最終更新：10 月 24 日 02:09（日本時間）
次の月の報告が出たら追記します。
すぐ見る：どうすればいい？ ／ メールを送る事業者 ／ メールを受け取る人 ／ 経緯
要点
フィッシング対策協議会「2026/09 フィッシング報告状況」（2026 年 10 月 19 日公開）
- 2026 年 9 月に寄せられたフィッシングの報告は 94,661 件で、前の月より 12,323 件増えた。フィッシングサイトの URL は 49,032 件、悪用されたブランドは 105 件だった
- 9 月はサイバー攻撃による情報漏えいの公表が相次ぎ、受信者の氏名が書かれたフィッシングメールも確認された。漏えいした情報が、不正ログインやフィッシング、詐欺への誘導に使われるおそれがある
- 事業者には、送信ドメイン認証（DMARC）のポリシーを reject に変える計画を立てることなどを求めている。会社の Web サイトの写真やブランド名がコピーされ、偽サイトに使われたという報告も増えている
どうすればいい？
立場ごとに、まずやること
自社のドメインでメールを送っている事業者
- 自社ドメインの DMARC が none のままになっていないかを確かめ、reject に変える計画を立てる
- サポート詐欺のメールや、経理担当者を狙った書類の確認をよそおうメールが届いたときの相談先を、社内に知らせておく
- 自社サイトの写真やブランド名を使った偽サイトを見つけたら、最寄りの警察へ相談する
メールや SMS を受け取る人
- ログインを促すメールや SMS が来ても、リンクから開かず、正規のアプリやパスワードマネージャーから正規のサイトへログインして確かめる
- カード番号や認証コードの入力を求められたら、入力する前に一度立ち止まる
この記事では、フィッシングに関する情報の収集・提供や注意喚起などを担う団体「フィッシング対策協議会」の 2026 年 9 月の報告状況について、同協議会が 10 月 19 日に公開した月次報告書だけをもとに、9 月に何が多かったのか、自社のドメインでメールを送る事業者と、メールを受け取る人が、それぞれ何をすればよいかを整理します。
何が書かれているか
月次報告書の数字から見ていきます。フィッシング対策協議会は 2005 年 4 月 28 日に設立され、毎月、寄せられた報告をまとめた月次報告書を公開しています。2026 年 9 月分の主な数字は次のとおりです。
| 項目 | 9 月の件数 |
|---|---|
| フィッシングの報告件数 | 94,661 件（前の月より 12,323 件増加） |
| フィッシングサイトの URL 件数（重複なし） | 49,032 件（前の月より 9,232 件増加） |
| 悪用されたブランドの数 | 105 件（前の月より 9 件増加） |
報告の多かった上位 5 ブランドは、Amazon と Apple に、セゾンカード、アメリカン・エキスプレス、国税庁を加えたものでした。分野では EC 系とクレジット・信販系の報告が増えています。メールの文面は、注文や配達、返金、決済情報の更新、不正利用の検知、ポイントの有効期限などをよそおうものが多く寄せられました。
報告書では、9 月の特徴として次の点を挙げています。
- 氏名入りのフィッシングメール 9 月はサイバー攻撃による情報漏えいの公表が相次いだ。個々の漏えい事故との関係は分からないとしたうえで、本文に受信者の氏名が書かれたフィッシングメールが確認されている。
- サポート詐欺へ誘うメールの急増 個人向けから企業向けまで、文面や件名を次々に変えて大量に送られている。受信者自身のドメインのメールアドレスになりすまして送るものが多い。
- 不正なアプリを入れさせるメール アプリのアップデートや申請手続きをよそおい、Android のスマートフォンに不正なアプリを入れさせるメールが急増。パソコン向けでは、経理担当者を狙って書類の確認や提出をよそおうメールも確認されている。
- 会社の Web サイトの写真やブランド名のコピー 自社の Web サイトに載せた写真やブランド名、運営者の情報がコピーされ、偽サイトや悪質な EC サイトに使われたという報告が増えている。
- フィッシング以外の詐欺メール 会社の代表取締役社長の名前で LINE グループを作るよう指示し、振り込め詐欺へ誘うメールなどの報告も多く寄せられている。
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 19 日 | 月次報告書「2026/09 フィッシング報告状況」を公開 |
| 9 月 30 日 | 緊急情報「国税庁をかたり不正アプリのインストールへ誘導するフィッシングメール」 |
| 9 月 8 日 | 緊急情報「不正アプリのインストールへ誘導するフィッシングメール」 |
自社のドメインでメールを送る事業者がやること
報告書の「事業者のみなさまへ」から、中小企業にも関わるものを選びました。事業の規模に関係なく、ドメイン名を悪用したなりすましメールが送られていて、とくに DMARC のポリシーが none のままのドメイン名が使われ続ける傾向があるとしています。
- オンラインサービスを提供している事業者は、DMARC のポリシーを reject（p=reject）に変える計画を立てる
- 多要素認証などの対策がすべての利用者で済んでいなければ、ログイン後の操作の監視を強め、状況に応じてパスワードの強制リセットも検討する
- ID とパスワードでログインさせているなら、ログイン ID にメールアドレスではなくサービス独自の ID を使うなど、認証情報の使い回しへの対策を検討する
- サポート詐欺のメールで偽の警告画面が出たときのブラウザーの閉じ方などを確かめ、社内に知らせる
- 自社サイトの写真やブランド名が偽サイトに使われていたら、著作権や商標権の侵害などにあたる可能性があるため、最寄りの警察へ相談する
メールや SMS を受け取る人がやること
報告書の「利用者のみなさまへ」の案内です。
- 使っているサービスから案内があったら、登録しているメールアドレスやログイン ID、パスワードの変更など、案内に沿って対応する
- ログインを促すメールや SMS が来たら、正規のアプリやパスワードマネージャーを使って正規のサイトへログインし、情報を確かめる
- パスキーや多要素認証が使えるサービスでは設定する。パスワードマネージャーは自分で登録した正規のサイトにだけ ID とパスワードを入れるので、偽サイトには反応しない
- アプリのアップデートやインストールは、スマートフォンの設定や公式のアプリストアから行う。メールのリンクから直接ダウンロードしない
- 判断に迷う不審なメールや SMS は、各サービスの問い合わせ窓口かフィッシング対策協議会へ報告する
自社で見直すこと
ここからは、報告書から読み取れることを、ホームページやメールを自社で運用している中小企業向けにまとめたものです（この記事での整理）。
- 自社ドメインの DMARC の設定を確かめる お問い合わせフォームの自動返信やお知らせのメールを自社ドメインで送っているなら、SPF・DKIM・DMARC が設定されているか、DMARC のポリシーが none のままになっていないかを、サーバー会社や制作会社に確かめる。いきなり reject にすると正規のメールが届かなくなることもあるため、送信している仕組みを洗い出してから段階的に進める。
- 自社がどんな連絡を送るかを公式サイトに書く どのアドレスから、どんな内容のメールを送るか（パスワードやカード番号をメールで聞かない、など）を公式サイトに書いておくと、なりすましのメールと見分けてもらいやすくなる。
- 偽サイトに気づける手がかりを持つ 自社名や商品名で時々検索し、身に覚えのないサイトがないかを見る。見つけたときの相談先（警察・弁護士・サーバー会社など）を決めておく。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、ホームページの安全対策の基本は 「ホームページのセキュリティ対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、メールの送信ドメイン認証の設定や、偽サイト・なりすましメールへの対応を、公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
