Council of Anti-PhishingJapan

フィッシングレポート 2022

2022 年 6 月
フィッシング対策協議会
技術・制度検討ワーキンググループ

デジタル署名者 : Council of Anti-Phishing JapanDN : c=JP, st=Tokyo, l=Chuo, o=Council of AntiPhishing Japan, cn=Council of Anti-Phishing
Japan, email=antiphishing-sec@jpcert.or.jp
日付 : 2022.06.01 08:36:13 +09'00'

目次
1.

フィッシングの動向 ......................................................................................................................................... 1
1.1. 国内の状況 .................................................................................................................................................... 1
1.2. 海外の状況 .................................................................................................................................................... 4
1.3. フィッシングこの一年 ............................................................................................................................ 6
1.3.1. .. フィッシングのターゲットとなっているブランド ........................................................ 6
1.3.2. .. 「なりすまし」送信メールの継続 .......................................................................................... 7
1.3.3. .. スミッシングで狙われるキャッシュレス決済.................................................................. 7

2.

WG の活動 ............................................................................................................................................................ 8
2.1. 今年度の WG 活動 .................................................................................................................................... 8
2.2. フィッシング対策協議会 各 WG の活動.................................................................................... 92.3. 認証方法、調査・推進 WG による意見..................................................................................... 14

3.

SMS を用いたフィッシング詐欺についての意識調査 .............................................................. 17

4.

フィッシングの対策 ..................................................................................................................................... 25
4.1. 最新の動向 ................................................................................................................................................ 25
4.1.1. .. FIDO とフィッシング耐性への期待 .................................................................................. 25
4.1.2. .. フィッシング関連情報の収集・共有による効果と課題 .......................................... 27
4.1.3. .. フィッシング対策のシフトレフト ...................................................................................... 29
4.1.4. .. フィッシングサイトの短時間化と被害発生状況の推移からの課題 .................. 32
4.1.5. .. 携帯キャリアによる SMS に関する施策・フィッシング対策 ............................. 35
4.1.6. .. IT サービス認証における推奨事項..................................................................................... 37
4.2. ドメイン関連............................................................................................................................................ 39
4.2.1. .. ドメイン名の廃止にあたっての注意 ................................................................................ 39
4.2.2. .. ドメイン名を廃止する前のリスク判定 ........................................................................... 41

5.

まとめ .................................................................................................................................................................. 47

1. フィッシングの動向
1.1. 国内の状況
警察庁の発表1によると、2021 年上半期では、国内外でランサムウェアによる攻撃が多発している。また、警察によるサイバー犯罪の検挙件数は、年間の検挙件数が最多となった前年の同期と比べ増加しており、令和 3 年上半期における不正アクセス禁止法違反の検挙件数は 146 件であった。このうち 123 件が識別符号盗用型（アクセス制御されているサーバーに、ネットワークを通じて、他人の識別符号を入力して不正に利用する行為）であったことが報告されている。
インターネットバンキングの不正送金の被害件数（被害額）は、発生件数 376
件、被害額約 4 億 7,900 万円となり、前年同期と比べて発生件数、被害額ともに減少した。被害の多くは、前年から継続している SMS や電子メールを用いて金融機関を装ったフィッシングサイトへ誘導する手口によるものと報告されている。
フィッシング情報の届け出件数について、2021 年は前年と比較して著しく増加した（図 1-1）。EC サイト大手、クレジットカード会社などのなりすまし送
信が多く報告されている。

図 1-1 国内のフィッシング情報の届け出件数2

警察庁、令和 3 年上半期におけるサイバー空間をめぐる脅威の情勢等について（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R03_kami_cyber_jousei.p
df）（閲覧日：2022 年 2 月 21 日）
2 フィッシング対策協議会、フィッシング報告状況（月次報告書）（https://www.antiphishing.jp/report/monthly/）（閲覧日：2022 年 2 月 21 日）より作成
11

フィッシングサイトの URL 件数は、2021 年度下半期は 2021 年上半期よりも増加している。
（図 1-2）。ブランド名を悪用された企業の件数も、2020 年と比較して増加の傾向にある（図 1-3）。

図 1-2 国内のフィッシングサイトの件数 2

図 1-3 国内のブランド名を悪用された企業の件数 22また、警察庁・総務省・経済産業省の発表3によれば、2021 年に警察庁に報告のあった不正アクセス行為のうち、識別符号窃用型不正アクセス行為（ID
窃盗による不正アクセス行為）は 2020 年に比べて減少した（図 1-4）。しかしながら、2021 年の手口別内訳では、利用権者のパスワードの設定・管理の甘さにつけ込んで入手したものの割合が最も高く、前年比で約 1.5 倍の増加となった（図 1-5）。

図 1-4 識別符号窃用（ID 窃盗）型不正アクセス行為の検挙件数4

図 1-5 識別符号窃用型不正アクセス行為の手口別検挙件数の内訳（2019 年～2021 年）5【エム・アール・アイリサーチアソシエイツ株式会社】

3

警察庁・総務省・経済産業省、不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究
開発の状況（https://www.soumu.go.jp/main_content/000807446.pdf）（閲覧日：2022 年 4月 11 日）4 同上より作成
5 同上より作成

31.2. 海外の状況
米国で設立されたフィッシング問題に関する国際組織 APWG（Anti-Phishing
Working Group）の調査によれば、2020 年のフィッシング届け出件数は、2019年から大幅に増加した（図 1-6）。フィッシングサイトの件数は、2020 年上半
期には減少傾向であったが、2020 年下半期、2021 年上半期は大幅に増加した（図 1-7）。フィッシングによるブランド名の悪用の件数は増加傾向にある。
（図1-8）。APWG の報告6によると、金融機関に対するフィッシングが拡大したことが報告されている。全体のフィッシングの動向としては、Business EmailCompromise のフィッシングが増加していることが示されている。

図 1-6

APWG へのフィッシングメール届け出件数7

APWG（Anti-Phishing Working Group)、"Phishing Activity Trends Report"（https://docs.apwg.org/reports/apwg_trends_report_q2_2021.pdf?_ga=2.108698310.5375
11705.1644904958-1869577878.1641523189&_gl=1*268s0q*_ga*MTg2OTU3Nzg3OC4xNjQ
xNTIzMTg5*_ga_55RF0RHXSR*MTY0NDkwNDk1OC4yLjEuMTY0NDkwNTk4Ny4w）（閲覧日：2022 年 2 月 21 日）
7 APWG（Anti-Phishing Working Group)、"PHISHING ACTIVITY TRENDS REPORTS"（https://www.antiphishing.org/resources/apwg-reports/）（閲覧日：2022 年 2 月 21 日）より作成
64

図 1-7 フィッシングサイトの件数（APWG）8

図 1-8 フィッシングによりブランド名を悪用された企業の件数（APWG）9【エム・アール・アイリサーチアソシエイツ株式会社】

APWG（Anti-Phishing Working Group)、"Phishing Activity Trends Report"（https://www.antiphishing.org/resources/apwg-reports/）（閲覧日：2022 年 2 月 21 日）より作成
9 同上より作成
85

1.3. フィッシングこの一年
フィッシング対策協議会で受領した 2021 年 1 月から 12 月までのフィッシ
ング報告件数は 526,504 件で、2020 年と比較して約 2.3 倍となった。

図 1-9 2021 年フィッシング報告件数の推移

1.3.1. フィッシングのターゲットとなっているブランド
昨今のフィッシングは、基本的にはクレジットカード情報狙いであるが、前年に引き続き、EC 系（インターネットショッピング、フリーマーケットなど）ブランドの報告件数が最多で、その割合は全体の約 53.6％であった。クレジット
カードブランドをかたるフィッシングも継続的に行われていて、さまざまなブランドをかたり（40 ブランド）、その割合は約 35.2％であった。その他、年末には、これまで報告がまったくなかった保険会社をかたるフィッシングも発生している。
ISP やホスティング事業者、メールサービスをかたるフィッシングも発生10しているが、これはアカウント情報を詐取して、不正メールの踏み台発信に利用していると考えられている。
新型コロナウイルス関連では、厚生労働省をかたるものや、特別定額給付金をかたるものなども発生している。犯罪者は常日頃から経済、社会状況を観察し、利用者の多いサービスや生活状況からついアクセスしてしまいそうなものをフJPCERT/CC、Web メールサービスのアカウントを標的としたフィッシングに関する注意喚起」、（https://www.jpcert.or.jp/at/2021/at210049.html）（閲覧日：2022 年 2 月 21 日）
106ィッシングの対象として選択していることから、今後も新たなブランドを対象としてフィッシングが行われる可能性があり、引き続き注意が必要である。

1.3.2. 「なりすまし」送信メールの継続
大量配信されるフィッシングの内、送信元メールアドレスに正規サービスのドメインを使用した「なりすまし」送信メールは、現在も多く発信されている。この「なりすまし」送信メールの検出には、送信ドメイン認証技術（SPF/DKIM/DMARC）の内、特に DMARC が有効であるが普及率が低い
状況である。事業者は最低限 SPF と DMARC でドメインを保護し、DMARC
レポートで本物のメールが届いていることを確認することから、「なりすまし」送信メールの検知をはじめてもらいたい。

1.3.3. スミッシングで狙われるキャッシュレス決済
スミッシング＝ショートメッセージ（SMS）から誘導されるフィッシングについては、宅配便の不在通知をかたるものに加えて、EC 系や通信キャリアをかたるものが多く報告された。スミッシングで入手した情報をもとに、キャリア決済やキャッシュレス決済を不正利用するという事例も報告されている。SMS で受信した認証コードを入力する際は、一度立ち止まり、その入力先サイトが本物かどうか、本当に必要な手続きなのかどうかを確認するようにしたい。また、身に覚えがないタイミングで認証コード通知 SMS などが届いた時は、裏で不正利用されている可能性があり、パスワード変更や、決済サービスの使用履歴を確認して問題がないか確認して欲しい。
【一般社団法人 JPCERT コーディネーションセンター】

7

2. WG の活動
2.1. 今年度の WG 活動
昨年度は、事業者におけるフィッシング対策の重要な対策をわかりやすくするために、「重要５項目」というのを策定させていただいた。一方、現状のフィッシングの状況については、2020 年の後半からユーザーからの報告も大幅に増加している。フィッシングサイトへの誘導方法は SMS による方法が増えてきている。さらに、攻撃対象についてはわざわざスマホユーザーのみを狙ったものも出てきている。また、ユーザーをだます手口は高度化し、ワンタイムパスワード
さえもユーザーを騙してユーザーから直接ワンタイムパスワードを詐取し、それを裏で悪用する方法も出てきている。
そのような傾向からもっと幅広い議論の必要性を感じ、これまでの技術主体の議論から人間系の議論も加えるため、2020 年度の活動においては、学術分野からの参加が必要だと考え、長崎県立大学の加藤雅彦教授と情報セキュリティ
大学院大学の稲葉緑准教授にご参加をお願いした。
まだ、議論は始まったばかりであるが、そもそもフィッシング攻撃自体を減らすために、攻撃者がフィッシングを計画する段階での対策方法はないか、また、ユーザーがフィッシングサイトのリンクのクリックする前に、冷静に考えるチ
ャンスと与える方法はないかなどのこれまでとは異なる議論も出てきた。今後の議論の中で具体的なアイデアが出てくれば、ガイドラインに反映することもできると期待している。
【野々下 幸治

8

トレンドマイクロ株式会社】

2.2. フィッシング対策協議会

各 WG の活動

フィッシング対策協議会ではワーキンググループ活動やプロジェクトを通じてフィッシング対策を推進している。
◆被害状況共有 WG＜主査：林 憲明氏（トレンドマイクロ株式会社）＞
フィッシング詐欺は他社や他業種の被害状況を把握することが困難である。
特定業種を連続的に狙う攻撃が発生して場合に、自社に被害が及ぶ前に状況を共有し、対策につなげることが有効である。本 WG ではブランドを悪用される可能性のあるサービス事業者を中心としたコミュニティーを通じて被害状況の共有を図っている。
2021 年の活動として、WG メンバーに対する継続したオンラインによる情報共有を行っている。
発足当初より提供しているフィッシング詐欺被害状況に関するデータを統計・可視化することを目的としたダッシュボード「Phish Trends」の運営は継続（2018 年 10 月より観測開始）するとともに機能強化を行っている。
・「HazardInfoWG API」の提供を開始
被害状況共有 WG が提供する情報を REST API 形式により、HTTP 標準のメソッドを使ってデータ取得を可能とする機能である。本機能により円滑なデータ取得、加工整形作業の自動化を図り、発信情報の利活用を推進する。
・リアルタイムフィッシング URL の特徴抽出
URL の長さ、URL のスラッシュやドットの数などの統計を行う機能を実装した。特徴量の定点観測を通じて、正規サイトの運営上の注意すべき事項を明確にしていく。
・ダッシュボード「FakeStore Trends」（2019 年 9 月より観測開始）
一般財団法人日本サイバー犯罪対策センターの協力を得て、実在する企業のサイトに似せた、または、そのままコピーした「偽サイト」や、ショッピングサイトでお金を振り込んだにもかかわらず商品が送られてこない「詐欺サイト」に関する状況を統計・可視化する。
・ダッシュボード「Databases Leaks Trends」（2020 年 4 月より観測開始）
アンダーグラウンドマーケット、アンダーグラウンドフォーラムにおける国内組織に関連する資格情報の漏えいや売買に関する情報を収集し、統計処理から可視化する。特に「二重脅迫型（または暴露型）ランサムウ
ェア」による被害情報の収集している。

9

・Carding Forums Meta Search
盗まれたクレジットカード情報やログイン情報などが売買されるアン
ダーグラウンドフォーラム『カーディングフォーラム』を対象にした検索に最適化された検索エンジンである。2021 年 1 月現在、32 件のカーディングフォーラムを対象とした検索機能を提供している。
引き続き、更なる活用方法の検討を中心とした活動を推進していくとともに、信頼できる関係を築き、連携して全体セキュリティレベルの向上につなげる。

図 2-1 フィッシング詐欺被害状況ダッシュボード「Phish Trends」◆認証方法調査・推進 WG＜主査：長谷部 一泰氏（アルプス システム イン
テグレーション株式会社）＞
フィッシング詐欺と関係性が深いインターネットサービスの認証について調査を行い、より安全なサービス利用、より安全なサービス提供に向けた認証方式
関連の情報を提供することでフィッシング詐欺対策を支援する。
2021 年の活動として、2019 年、2020 年に結果報告書を公開したインター
ネットサービス提供事業者に対する認証方法に関するアンケート調査、ならびにインターネットサービス利用者に対するアンケート調査によるインターネッ
トサービス提供者側との意識の違いについて確認し、安全利用へ向けた意見を
まとめる。

10

◆証明書普及促進 WG＜主査：田上 利博氏（サイバートラスト株式会社）＞
電子証明書の有効性などをサイト運営者や事業者に説明するための資料を作成。EC サイトなどの利用者向けに信頼できる安全な Web サイトに関する啓発
コンテンツを提供する。
2021 年の活動として、以下の情報をまとめ協議会ホームページから公開している。
・Google Chrome における混在コンテンツのブロック（2021/04/01）
https://www.antiphishing.jp/news/info/Chrome_MixedContents_20
210401.html
・通信プロトコル「QUIC」が標準化 ～ HTTP/3 によるウェブサイト表示速
度の更なる高速化 ～（2021/08/27）
https://www.antiphishing.jp/news/info/quic_http3_20210827.html
・S/MIME のメーラー別対応状況の調査結果を公表（一般財団法人日本情報経済社会推進協会 JIPDEC と協力）
https://www.antiphishing.jp/news/info/smimeppap.html

図 2-2 メーラーの S/MIME 対応状況調査結果

・国の行政機関が発行するメールマガジンのなりすまし対策状況の調査結果を公表（2021/12/21）（一般財団法人日本情報経済社会推進協会（JIPDEC）、株式会社 TwoFive と協力）◆STC 普及啓発 WG＜主査：林 憲明氏（トレンドマイクロ株式会社）＞
インターネットを安全に使うための消費者向けセキュリティ普及啓発キャン
ペーンを日本国内で推進している。インターネットや Web サイトにアクセスす11

る前に「ちょっと立ち止まって、（例えば、その Web サイトにアクセスすることで）何が起こるか考える」意識を持つよう呼びかけている11。
2021 年の活動としては、『第 17 回 IPA「ひろげよう情報モラル・セキュリティコンクール」 2021』の応募作品の中から「標語」「ポスター」「4 コマ漫画」の 3 つの部門における優秀賞（協力企業・団体賞）を選出し、表彰した。12◆学術研究 WG＜主査：唐沢 勇輔（Japan Digital Design 株式会社／ソースネクスト株式会社）＞
フィッシングサイトの早期発見に関する研究を推進し、よりプロアクティブなフィッシング詐欺対策の確立を目指している。2017 年から長崎県立大学と共同で研究を進めている。
2021 年の活動としては、長崎県立大学との共同研究活動成果の１つとして、学術論文「フィッシング詐欺のビジネスプロセス分類」を公開した。
2 つの事例分析を実施し、実際のフィッシング詐欺を特定するためのプロセスとして適用可能であることを確認。フィッシング詐欺におけるプロセスを体系的に理解し、フィッシング詐欺の脅威を予測することが容易となった。13

図 2-3 フィッシング詐欺ビジネスプロセス

11

フィッシング対策協議会、STOP. THINK. CONNECT. とは（https://www.antiphishing.jp/pdf/
about_StopThinkConnect.pdf）（閲覧日：2022 年 2 月 21 日）
STOP THINK CONNECT Web サイト（https://stopthinkconnect.jp/）（閲覧日：2022 年 2 月 21 日）
12
フィッシング対策協議会、『第 17 回 IPA「ひろげよう情報モラル・セキュリティコンクール」
2021』の優秀賞を選出（https://www.antiphishing.jp/news/info/ipa_competition2021.html）（閲覧日：2022 年 2 月 21 日）
13
フィッシング対策協議会、「フィッシング詐欺のビジネスプロセス分類」を公開 (2021/03/16)（https://www.antiphishing.jp/news/info/collabo_20210316.html）（閲覧日：2022 年 2 月
21 日）

12

・JANOG48 Meeting（2021 年 7 月 15 日開催）にて、学術研究 WG および事務局が講演https://www.antiphishing.jp/news/info/20210820.html
・スミッシングについて本気出して考えてみた～ビジネスプロセス的観点から～
発表者：唐沢 勇輔（フィッシング対策協議会 副運営委員長・学術研究
WG／Japan Digital Design 株式会社）
・増え続けるフィッシング被害に今、我々ができること
発表者：平塚 伸世（フィッシング対策協議会 事務局／JPCERT/CC）【加藤 孝浩13

トッパン・フォームズ株式会社】

2.3. 認証方法、調査・推進 WG による意見
認証方法 調査・推進 WG（以下認証 WG と略す）では、前述でご紹介いただ
いたとおり、フィッシング詐欺と関係性が深いインターネットサービスの認証について調査を行いレポートしている。
本 WG における活動との連携として、過去の調査レポートによる年代ごと利
用実態や意識の傾向と、フィッシング詐欺被害の年代ごとの傾向について関連性を確認し、今後の対策への一助となるように情報を整理する。
認証 WG は、東京オリンピック開催へ向けて、増加するであろうフィッシン
グ詐欺被害に対応すべく、WG を立上げ、調査、レポートを進めてきたが、新型
コロナウイルス感染という想定外の事態による、社会活動の制限への対応としてのインターネット利用の促進が進み、インターネットサービスは想定外のス
ピードで拡大した。それに従いフィッシング詐欺の被害も増大している。
現在のインターネット利用状況の背景にあること、それはコロナ禍による外出の自粛、集会の制限これら活動制限に対して、以前同様に目的を実現する手段としてのインターネットの活用がある。
併せてスマートフォンの普及による、インターネットサービス利用機会の拡大もあり、より身近にインターネットサービスを利用することができるようになったことが挙げられる。
その状況下に置いて、被害増大となっている要因を年代における傾向で考察した。
最初にパスワードの使いまわしについてである。当たり前のことだがパスワードが使いまわされていると、フィッシングされた ID、パスワードをもとに使いまわし先での被害拡大が安易に予想される。
2020 年実施の認証 WG レポート「インターネットサービス利用者に対する「認証方法」に関するアンケート調査結果報告書」（以下 WG レポートと略す）によると、パスワードの使いまわしは、年代ごとの傾向があり、高年齢であるほうが、使い分けが進んでおり、低年齢の方が使いまわしている傾向があった。
同時に、SNS や総合サービスのアカウントでのログインについて、（18 歳から 20 歳代）の利用が 77.5％と SNS 利用度の高い若い世代での利用が高く、60 歳代以上は、29％と低い状況が確認されている。このように SNS などのアカウントによる認証を利用しているのが、低年齢に多いことから、これは、パス
ワードを使い分けているのではなく、SNS サービス認証でのシングルサインオンを利用していることを指していることから、パスワードを使い分けしていな
いとの回答が多いことも想定される。
14

また、認証について面倒と感じているとの回答が低年齢に多い状況からも、低年齢の利用者がなるべく簡単に認証をすましてサービスを利用したいと思っているようである。
次に「インターネットのサービスを利用していて不安に感じることは何ですか」との回答では、「特に不安と感じていない」と回答した（18 歳から 20 歳代）の回答が 43％と大きく、（60 歳代以上）での 20％の倍以上となっている。
「本
人認証の方法について不安に感じたことはありますか」との問いにも、「不安に感じたことはない」と（18 歳から 20 歳代）の回答が 45％と大きく、（60 歳代以上）での 24％と大きく差がある。低年齢においては、生まれたときからイン
ターネット環境が身近にあり、インターネット利用について当たり前的な感覚があるために不安は無いと言っていると思われる。60 歳以上では、i-モード開始などによるインターネット利用が一般化されたときには 40 歳代となっており、その年代から恐る恐る利用してきた年代にとっては、不安要素が多く感じていることと思われる。
もう一つ、働き盛りで資産の移動を活発に行う年代と思われる、30 歳代から
50 歳代においては、認証に対して慎重な対応を求め実施しているようである。
この年代では、70％以上が「より安全と思われる本人認証の方法がオプションで用意されていた場合、利用する」と回答している。40 歳代においては、47％
が「サービス事業者からの、より安全な本人認証についての案内（二段階認証な
どの案内や、セキュリティ設定の推奨事項など）や推奨事項を見て推奨事項に従った」と回答している。
これら利用者の年齢傾向に対して、フィッシング詐欺被害の年齢傾向についての正確な情報は、現在のところ見当たらないが、幾つかのサービスへのヒアリ
ングや、事件の状況から見てみると、被害の年齢傾向からは、若年層、老年層が多く、次いで中年層の順になると想定される。
その要因は、多角的にあると思われるが、上記のように利用者調査からの傾向
から幾つかの要因が見えると思われる。
ID、パスワードの管理については、慣れすぎている低年齢には油断をさせず、面倒がらせずに安全な認証を勧めたり、高年齢には、分かり易い説明と手順でより安心感を持てる認証を利用してもらう努力を惜しまないことが大事だと思われる。
現在においては活発な活用をしている 30 歳代から 50 歳代についても、高齢化した際には、同じ要領で安全な対応ができるか心配なところも出てくるため、

15

不安を感じた際の対応について案内を行う準備が必要かもしれない。
利用するインターネットサービスの内容は同じでも、年代ごとにサービスで扱う資産の大きさが違ったり、時代背景によるリテラシーの差や感覚の差など、利用者の年代による傾向があることは事実のようである。
これら利用傾向が年代ごとに違うことを意識した認証設計や注意喚起を行う
ことが大事であると言える。
【長谷部 一泰アルプス システム インテグレーション株式会社】

16

3. SMS を用いたフィッシング詐欺についての意識調査
SMS を用いたフィッシング詐欺について消費者の意識や被害の実態を調査す
るアンケートを実施した。アンケートは、インターネットリサーチにて対象者を年代ごと、男性、女性の比率などが同等になるよう配慮し、5,275 名から回答を得た。以下、調査結果のポイントについて紹介する。
Q1 フィッシング詐欺の手口で知っている手口を選んでください。※複数回答可（n=5275）
トやサメ
カパイー
ーストル
しドワ
へや
取番ー
誘 S
る号ド
導 M
手等、
し S
ク
口を
、等
レ
だ
I で
ジ
ま
D 偽
ッ

トやト
不
カパー
ース ル正
しドワ さア
取番 ーせプる号ド るリ
手等 、事を口をク でイ
レ
だ
I ン
ジ
ま
D ス
ッ

やめ特
重取定
要引の
し
な先企
取
情を業
る
報装に
手
等い狙
口 、
を い
だ金を
ま銭定

ど
れ
も
知
ら
な
い

100%
80%

男性(n=2624)
75.3

10代(n=405)
59.0

60%

20代(n=440)
42.3

30代(n=442)

40%
22.0

50代(n=443)

20%

60代(n=444)

0%
100%
80%
60%
40%

40代(n=450)

女性(n=2651)
73.5

10代(n=434)
20代(n=446)

52.0

30代(n=453)

32.9
24.3

40代(n=445)
50代(n=437)

20%

60代(n=436)0%

一般的なフィッシング詐欺の手口について知っている手口についての質問では、ID、パスワード、クレジットカード番号などをだまし取る手口が最も知られている手口となった。男女ともにシニア層の方が手口に詳しい。
Q2．フィッシング詐欺と考えられる SMS（携帯のショートメッセージ）を受け取ったことがありますか？（n=5275）

17フィッシング詐欺と考えられるSMSを受け取ったことがありますか？

13.5%

29.3%

ある

57.3%

ない

わからない

半数以上の方は受け取ったことがあると回答しており、SMS を用いたフィッシング詐欺が、身近に迫るものとなっていることがわかる。
Q3．何を装ったフィッシング詐欺でしたか？※複数回答可（n=3021）

何を装ったフィッシング詐欺でしたか？
55.8%

宅配業者
ECサイト

52.3%
38.7%

クレジットカード会社
銀行

26.7%

携帯キャリア

25.7%
18.2%

動画サービス

13.4%

ポータルサイト（Yahoo等）
その他
0.0%

3.7%
10.0%

20.0%

18

30.0%

40.0%

50.0%

60.0%

金融機関を装う手口よりも、宅配業者や EC サイトなど消費者が日常的に利用する接点の多いサービスを装う手口が多いことがわかった。
Q4．SMS のフィッシング詐欺で金銭的な被害にあったことがありますか？
（n=3021）

SMSのフィッシング詐欺で金銭的な被害にあった事がありますか？
全体

96.1%

3.9%

男性全体

94.6%

5.4%

男性/10代

94.3%

5.7%

男性/20代

88.6%

11.4%

男性/30代

89.9%

10.1%

男性/40代

96.6%

3.4%

男性/50代

98.1%

1.9%

男性/60代

96.7%

3.3%

女性全体

97.6%

2.4%

女性/10代

95.4%

4.6%

女性/20代

94.1%

5.9%

女性/30代

98.3%

1.7%

女性/40代

98.6%

1.4%

女性/50代

98.6%

1.4%

女性/60代

99.6%

0.4%

0.0%

10.0%

20.0%

30.0%

40.0%

50.0%

ない

60.0%

70.0%

80.0%

90.0% 100.0%

ある

全体で金銭的被害にあった方の割合は 3.9％のところ、男性の 20 台、30 代
は 10％超と全体の 2 倍以上多い結果となった。攻撃者がターゲットとして選ばれやすい属性である可能性があるため、被害を防ぐには女性や他の年代の男性に比べてより注意が必要と考える。
Q5．SMS のフィッシング詐欺での被害額はいくらでしたか？複数回ある方は一回あたりの最大額をお答えください。（n=118）

19

SMSのフィッシング詐欺での被害額はいくらでした
か？

1.7%

9.3%

32.2%
16.9%

39.8%

被害額1万円未満

被害額1万円～10万円未満

被害額10万円～100万円未満

被害額100万円以上

覚えていない

被害にあわれた方の 72％が被害額 10 万円未満という結果だった。最大額では 382 万円と高額な被害もあった。
Q8．正規の SMS とフィッシング詐欺の SMS を見分ける場合、何で判断しますか？※複数回答可（n=118）

20

正規のSMSとフィッシング詐欺のSMSを見分ける場
合、何で判断しますか？
URL

53.4%

44.9%

送信元番号

42.4%

本文記載の社名

34.7%

メッセージ本文の内容

その他

0.0%

0.0% 10.0% 20.0% 30.0% 40.0% 50.0% 60.0% 70.0% 80.0% 90.0% 100.0%

本文の記載内容だけでは正規の SMS とフィッシング詐欺の SMS を見分けることはできないが、URL や送信元番号は見分ける根拠となり得る。URL や送信
元番号で判断するという回答が本文の記載の社名や内容で判断するという回答
を上回っていたが、大きな差はついておらず、少なからず本文の社名や内容が判断に影響を及ぼしていることがわかった。
Q9．SMS の送信元番号がアルファベットの場合は、国内電話番号の場合と比べて、フィッシング詐欺の可能性が高くなることをご存知でしたか？（n=5275）

21

SMSの送信元番号がアルファベットの場合は、国内
電話番号の場合と比べて、フィッシング詐欺の可能性が高くなる事をご存知でしたか？

22.7%

77.3%

はい

いいえ

送信元がアルファベットの場合は、国際網を経由した SMS である。海外には利用審査や契約手続きも厳格に実施しない事業者が存在するため、フィッシン
グに利用されやすい。海外からの SMS の危険性について 8 割弱の方は認識がなかったと回答している。Q8 では送信元番号で正規の SMS と詐欺の SMS を見分ける判断材料とする回答が 44.9％あり、一定程度注意が払われているようだったが、一方でこの質問の結果を見ると送信元がアルファベットの場合の危険性について、十分認知されているとは言えないことがわかった。
Q10．見知らぬ電話番号から SMS を受け取った場合、検索サイトで該当の電話番号を検索しますか？（n=5275）

22見知らぬ電話番号からSMSを受け取った場合、検索サイトで該当の電話番号を検索しますか？

29.8%

32.6%

37.7%

必ず検索する

必要に応じて検索する検索した事はない

前述のとおり、送信元番号は正規の SMS と詐欺の SMS を見分ける手段になり得るものだが、「検索したことはない」という回答が 29.8％と 3 割近くにのぼった。見知らぬ電話番号から届いた SMS には、すべて取り合わないという場
合は、問題ないが、正規の SMS として扱う必要があれば、企業側が公表している送信元番号を調べて、届いた SMS の送信元番号と照合してから扱うことがフィッシング詐欺への対策になり得る。
＜まとめ＞
フィッシング詐欺で SMS が使われる事例は多くのメディアでも報じられるようになってきているが、今回の調査では消費者のフィッシング SMS 受信の状
況や金銭的な被害の状況、消費者の意識などの情報を得ることができた。
実際にフィッシング詐欺と考えられる SMS を受け取ったことのある人は57.3％にも上り、SMS に記載された URL を開かないなどの被害を防ぐ行動を取っている方も多い一方で、全体の 3.9％が実際に SMS によるフィッシング被害に遭ったことがあるという。またフィッシング手口を知っていても、正規のSMS と詐欺の SMS を見分ける手段については、まだ広く認知されているとは言えないため、今後も利用者向けの周知を強化していかなければならない。

23

＜調査概要＞調査対象者：インターネットモニター会員を母集団とする 10 代から 60 代のス
マートフォンを所有する男女調査方法：NTT コム リサーチによるインターネットアンケート
調査期間：2021/12/03～2021/12/05
有効回答者数：5,275 名
回答者の属性：【性別】男性：49.7％ 女性：50.3％【年代】10 代：15.9％、20 代：16.8％、30 代：17.0％、40 代：17.0％、
50 代：16.7％、60 代：16.7％※調査結果をご利用の際は、「NTT コム オンライン調べ」と明記ください。
【福地 雅之NTT コム オンライン・マーケティング・ソリューション株式会社】

24

4. フィッシングの対策
4.1. 最新の動向
4.1.1. FIDO とフィッシング耐性への期待
近年のサービスではフィッシングやパスワードリスト攻撃などのパスワード
認証に関わるセキュリティ事故から防ぐため、パスワード認証の要件や管理の煩雑化が課題として挙げられるようになった。一方でパスワード認証のセキュリティ対策によりユーザビリティーが損なわれユーザーが離脱することも懸念
され、認証にパスワードを使用しないパスワードレスの技術が注目されている。
FIDO（Fast IDentity Online）と呼ばれるオンライン認証の仕様が策定され、採用するサービスが注目されている。FIDO を活用することで、認証器と認証サーバー間で高度なオンライン認証を実現することができる。認証方法として生体認証などが使用され、現在流通している多くのスマートフォンでも使用できることから、フィッシング詐欺やパスワードリスト攻撃の根本的な対策を行うことが可能になる。
認証情報であるクレデンシャルは端末内で安全に管理されており、インター
ネット上では、クレデンシャルの検証を成功したかどうかがやり取りされており、生体情報はデバイスで安全に保管されているため、セキュリティリスクを大幅に軽減できるという点もある（図 4-1）。
FIDO の 最 新 の 仕 様 に 基 づ い て 提 供 さ れ て い る WebAuthn の API は
Android7 以降および iOS14 以降のスマートフォンで対応されており、スマー
トフォン内の Web ブラウザーで FIDO による認証を行うことができる。また、
FIDO2 に対応した Web ブラウザーと USB 型の認証デバイスなどの組み合わせでも使用できることから多くのデバイスでの活用が可能になる。

25

図 4-1 FIDO の認証モデル

ユーザー体験としては普段使用している生体認証を使用できることから、認証にかかる操作も少なく、パスワード認証と比較してもユーザビリティーも良
くなり、セキュリティ向上と両立することができる。14【松本 悦宜14

Capy 株式会社】

Yahoo! JAPAN Tech Blog、WebAuthn を用いたパスワードレス生体認証のユーザビリティ調査（https://techblog.yahoo.co.jp/entry/2020122330052970/）（閲覧日：2022 年 2 月 21 日）

26

4.1.2. フィッシング関連情報の収集・共有による効果と課題
フィッシング被害を減らすためにさまざまな取り組みがあるが、その中のログ（フィッシング関連情報）を収集することによる犯行グループの特定・逮捕と、被害者の特定・被害の食い止めへのアプローチ、またその課題について記載する。
犯罪の高度化も進んでいるが、不正対策ソリューションもまた進化している
ため、最新動向を把握し、対策も高度化し続ける必要がある。
■犯行グループの特定・逮捕へのアプローチ
犯行グループの特定・逮捕においては、フィッシングサイトや、犯行に利用された ATM や PC・スマホ端末、利用ネットワークなどの手がかりのログを取得
し、調査を行う必要がある。フィッシング被害が各事業者で多く発生しているという背景もあり、ログを取得し調査を行うという取り組みは以前に比べかなり進んできおり、犯行グループの特徴を捉え、逮捕につながった例もある。
ログを取得し調査を行うことは、即時フィッシング被害を食い止めるという結果には直結しないが、各事業者にとっても、これらを実施することでより有効な検知ルールの策定や、対策を講じる上で大変有効であるし、金融庁の各種ガイ
ドラインにもモニタリングの重要性は説かれているため、引き続きログ取得強化を進める必要がある。
■被害者の特定・被害の食い止めへのアプローチ
犯罪の高度化（OTP 突破や被害者の情報入力から送金の短時間化など）が進んでいるが、不正対策ソリューションも進化している。
ログ取得による早期の被害者特定や、その情報を用いた早期のアカウント凍結によって被害を食い止めるような対策も打てるようになってきている。
さらには、犯人や被害者の情報を自社内のみで利用するのではなく、各事業者で共有することにより、犯罪を未然に防ぐといったことも可能となっている。
■課題
一方、各種情報の商用利用も進む中、プライバシー保護の観点で情報が取得しにくくなるような取り組み（iOS15 から利用可能となったプライベートリレーという IP 情報を秘匿するような機能や、広告用 Cookie の利用制限など）も進んでおり、今後犯罪調査の難易度が上がってしまう懸念もある。
令和 3 年版警察白書によると、令和元年の捜査の課題として匿名化技術の悪用が最多となっており、個人が容易に匿名化できる技術の発展は、捜査の難易度

27

をさらに上げてしまうと考えられる15。

図 4-2 サイバー犯罪捜査における事後追跡上の課題

また、各事業者においてはモニタリング体制を構築したからといって慢心せず、外部環境の変化による不正対策の抜け穴を作らぬような対策が必要である。
そのために最新ソリューションの導入や情報収集を継続的に行う必要があるが、ソリューション導入に関してはベンダーロックインの影響もあり、導入に多くの時間と費用がかかってしまうという課題もある。
不正情報や被害者情報を各事業者間で共有し被害を食い止めるという点に関しては、各々の情報の取り扱いなどに関するルールや基準が存在しているためルール整備の難しさという課題もある。
解決すべき課題は複数あるが、不正対策ソリューションの導入や、各事業者間の情報共有が進むことはフィッシング対策において有効であるため、それらの推進を引き続き実施していく必要がある。
【島田 美奈15

株式会社カウリス】

警察庁、令和３年度版警察白書 第 2 節 サイバー空間の脅威への対処「サイバー犯罪捜査における犯人の事後追跡上の課題」（https://www.npa.go.jp/hakusyo/r03/honbun/html/xf221000.html）（閲覧日：2022 年 2 月
21 日）

28

4.1.3. フィッシング対策のシフトレフト
巧妙化や悪質化が進むフィッシング詐欺手口に対し、新たな対策の追加は必要不可欠であるが、フィッシング詐欺発生の阻止、また、初期段階に検知する早期対策の検討も必要である。フィッシング対策協議会の学術研究 WG＜主査：唐沢 勇輔（Japan Digital Design 株式会社／ソースネクスト株式会社）＞では、
長崎県立大学との共同研究活動の中で、フィッシング詐欺におけるプロセスを
「計画」
「調達」
「構築」
「誘導」
「詐取」
「収益化」の 6 つの活動に分類することができた。フィッシング対策を、このプロセスのより計画に近い段階での行う「フィッシング対策のシフトレフト」を検討していく必要がある16。

①計画

②調達

③構築

・Phishing Kit の購入
・サーバー証明書の取得
・ドメインの取得
・企業ブランドロゴやデータの取得
・防弾サーバーの準備
・ホスティングサーバーの準備
・フィッシングメールの送信先一覧の取得
・偽スマホアプリの入手・対象となる組織の選定
・組織の調査 など

④誘導

⑤詐取

・電子メール・SMS テキストメッセージ・検索エンジンポイズニング（SEO
ポイズニング）・中間者攻撃などを利用した通信経路の汚染
・偽アプリのインストール
・類似ドメイン 酷似文字を使用したホモグラフ攻撃・短縮 URL・QR コード・フィッシング詐欺サイトの構築
・正規サイトに侵入しフィッシング
詐欺サイトを構築・詐取した ID などのデータを送信するサーバーを準備⑥収益化

・ID/パスワード、二要素認証などの認証情報やクレジットカード情報、
個人情報を提供するように利用者を騙す・ポイントやマイルを利用し別の商品を入手して転売する・盗んだ情報を転売する・ID 不正利用により別口座に現金を振り込む
一旦収益化のステップが成功すると犯罪者はそのフィッシング詐欺の強化・拡大を狙う場合がある

図 4-3 フィッシング詐欺におけるプロセス

16

フィッシング対策協議会、フィッシング詐欺のビジネスプロセス分類（論文）（https://www.antiphishing.jp/news/info/collabo_20210316.html）（閲覧日：2022 年 2 月
21 日）

29

協議会が発行している事業者向けのフィッシング対策ガイドラインの項目を
このプロセスに沿って分類すると、ほとんどが 4 番目の「誘導」以降となっている。これはフィッシング詐欺の特異な構造が関係している。フィッシング詐欺
は、事業者を模倣したメールやサイトに利用者を誘導し、攻撃者と利用者の間のみで行われる。すなわち事業者から離れたところで行われ、この段階では事業者
対策より利用者本人の対策となってしまい、現在の事業者対策は、「④誘導」「⑤
詐取」に対し本物と区別できるようにする対策、また、「⑥収益化」に対して ID/
パスワードやクレジットカード情報を詐取されたとしても、攻撃者が収益を得にくくする対策が中心となるためである。
表 4-1 フィッシング対策ガイドライン 2021 のプロセスに沿って分類

これらの対策は、フィッシングを繰り返さないためにも重要な対策であり、手を緩めるわけにはいかないが、利用者にフィッシングが及ぶ前に対策する方向がフィッシング対策のシフトレフトと言える。今後のガイドライン改定検討に
おいては、
「計画」
「調達」
「構築」に分類される対策の追加を技術と制度の両面で行っていく必要がある。

30

フィッシング対策ガイドライン 2022 では「③構築」の対策につながる以下の2 点を強化している。
・【要件 22】◎：ドメイン名の登録、利用、廃止にあたっては、自社のブランドとして認識して管理すること
・【要件 32】〇：フィッシング詐欺検知に有効なサービスを活用すること
事業者側においても、今後、「フィッシング対策のシフトレフト」に着目していただき、利用者保護の強化につなげていただきたい。
【加藤 孝浩31

トッパン・フォームズ株式会社】

4.1.4. フィッシングサイトの短時間化と被害発生状況の推移からの課題
フィッシング詐欺が発生してから、そのフィッシングサイトにアクセスできな
くなるまでのアクティブである時間は、傾向として年々短くなっている。2004
年のある分析では 5～6 日であり、2012 年では 1～3 日、2017 年では 24 時
間以内や 4～8 時間といった分析がされており、現在でも多くのケースで同程度ではないかと想定される。

図 4-4 フィッシングサイトがアクティブ時間の推移

また、フィッシング詐欺発生後の被害の時間推移では、2012 年と 2019 年のある分析は概ね同様で、最初の 1 時間が最も多く、順次減少してロングテールとなるものの 24 時間もすればほぼ被害は収束する。フィッシングメールや SMS
は着信直後が最も利用者が反応してしまうであろうことを推測すると、現在のフィッシング詐欺の多くも概ね似たような傾向となっているのではないだろうか。

図 4-5 フィッシング発生からの被害件数の時間推移32つまり、現在のフィッシングサイトは、効率の悪いロングテール部分は捨て、効率の良い冒頭数時間のみ稼働させ、代わりに回数を増やすことで、より多くの利用者情報を詐取する状況となっている。

図 4-6 フィッシングの短時間化・高頻度化

フィッシング詐欺に対抗する手段の一つとして、「ブラウザーやセキュリティソ
フトなどによるフィッシングサイト URL のフィルタリング」があり、現在も有効な手段として広く利用されている。しかし、昨今のフィッシングサイトの短時間化に伴い、フィッシングの発生から URL の反映まで何時間も要してしまうと、フィルタリングによる利用者保護がまったく間に合っていないケースもあるものと考えられる。

図 4-7 フィルタリングによる利用者保護

お客様サービスを提供する各組織は、①一刻も早く発生を認識する。②一刻も早く対処する。ことが一層重要となっている。
「①認識」においては、お客様から連絡をいただきやすくするため、日ごろのお客様コミュニケーションを密とするとともに、連絡先窓口をわかりやすく明示し、またフィッシングサイトを検出する機能やサービスの導入なども検討したい。
「②対処」においては、フィッシ
ング対策協議会への報告や Web などでのお客様周知などを迅速に行うための、

33

社内体制やフローなど仕組みづくりを整備したい。
「①認識」「②対処」において、数分～数十分滞留するだけで、お客様被害がより広がり、場合によっては対処が一切間に合わなかった、という事態は避けたい。
【早川 和実34

NTT コミュニケーションズ株式会社】

4.1.5. 携帯キャリアによる SMS に関する施策・フィッシング対策
最近一年間において各携帯キャリアから下記のプレスリリースがされている。
２０２１年６月：SMS 送受信番号の共通化
２０２１年９月：＋メッセージを各社の MVNO で利用可能に
２０２２年１月：フィッシング SMS 拒否機能の提供開始
SMS 送受信番号の共通化は、企業が個人のユーザーと SMS で双方向のコミュニケーションをする場合に、従来、日本ではユーザーが利用している携帯キャ
リアごとに異なる送信元番号で企業が SMS を送受信していたが、今後はユーザ
ーが利用する携帯キャリアに関係なく共通番号で企業が SMS を送受信することが可能となるものである。
この共通化によりユースケースの拡大が期待され、例えば、テレビ番組を見た視聴者がクイズなどの勝者を予想し正解者にプレゼントを送付すること、コロナ対策としてレストランやイベント会場に行った人が自治体などにその日時を報告17することが SMS のみで可能となる。従来、同じことをするには音声通話などと SMS を併せて利用する必要があったため、手順が複雑で時間がかかりプロセスを完了できないユーザーが存在したと考えられる。
また、フィッシング対策として、企業は利用する SMS の送信番号を個人のユーザーに告知し、異なる送信元の SMS を疑う旨の案内をしているが、その告知
内容がよりシンプルになることで、フィッシング SMS の区別が比較的容易になるという効果も今後の利用拡大とともに期待される。

図 4-8

SMS 送受信番号の共通化

17

株式会社ディー・エヌ・エー、プレスリリース「ワクチン・検査パッケージ」の技術実証の一環として 二次元コード、SMS を活用し クラスター対策を目的とした情報連携調査を実施（https://dena.com/jp/article/3681）（閲覧日：2022 年 2 月 21 日）

35

＋メッセージは SMS の後継のメッセージサービス規格であり、企業のアカウ
ントに「認証済みマーク」が表示されることから、メッセージを受信したユーザ
ーがフィッシング詐欺をより判別しやすい環境にあるが、MVNO ユーザーおよび各携帯キャリアでもフィーチャーフォンなどの一部の端末では＋メッセージが利用できなかった。今回の MVNO とフィーチャーフォンへの拡大により、＋メッセージ利用者２，５００万人（２０２１年７月現在）の更なる増加がフィッ
シング詐欺の判別にも貢献すると考えられる。

図 4-9 ＋メッセージのサービス拡大18

フィッシング SMS を拒否する機能は、今年１月にドコモとソフトバンクから発表された。両社の提供内容は若干異なり、他の携帯キャリアの公式な発表は現時点（２０２２年２月）ではないものの、携帯キャリア４社による情報共有は継続的に行われ、協力することでの相乗効果が見込まれる。ユーザーに届く前の最後の砦として、フィッシングと特定される SMS を携帯キャリアが防ぐことの意
義は大きく、フィッシング被害の減少が期待される。
このような機能は海外携帯キャリアでは一般的だが、日本では電気通信事業
法第四条「通信の秘密」の適用範囲を巡り慎重な検討が行われた結果として、今回提供可能となったという背景も存在する。
【田中 優成,浦田 泰裕

18

株式会社アクリート】

KDDI 株式会社、ニュースリリース「＋メッセージ」が携帯 3 社すべてのブランドと MVNO で利用可能に（https://news.kddi.com/kddi/corporate/newsrelease/2021/09/02/5363.html）（閲覧日：2022 年 2 月 21 日）

36

4.1.6. IT サービス認証における推奨事項
IT サービスを提供する企業は、ユーザー認証を必要とするケースが多く、現在はさまざまな手段から適宜選択し、採用している状況にある。以前からフィッ
シング対策ガイドラインにおいても「複数要素認証を要求すること」を重要５項目に含めており、金融資産の移動などの重要なトランザクションにおいては、複数要素として生体認証の FIDO2 などを推奨してきたが、企業のコスト負担、ア
カウントのリカバリの簡便さとのトレードオフとなる側面がある。
下記にて現状の主な IT サービスのアカウント認証について調査を実施したところ、日々のログイン（金融資産の移動などの重要なトランザクションを含む）
においては各サービスで生体認証や利用者の住所登録に基づき物理的な認証キーを送付するなど、費用対効果に則った方式を採用している一方、アカウントの作成・リカバリについては E メールと携帯電話番号による SMS を利用している状況が一般的である。

図 4-10 主な IT サービスのアカウント認証

E メールによる認証は、サービスを提供する企業にとって極めてコスト負担が少ない方法であることと、重要事項の告知などのユーザーへのコンタクト手段として有効であることから、複数要素認証の１つとしてはスタンダードである
一方、配信経路のインターネット上で傍受されるリスクが存在する。
携帯電話番号による SMS 認証は、コスト面では E メール以上のコストが必要となるものの、郵送コストよりも低コストである点、受信者が最新のスマートフ
ォン・携帯電話端末でなくても受信でき、受信者が気付き易いか否かの観点では、
SMS はプッシュ通知オフに設定されていることが稀であり、受信するアプリをほとんどのユーザーが認識していることから、E メールに加えた複数要素として
37

SMS 認証がベストプラクティスとして、一般に推奨される方法である。なお
SMS の配信形態としては、いくつか方法があるが、最近金融機関や大手企業を中心に普及が進んでいるのは SMS の送信元番号を国内の携帯電話事業者に事前登録が義務付けられる国内直接接続19である。
一方で、海外においては SMS 認証に影響を与える SIM カード不正複製・取替が報告されており、米国 NIST のレポートなど SMS 認証の安全性に懸念する意見が存在していることから、複数の国内携帯キャリアにヒアリングを実施したところ、「海外で報告されている正常な利用者20に対しての SIM カード不正複製・取替は日本の携帯キャリアでは発生しないシステム・運用となっていること」
が確認された。そのため、日本では携帯電話番号の安全性は、海外よりも比較的高いと考えることができる。
【田中 優成,浦田 泰裕

19

株式会社アクリート】

詳細はフィッシング対策協議会のフィッシング対策ガイドライン、フィッシング対策セミナー 2020の当社提供資料に記載
20
パスワードなどが他者に漏えいしていない利用者を指す。

38

4.2. ドメイン関連
4.2.1. ドメイン名の廃止にあたっての注意◆ドメイン名廃止のリスク
合併や事業譲渡に伴う組織名の変更、サービス／キャンペーンの終了などに
より、Web サイトや電子メールで使っているドメイン名を「別のドメイン名に切り替える」「今後は利用しない」と判断することがある。
この時、自組織におけるドメイン名の利用の終了をもって、すぐにそのドメイ
ン名を廃止（登録終了）してしまってよいかを判断するにあたっては、いくつか注意しなければならないことがある。
まず、ドメイン名を廃止した場合、そのドメイン名が自組織による登録状態でなくなる、というだけでなく、一定期間後に第三者が登録・利用できるようになる、ということに留意が必要である。
廃止したドメイン名には、他の Web サイトからのリンクや、検索エンジンによるドメイン名の評価に関する情報が残っている場合がある。そのため、リンク
や検索エンジンを経由したアクセス数の増加を見越し、第三者によりドメイン
名が「ドロップキャッチ21」され、まったく関係のない Web サイトを作られてしまう可能性がある。また、悪意がある場合にはそのドメイン名を利用したフィッシング詐欺や誹謗中傷、ブランド悪用などの行為につながるリスクもある。
さらに、そのドメイン名をメールアドレスとして使っていた場合、ドロップキ
ャッチした第三者が同じメールアドレスを作り、なりすましに悪用する可能性もある。特に、SNS やオンラインサービスに登録したメールアドレスとして利用されているドメイン名を廃止してしまうと、メール経由でパスワードを再設定されてアカウントを乗っ取られたり、機密情報を盗み見られたりするリスクもある。
そのため、利用を終えたドメイン名については、ドメイン名廃止に伴うリスクを考慮し、ドメイン名の登録を継続することも選択肢とすべきである。また、廃止を進める場合でも該当の Web サイトやメールアドレスの終了を外部に周知することや、SNS アカウントなどの削除や設定の削除、登録されているメール
アドレスの変更など、事前に十分に時間をかけた準備を行うことが必要である。
また、利用を終えたサブドメインや廃止後の第三者による再登録に起因するアクセスの乗っ取り（テイクオーバー）リスクへの対策も必要である。該当する
サブドメインやドメイン名が、他のサブドメインやドメイン名から参照先として設定されている場合には、サブドメインの利用終了やドメイン名の廃止前に、参照元となる DNS や外部の CDN サービスなどで設定中の不要な DNS レコー
21

廃止したドメイン名が一時凍結期間を経て、誰でも登録できる状態になる瞬間を狙って再登録を図る行為。

39

ド（A/AAAA・CNAME）・転送設定などを削除しておくことが必要である。
◆属性型 JP ドメイン名における 1 組織 1 ドメイン名の制限緩和
co.jp などの属性型 JP ドメイン名は、原則として 1 組織につき 1 ドメイン名
しか登録できないため、別の属性型 JP ドメイン名を利用したい場合に、これまで使っていたドメイン名を廃止しなければならない、と思うこともあるかもし
れない。
しかし、
「組織名変更」「合併」「事業譲渡」の場合には、複数の属性型 JP ドメ
イン名を登録することができる、制限緩和が利用可能である22。この制度を利用することで、これまで利用していたドメイン名の登録を維持しながら、新しいドメイン名を登録・利用できるようになる。ドメイン名の廃止には前述のようなリスクがあるため、この制度の積極的な利用検討を勧めたい。利用にあたっては所定の手続きが必要になるため、詳細は登録中のドメイン名を管理している事業者に相談して欲しい。
◆誤ってドメイン名を廃止してしまった場合への対処
その意図がないのに誤ってドメイン名を廃止してしまった場合、ドメイン名の種類によっても異なるが、一定期間以内であれば登録回復（登録状態に戻す）などと呼ばれる手続きが用意されていることが多い。対応期間や手続きについてはドメイン名登録をしていた事業者に問い合わせて欲しい。
【佐々木 俊博

22

株式会社日本レジストリサービス】

株式会社日本レジストリサービス(JPRS)、「属性型（組織種別型）
・地域型 JP ドメイン名登録等に関する規則」の改訂について（https://jprs.jp/whatsnew/notice/2014/20140217-rule.html）（閲覧日：2022 年 2 月 21 日）

40

4.2.2. ドメイン名を廃止する前のリスク判定
第三者が新規にドメイン名を取得してフィッシングサイトを立ち上げる事例には枚挙にいとまがないが、公式サイトで利用していたドメイン名が廃止された後に再利用される事例も増えている。
Web サイトやメールで利用していたドメイン名を使わなくなって廃止するのは維持コストからは合理的と言えるが、リスクの視点からはドメイン名の廃止
はリスクが潜在していることを頭に置いておく必要がある。
ドメイン名の用途は大きく２つの Web サイトとメールが挙げられる。
一つ目の Web サイトでは外部サイトから被リンクが張られ、昨今ではソーシャルメディアからの被リンクも増えている。このような外部サイトからの被リンクを削除することは現実的に不可能と言える。これらの被リンクの残り続けると考えられ、ドメインを廃棄することは、第三者に自社サイトへの被リンクを明け渡すリスクがある。実際には利用者が被リンクから発見してサイトオーナーに通報されて発覚している。
二つ目のメール用途では社員個人のメールアドレスで機密情報のやり取りが日常的に行われている。たとえメールサーバー閉鎖の前に、サーバー移行やメー
ルアドレス変更のお知らせを送っていたとしても、受信者が認知するとは限りません。社員メールで利用していたドメイン名を廃止することは、第三者になりすましを許容することになり、Web 用途よりもリスクが高い状況と言える。
いずれの場合も、使用していたドメイン名を廃止することは間接的に利用者や取引先をリスクにさらすことにつながる。そのリスクヘッジ対策の一つがドメイン名の利用状況の記録で、現在の使用状況だけではなく、過去の使用履歴を記録することが重要となる。
廃止後の対応コストを考えると、維持コストのほうが安いケースも多いため、ドメイン名を廃止しない維持し続けることも一つの選択肢となる。
【加藤 恭久

GMO ブライツコンサルティング株式会社】

41

■ コラム ドメイン名再考：DMARC と DNSSEC の導入価値は何か～エンドユーザーの観点で～2021 年後半のフィッシング報告件数は、 フィッシング対策協議会の「2022/01 フィッシング報告状況」23に見られるように、それ以前より多くなっています。
フィッシングサイトの URL も、2021 年以降増加してきました。2019 年の調査ではフィッシングサイトの半分以上が HTTPS を使っているという報告がある一方24、利用者の多い Web ブラウザーは HTTPS に関する表示を簡素化してきており。サイトの正しさを確認するものとしては、ドメイン名が重要な位置づけにあるといえます。
フィッシング対策協議会が作成しているガイドラインでは、事業者向けとユーザー向けいずれにおいても、以前、EV 証明書の表示である緑のバーを確認しやすいように、分かりやすさを追求する説明の糸口がありました。しかし現在は、正しいドメイン名かどうかを判別してもらうという、ユーザーに知識や判断を求める方向になってきています。
それでは、そのドメイン名の確からしさは、エンドユーザーの観点で、どこで危ぶまれるものなのでしょうか。また、ドメイン名の確からしさを確認す
る技術の導入効果は、エンドユーザーにどのように関わってくるものなのでしょうか。これらの観点では、DMARC や DNSSEC といった技術は、そのものの効果よりも、フィッシングに関する一連の流れにおいて、どのような条件でどのような時にエンドユーザーに働きかけるものなのかという点が重要になってきます。本稿では、フィッシングの流れをいくつかのケースに分けて読み解いていき、今後の展望について考察します。
■エンドユーザーにとってのドメイン名
フィッシングに接するユーザーにとってドメイン名と詐称への対策技術、
DMARC や DNSSEC はどのような意味を持つのでしょうか。ここでは、フィッシングメールから始まり、Web ページの閲覧につながる流れについて、いくつかのケースを挙げて考察してみます。フィッシングは SMS やメールといったメッセージを通じてエンドユーザーにアプローチされます。
（本稿
ではドメイン名を扱うためメールに注目します。）メールの本文の中に URLが書かれていて、ユーザーがそれにアクセスし、オンラインサービスのパス
ワードなどを入力するとフィッシングが成立するという流れの想定です。

23

フィッシング対策協議会、2022/01 フィッシング報告状況、（https://www.antiphishing.jp/report/monthly/202201.html）（閲覧日：2022 年 2 月 24 日）
24PhishLabs、More Than Half of Phishing Sites Now Use HTTPS、（https://www.phishlabs.com/blog/more-than-half-of-phishing-sites-use-https/）（閲覧日：2022
年 2 月 24 日）

42この流れの中でドメイン名が現れるタイミングと、ドメイン名の確からしさに関わる DMARC や DNSSEC の効果が現れるポイントを表にまとめてみます。表は左から右に向かってひとマスずつ見ていくようになっています。
ここでは、ケースを 4 つに分けてみます。
下記の表にまとめる前提となる技術導入などの状況は以下のとおりです。
・ DMARC や DNSSEC は導入済みである。
（DMARC の宣言がされており）
ユーザーが利用するメールサーバーでは検証が行われている。ポリシー
は reject もしくは none になっている。
・ メールに URL が記載されており、ユーザーはその URL を使って Web
サイトにアクセスする。
・ Web サイトを提供する Web サーバーにはサーバー証明書が導入されており、サーバー認証に成功すると Web ブラウザーは錠前マークを表示する。
表 4-2 ドメイン名に関する 4 つのケース
1.メール送信ドメイン認証技術の結果

2.メールアドレスの
ドメイン名

枠Y-1

A.フィッシングではないケース• 配送される。
• (正しさの表示) 安
心マーク, BIMI...

4.Webサイトのドメイン名

3.DNSSECの効果• 正しいドメイン名• 検証に成功しが表示されている。→
Webサイトに接→続できる。
• メールのドメイン• 検証に成功し名が紛らわしく、Webサイトに接→
正しいかどうかの続できる。
判断がつきにくい。

枠Y-2→

5.Webサーバ認証技術の結果

枠Z• 正しいドメイ• サーバ認証に成功すン名が表示さ →
る。
れている。

→

• 正しいサイト• サーバ認証に成功すかどうかの判る。
→
断がつきにくい。

→• 正しいサイト• サーバ認証に成功すかどうかの判る。
→
断がつきにくい。

B.メールアドレス
ドメイン名が紛ら
わしい＋サイトのURLが紛らわしい• 配送される。

C.メールサーバの詐称＋サイトのURLが紛らわしい• “reject” → 配送されない。
• “none” → 配送される。

→• 検証に成功し• (配送された場合)
正しいドメイン名
Webサイトに接→が表示されている。
続できる。

D.メールサーバの詐称＋サイトのドメイン名乗っ取り• “reject” → 配送されない。
• “none” → 配送される。

→• 検証に失敗し、• (配送された場合)• 接続できない。
• 接続できない。
正しいドメイン名
Webサイトに接→→→が表示されている。
続できない。

→

枠X各行についてみていきます。文章中の括弧はどの列かを示しています。
〇A.フィッシングではないケース
ユーザーはメールを受信し（1）、メール送信者の正しいドメイン名が表示されます（2）。書かれている URL を使ってアクセスすると本来の Web
サーバーにアクセスし（3）、そこで表示されているドメイン名は本来のものということになります（4）。Web のサーバー認証に成功しています（5）。
〇B.メールアドレスドメイン名が紛らわしい上にサイトの URL が紛らわしいケース
フィッシングメールの例です。メールアドレスのドメイン名はユーザー

43

には紛らわしくても、DMARC の検証は通り、ユーザーはメールを受信します（1）。メール送信者のドメイン名は表示されていますが、ユーザーは正しいかどうかの判別がつきにくい状態です（2）。
メールに書かれている URL のドメイン名に対する DNSSEC 検証は通り（3）、Web サイトにアクセスできても正しいサイトかどうかの判断はつきにくい状態です(4)。Web サーバーの認証に成功し錠前マークは表示されています。これが現在の典型的なフィッシングの流れではないでしょうか。
〇C.送信メールサーバーが詐称されていてサイトの URL が紛らわしいケース
これもフィッシングメールの例です。メールアドレスのドメイン名は正しいですが、送信メールサーバーは本来のものではありません。DMARC
では検証側のポリシーに応じて、ユーザーがメールを受信するかしないかが決まります（1）。メール送信者のドメイン名は正しいものです（2）。
メールに書かれている URL はユーザーにとって紛らわしいものですが、
DNSSEC の検証には通り（3）、紛らわしいドメイン名を持つ Web サイトに接続できることになります（4）。Web サーバーの認証に成功し錠前マークが表示されています（5）。
〇D.送信メールサーバーが詐称されておりサイトのドメイン名が表示されるケース
この例はメールの送信サーバーが本来とは異なるところまでは C と同じです（1）（2）。メールに書かれている URL にユーザーがアクセスすると、偽のメールサーバーが応答するなどドメイン名が詐称されているため、
DNSSEC の検証に失敗し、ユーザーは Web サイトに接続できないことになります（3）。ドメイン名は正しいものですが、接続できないためユーザ
ーは戸惑うかも知れません（4）（5）。
■送信ドメイン認証技術と DNSSEC が導入されるとエンドユーザーの体験
はどう変わるか
前述の表から読み取れることを三点にまとめます。
・ DMARC の検証ポリシーを reject にするとユーザーは、紛らわしいドメ
イン名を判別しなくて良くなる（表中の枠 X）。ただし、DMARC の検証
ポリシーが none であるとメールサーバーの管理者が検知できるだけで、ユーザーに起きることは送信ドメイン認証技術の導入前と変わらない。

44

・ メールアドレスに紛らわしいドメイン名が使われると、ユーザーがフィッシングかどうかを判断するにはドメイン名が正しいかどうかを判別する必要がある（枠 Y1）。Web サイトのドメイン名についても同様である（枠 Y2）。ユーザーにとってドメイン名が紛らわしいということ自体の判定は難しい。
・ DNSSEC の検証で失敗し接続できなくなる挙動は、フィッシングサイト
へのアクセスを抑止するという意味ではユーザーを保護する。しかしア
クセスできない理由が分からなければユーザーは何とかしてアクセスしようとしてしまうかも知れない。これについては改善の方向性がある。IETF の RFC8914 に記載されている Extended DNS Error（拡張DNS エラー）25や、提案中の DNS Access Denied Error Page（DNS
アクセス禁止に関するエラーページ）26である。これらのエラーを受けた Web ブラウザーの表示がどうなっていくのかが注目される。
送信ドメイン認証技術と DNSSEC が偽ドメイン名に関するユーザーへの注
意喚起という意味で機能していない場合、Web サイトで紛らわしいドメイ
ン名が使われていると、サーバー認証には成功してしまいます。そのため、ユーザーは錠前マークを見て安心してしまう可能性があります（枠 Z）。十分に導入されているとは言い難い現在、ユーザーにフィッシングサイトの利用を避けていただくには、Web サイトのドメイン名が正しいかどうかを確認いただくしかないということになります。
■考察-現在と今後
まず前述のことからわかることは、DMARC などのメール送信ドメイン認証の検証ポリシーを"reject"にするような普及ができれば、ユーザーの判別に頼らなくて良くなるということになるということです。
Web サーバー認証技術は、サーバー証明書の種類であるドメイン検証（DV）・組織検証（OV）
・拡張組織検証（EV）の違いがあり、フィッシング
サイトのほとんどが DV 証明書を使っているという報告があります27。しかしそうだとしても、その結果表示が変わり、その表示に応じてユーザーが、クレジットカード番号を入力しない、ユーザーID やパスワードを入力しないといった挙動を変えられるようになっていない限り、導入効果が現れにくいことになります。
DNSSEC は紛らわしいドメイン名を検出することに関して効果を発揮しま

25

Extended DNS Errors(RFC8914)、（https://datatracker.ietf.org/doc/html/rfc8914）（閲覧日：
2022 年 2 月 24 日）
26
DNS Access Denied Error Page,（https://datatracker.ietf.org/doc/draft-reddy-dnsop-errorpage/）（閲覧日：2022 年 2 月 24 日）
27
USENIX、Certified Phishing: Taking a Look at Public Key Certificates of Phishing Websites、（https://www.usenix.org/system/files/soups2019-drury.pdf）（閲覧日：2022 年 2 月 24 日）

45

せんが、特定のドメイン名に対する有名なキャッシュポイズニングといった、ユーザーが気付きにくいリスクを避ける基盤的な位置づけであるといえます。その検証失敗についていかにユーザーに伝えていくのかが今後の課題ではないでしょうか。
各々の技術がユーザーの視点でどのような役割を果たすものであるかを踏まえた上で、ユーザーがフィッシングサイトを使わなくなるような効果を得られるような技術普及が望まれます。
【木村泰司

一般社団法人日本ネットワークインフォメーションセンター】

46

5. まとめ
フィッシングレポートは、WG のメンバーに最新のフィッシングの動向やフィッシング対策の最新技術の動向などを書いていただいている。１．フィッシン
グの動向にあるように、この一年のフィッシングは急増し、手法もユーザーの反応時間が短い傾向にある SMS が増加し、それに伴いフィッシングサイトの存続
時間も短くなり、フィッシング関連情報の収集・共有にも新しい取り組みが必要となっており、フィッシング URL の早期配信についても新しい取り組みが必要になっている。新しいユーザー認証技術としては FIDO が期待されているが、その一方で、既存のフィッシング対策技術をきちんと使っていただく必要もあり、IT サービス事業者が認証を行う点での推奨事項やベストプラクティスに対するさらなる理解も必要である。
一方で、技術的対策のみでは難しくなっている。また技術的対策の多くはフィッシングが実行される段階での対応となっている。そこで、フィッシングの実行前の段階での対応を考えられないかということで、シフトレフということで、実行前段階での対策や技術的対策以外の対策についても考察をしていただいた。
フィッシング対策ということで、ユーザーにわかりやすくドメインの認知してもらうなど、ドメインの管理の問題が重要になってきている。そこで、ドメイン関連ということで、ドメイン名の廃止にあたっての注意や廃止されたドメイ
ン名のドロップキャッチの事例についても書いていただいた。また、フィッシン
グ対策としてのドメイン名について、ユーザー視点でどういう意味があるのかを含め再考ドメイン名ということで考察いただいた。
今年度のフィッシングレポートも WG のメンバーにいろいろな視点で文書を投稿いただき、現状のフィッシングの展望や課題について幅広く記述された内容となっていると思われる。寄稿いただいた技術・制度検討ワーキンググループのメンバーの方には、あらためてお礼を述べたい。
【野々下 幸治

47

トレンドマイクロ株式会社】

（空白）

48

フィッシング対策協議会

技術・制度検討ワーキンググループ
構成員名簿（敬称略・順不同）【主査】
野々下 幸治

トレンドマイクロ株式会社

【構成員】
田中 優成
浦田 泰裕
長谷部 一泰株式会社アクリート
株式会社アクリート
アルプス システム インテグレーション株式会社

早川 和実
福地 雅之
黒田 和宏
島田 美奈
福岡 省吾
松本 悦宜
加藤 恭久
加藤 孝浩
遠藤 淳
佐々木 俊博NTT コミュニケーションズ株式会社
NTT コムオンライン・マーケティング・ソリューション株式会社
NTT コムオンライン・マーケティング・ソリューション株式会社
株式会社カウリス
株式会社カウリスCapy 株式会社
GMO ブライツコンサルティング株式会社
トッパン・フォームズ株式会社
株式会社日本レジストリサービス
株式会社日本レジストリサービス

木村 泰司
貞広 憲一
立石 聡明
加藤 雅彦
稲葉 緑

一般社団法人日本ネットワークインフォメーションセンター
株式会社セブン銀行（2021 年 11 月まで）
一般社団法人日本インターネットプロバイダー協会
長崎県立大学
情報セキュリティ大学院大学【オブザーバー】
経済産業省商務情報政策局サイバーセキュリティ課【事務局】
一般社団法人 JPCERT コーディネーションセンター
エム・アール・アイリサーチアソシエイツ株式会社（株式会社三菱総合研究所）

49