今までとの大きな違いだ。

FBIは、犯罪者が生成AIを使うことで、詐欺をより大量に、短時間で、もっともらしく実行できるようになっていると警告している。

自然な文章を書く。
外国語を違和感なく翻訳する。
文法やスペルのミスを消す。
大量のメッセージを作る。
偽サイトの文章を生成する。
偽サイト上にAIチャットボットを置く。

さらに文章だけではない。

偽のプロフィール写真。
偽造されたように見える身分証。
人間の声をまねた音声。
人物が話しているように見える動画。

生成AIは、犯罪そのものを自動で成功させる魔法ではない。
しかし、人をだますために必要だった「文章力」「語学力」「画像制作」「大量生産」といったハードルを、大きく下げることができる。

MicrosoftのDigital Defense Report 2025では、紹介された研究において、AIで自動化されたフィッシングメールが54%、従来型が12%というクリック率を記録した例も報告されている。
もちろん、これはすべてのフィッシングが54%成功するという意味ではない。実験条件のある数字だ。

それでも、AIによる文章生成や個別化が、詐欺を効率化する方向へ働くことは間違いない。

そして重要なのは、今回僕に届いたメールがAI製だったと断定することではない。

「不自然な日本語を見つければ詐欺を見抜ける」という、僕らが昔身につけた防御方法そのものが弱くなっている。

そこを知っておく必要がある。


メールだけではない。電話、声、SNS、QRコードまで入口になる

現在のソーシャルエンジニアリングはメールだけではない。

FBIは、AIで生成した音声を使い、家族や知人などになりすまして送金を求めたり、金融口座へのアクセスに利用したりする可能性についても警告している。

日本では「ボイスフィッシング」、いわゆるビッシングも現実の被害になっている。

犯人が企業へ電話し、銀行関係者などを装ってメールアドレスを聞き出す。
その後にフィッシングメールを送り、ネットバンキングのIDやパスワードを入力させ、不正送金する。

2025年には再び被害が増え、一つの法人だけで4億円を超える被害も確認された。

FBIはほかにも、突然届いた荷物に付けられたQRコードから偽サイトへ誘導し、個人情報や金融情報を入力させたり、不正ソフトを入れさせたりする手口について警告している。

メール、SMS、電話、SNS、QRコード、音声。

入口そのものが増えている。


「解約する」を押した先では何が起きるのか

典型的なフィッシングでは、メールにある「契約を解除する」「本人確認」「支払い方法を更新する」といったボタンを押すと、本物そっくりの偽サイトへ飛ぶ。

そこで、

Apple Accountやメールアドレス
↓
パスワード
↓
カード番号
↓
有効期限・セキュリティコード
↓
電話番号
↓
認証コード

などを順番に入力させる。

入力された情報は犯人側へ渡る。

Appleをかたったフィッシングでも、Apple AccountのIDやパスワード、カード情報などを盗もうとするケースが実際に確認されている。

ただし、現在の高度なフィッシングは、そこで終わらない。


2段階認証を使っていても狙われる「リアルタイム型フィッシング」

「2段階認証を設定しているから安心」と思う人もいると思う。

もちろん、2段階認証は非常に重要だ。
ただし、方法によっては、それすら狙うフィッシングがある。

その一つが、Adversary-in-the-Middle、AiTMと呼ばれる方式だ。

偽サイトが、利用者と本物のサイトの間に入る。

利用者が偽サイトへIDとパスワードを入れる。
犯人側は、それを本物のサービスへリアルタイムで送る。
本物側が追加認証を要求すると、その画面も被害者側へ表示する。
被害者は本物にログインしているつもりで認証する。

こうしてパスワードだけでなく、ログイン状態を示すセッションCookieなどまで盗まれる場合がある。

Microsoftも、AiTM型フィッシングによってパスワードやログインセッションが盗まれ、ビジネスメール詐欺などにつながる攻撃について説明している。

このため現在、金融機関などで重要になっているのがパスキーなど、フィッシング耐性の高い認証方式だ。

金融庁も、証券会社などに対してパスキー等のフィッシングに耐性のある多要素認証の導入を進めている。


2026年9月には「不正アプリを入れさせるフィッシング」も警告された

そしてこの記事を書いているわずか2日前、2026年9月8日、フィッシング対策協議会が新たな注意喚起を出した。

Android利用者を狙い、

ポイント。
クーポン。
抽選。
プレゼント。
利用明細。
銀行の記念キャンペーン。

など、さまざまな理由を付けて不正アプリをインストールさせるフィッシングが確認されている。

ここまで来ると、目的は一回パスワードを入力させるだけではない。

端末からパスワードや認証情報などを盗むインフォスティーラーと呼ばれるマルウェアの世界ともつながっていく。

2026年6月、Europolなどが実施した国際的な摘発「Operation Endgame」では、SocGholish、Amadey、StealCなどの犯罪インフラが対象となり、最大2,700万件もの盗まれたログイン認証情報が回収された。

StealCは、感染したコンピューターからパスワードや保存されたアクセス情報、デジタルIDなどを抜き取り、その後の情報売買や詐欺に利用するためのマルウェアだった。

2,700万件。

一つの国の話ではないとはいえ、「パスワードを盗まれる」という言葉の裏で動いている規模が分かる。


ここからが本当に怖い。盗んだ人と、使う人が違う

僕らはフィッシングというと、

詐欺師がメールを送る
→ カード番号を盗む
→ その詐欺師がカードを使う

くらいのイメージを持ちがちだ。

でも、現在のサイバー犯罪はもっと分業化・産業化している。

かなり単純化すると、

犯罪ツールを作る人 → フィッシングを配る人 → IDやパスワードを盗む人 → 情報を売買する市場やブローカー → アカウントを実際に悪用する人 → 不正送金・詐欺・ランサムウェアなどで金に換える人 → 犯罪収益を移動・洗浄する人

という「犯罪のサプライチェーン」が形成されている。

Microsoftは現在のサイバー犯罪を、アクセスブローカー、ランサムウェア事業者、データ恐喝グループなどが役割分担する、専門化された経済圏として説明している。

中でもアクセスブローカーは、企業などへの侵入口や盗んだ認証情報を、ランサムウェア業者など別の犯罪者へ販売する。
Microsoftの2025年の報告では、確認されたアクセスブローカーの初期侵入方法の80%が認証情報を利用した攻撃だった。

つまり、盗まれたパスワードは単なる「情報」ではない。

犯罪市場で価値を持つ商品になる。


フィッシングそのものまで「月額サービス」になっている

さらに恐ろしいのが、犯罪を実行する道具そのものまでサービス化されていることだ。

Phishing-as-a-Service、PhaaS。

フィッシング・アズ・ア・サービス。

かつて摘発された「LabHost」という犯罪サービスでは、月額平均249ドルほどを支払えば、フィッシングサイトのテンプレート、ホスティング環境、被害者とのやり取り、攻撃状況を管理する仕組みなどが利用できた。

関連したフィッシング用ドメインは少なくとも4万。
利用者は世界で約1万人。
用意されていた偽サイトは170種類以上だった。

さらに2026年3月には、世界規模で利用されていた「Tycoon 2FA」というPhaaSが国際捜査で摘発された。

これは追加認証を突破するための仕組みまで犯罪者へ提供していた。

Europolによれば、月に数千万通規模のフィッシングメールを生成し、世界で約10万の組織への不正アクセスに関係したとされている。

Webサイトを作れる天才ハッカーでなくてもいい。

金を払えば、犯罪のためのシステムを借りられる。

普通の企業向けSaaSのような発想が、犯罪の世界にも入っている。


盗まれたApple Accountやメールは「次の犯罪の入口」になる

では、実際に盗まれた情報は何に使われるのか。

Apple Accountを乗っ取られれば、不正購入だけとは限らない。
アカウントやクラウド内の情報へアクセスされたり、設定を変更されたりする可能性がある。

さらに怖いのがメールアカウントだ。

メールを見ることができれば、

どこの銀行を使っているか。
どのカード会社を使っているか。
どの通販サイトを利用しているか。
どんな予約をしているか。
誰と仕事をしているか。

次の攻撃に利用できる情報が大量に入っている。

フィッシング対策協議会も2026年、漏えいしたメールアカウントが実際に不正利用された事例を確認しており、メール本文に含まれるオンラインサービスの情報を基に、さらに攻撃される可能性を指摘している。アンチフィッシング

同じパスワードを複数サービスで使っていれば、さらに危険だ。

一個のパスワードが盗まれたからといって、一個のサービスだけで終わるとは限らない。


クレジットカードなら年間500億円を超える世界につながる

盗まれたカード番号、有効期限、セキュリティコードなどは、ネット通販などの不正決済に使われる。

そして、カード情報そのものも売買対象になる。

日本クレジット協会によると、2025年のクレジットカード不正利用被害額は510.5億円。
2024年には555億円と過去最高を記録し、その92.5%がカード番号盗用による被害だった。J-Credit

もちろん、これらすべてがフィッシングによる被害という意味ではない。

しかし、偽サイトからカード番号を盗み取るフィッシングは、その重要な入口の一つだ。


銀行口座なら、お金そのものが消える

2025年、日本ではインターネットバンキングの不正送金が4,677件、約102.4億円発生した。

被害額は過去最多となった

ここで終わりではない。

盗んだお金を犯罪者本人名義の口座へそのまま送れば、追跡されやすい。

そこで犯罪収益を動かす別の仕組みが使われる。

警察庁によると、犯罪収益の移動には、架空・他人名義の口座、暗号資産、電子マネー、犯罪グループが関係する会社を通した入出金、外国口座など、さまざまな方法が利用されている。

2026年には犯罪収益移転防止法も改正され、預貯金通帳等の不正譲渡への罰則強化に加えて、新たに「送金犯罪」への罰則まで設けられた。

フィッシングで盗む。

送金する。

資金を別の形にする。

追跡しにくくする。

一つ一つの犯罪が、別々の役割としてつながっている。


証券口座では約7,400億円規模の不正売買が起きた

2025年に日本で大きな問題となったのが、証券会社を装うフィッシングだった。

盗んだログイン情報で証券口座へ侵入し、本人が保有している株を勝手に売却。
その資金で特定の小型株などを購入するという不正取引が相次いだ。

2025年の不正アクセスは1万7千件を超え、不正取引も約1万件。
不正な売却・買付金額を合わせると、約7,400億円規模に達した。

ただし、この7,400億円がそのまま利用者の損失額という意味ではない。
金融庁自身も、不正に売買された取引金額の累計であり、顧客の実損額とは一致しないと説明している。

実際、不正アクセスされた他人の証券口座を使って株価を動かそうとした相場操縦事件まで摘発されている。

「パスワードが一個盗まれる」。

言葉にすると小さく聞こえる。

でも、その先で動く金額はそんなレベルではない。


企業のメールが盗まれれば、会社全体への入口にもなる

個人のメールアカウントや仕事用アカウントを盗まれた場合、その本人だけの被害で終わるとは限らない。

企業のメールへ侵入できれば、取引先とのやり取りを観察し、振込先を犯人の口座へ変更させるビジネスメール詐欺、BECなどへ発展する可能性がある。

あるいは、企業ネットワークへの侵入口そのものが別の犯罪者へ売られる。

Microsoftは現在、アクセスブローカーが盗んだ認証情報だけでなく、企業へのアクセス権や受信箱そのものを別の犯罪者へ販売し、BECやランサムウェア、恐喝などにつなげる犯罪経済が形成されていると報告している。

GoogleのMandiantも、2024年に調査した侵害事案の初期侵入経路では、盗まれた認証情報が16%を占め、初めて2番目に多い侵入経路になったと報告している。

一通のフィッシングが、会社全体への攻撃の入口になる場合まである。


一度だまされた人を、もう一度狙う犯罪まである

そして、本当に卑劣だと思うのがこれだ。

一度詐欺被害に遭った人へ、

「あなたのお金を取り戻せます」
「犯人から資金を回収しました」
「返金手続きをします」

などと連絡し、もう一度金や個人情報を奪う。

FBIは実際に、FBIのインターネット犯罪苦情センター「IC3」の職員になりすまし、過去に詐欺被害を受けた人を再びだます犯罪について繰り返し警告している。

2026年の更新情報では、AI生成動画や偽サイトまで組み合わせた事例が報告されている。

つまり一度漏れた情報は、

「このメールアドレスは存在する」
「この人は反応した」
「この人はこのサービスを利用している」

といった別の価値まで持つ可能性がある。

フィッシング対策協議会も、漏えいしたメールアドレス等は犯罪者間で売買され、一度流出した情報そのものを消すことはできないと注意している。


「自分は詳しいから大丈夫」が一番怖いと思った

今回、自分が一瞬迷った理由を改めて考えると、フィッシングの本質がよく分かる。

僕はメールだけを見ていたわけではない。

前日にサブスクを触っていた。
夜中だった。
領収書の見た目がAppleらしかった。
そこへ身に覚えのない請求が現れた。

それぞれは小さい。

でも全部が重なると、

「もしかして昨日、自分が何か押したのかもしれない」

という一つの物語になった。

犯人は僕の昨日を知らなくてもいい。

大量に送ったメールの中で、誰かの状況と偶然一致すればいいのだ。

疲れている日。
急いでいるとき。
家族のことで頭がいっぱいなとき。
仕事中。
寝起き。
ちょうど同じような契約をした直後。

人間には、判断力が100%ではない瞬間が必ずある。

もちろん、高齢者やデジタル手続きに慣れていない人、判断するための支援を必要とする人たちは、より丁寧に守る必要がある。

でも、

「そんなものに引っかかる人が悪い」
「自分なら絶対大丈夫」

で終わらせた瞬間、自分自身の危険も見えなくなる。

フィッシングは、頭の良さを試すクイズではない。
人間の心理と、そのとき置かれている状況を利用する犯罪だ。


だから「見破る」のではなく「メールから手続きしない」

ここまで調べて、結局いちばん強いルールはかなり単純だと思った。

お金、アカウント、契約、解約、本人確認に関するメールやSMSのリンクから、そのまま手続きしない。

Appleなら、iPhoneの設定やApp Storeを自分で開く。
銀行なら銀行の公式アプリを開く。
カードならカード会社の公式アプリ。
証券会社なら、あらかじめ登録しているブックマークや公式アプリから確認する。

メールから行かず、自分から公式側へ行く。

フィッシング対策協議会の2026年度版ガイドラインでも、メールのリンクではなく、登録したブックマークや正規アプリからアクセスして確認することが推奨されている。

さらに、可能なサービスではパスキーなどのフィッシング耐性の高い認証を使う。
パスワードを使うなら使い回さず、パスワードマネージャーを利用する。

「怪しいメールを完璧に見破る能力」を人間に求め続けるより、そもそも怪しいメールから重要な操作を始めない仕組みにする。

その方が強い。


迷惑メールが当たり前になっていること自体、本当は異常だ

迷惑メールが届く。
削除する。
また届く。
削除する。

あまりにも日常的すぎて、僕自身もほとんど気にしなくなっていた。

でも、フィッシング対策協議会は現在も、不審なメールやSMSの情報提供を呼びかけている。
それらの情報が集まることで、注意喚起やフィッシングサイト対策、事業者との情報共有につながっていく。
もちろん、毎日届く迷惑メールを一人ですべて通報し続けるなんて現実的ではない。

ただ、

「こんなの毎日来るから普通だよ」
と社会全体が完全に麻痺してしまうのも怖い。

2025年、日本で報告されたフィッシングは245万件を超えた。
ネットバンキングでは100億円を超える不正送金。
クレジットカードでは年間500億円を超える不正利用。
証券口座では約7,400億円規模の不正売買。

世界では2,700万件もの盗まれたログイン情報が一度の国際捜査で回収され、フィッシングそのものを犯罪者へ販売する月額サービスまで存在する。

そしてAIが、文章、翻訳、画像、声、動画を、これまでより簡単に作れるようにした。

これが、2026年の現在地だ。


みんなで、みんなを守ろう

この記事を書こうと思ったのは、「僕はフィッシングを見破ったぞ」と言いたいからではない。
むしろ逆だ。

普段なら気にも留めないようなメールでも、いくつかの条件が重なっただけで、一瞬「本当かもしれない」と思った。そこが怖かった。

だから、自分だけ知っていればいいとも思わない。

親に伝える。
子どもに伝える。
家族に伝える。
職場でも共有する。

怪しいメールを誰かから見せられたとき、
「そんなの詐欺に決まっとるじゃん」
と笑うのではなく、

「じゃあメールは触らず、一緒に公式アプリから確認してみよう」
と言える人が増えればいい。

フィッシングメールは、インターネットの風景の一部みたいになってしまった。

でも、本来、人の不安や疲れや信頼につけ込み、パスワードや財産を盗もうとする犯罪が毎日のように届くことを、「普通」と思ってはいけない。

その一通のメールの向こうには、情報を盗む人がいる。
売る人がいる。
買う人がいる。
アカウントを乗っ取る人がいる。
お金に換える人がいる。
犯罪収益を動かす人がいる。

だからこそ、知識が必要だ。
そして、その知識を自分だけの防具にするのではなく、周りの人にも渡していきたい。

みんなで、みんなを守ろう。
今日も、自分と大切な人を守る知識を少しずつ増やしながら、愛と感謝を胸に、全力で頑張ろう。

バイバイ、またね。


参考にした主な資料

国内については、警察庁「令和7年の犯罪情勢」 / フィッシング対策協議会「2026年7月 フィッシング報告状況」 / フィッシング対策協議会「利用者向けフィッシング詐欺対策ガイドライン 2026年度版」 / 金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」 / Apple「App StoreやiTunes Storeからの正規のメールを識別する」 などを参照した。

海外の犯罪組織・AI・犯罪サービス化については、FBI「Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud」 / Europol「Tycoon 2FA摘発」 / Europol「Operation Endgame 2026」 / Microsoft Digital Defense Report 2025 などを参照した。海外資料は英語が中心なので、ブラウザの翻訳機能やAI翻訳などを使いながら読むと分かりやすい。


広告

広島で、家族と日常を大切にしながら、音楽と文章をつくっています。作詞・作曲から、歌、演奏、録音、映像、発信まで、自分の手で育てています。音と言葉で、人生に小さな灯りを。

松永修が運営する個人事業「言と音LIFE BASE」の創作ブランドが「MUSICおさむ」です。

関連記事

最新記事
会員限定記事
おすすめ記事
PAGE TOP
ログイン 会員登録
会員登録