Council of Anti-Phishing Japan

デジタル署名者 : Council of Anti-PhishingJapan
DN : c=JP, st=Tokyo, l=Chuo,
serialNumber=AATL20230919315102,
o=Council of Anti-Phishing Japan, cn=Councilof Anti-Phishing Japan, email=antiphishingsec@jpcert.or.jp
日付 : 2024.06.13 15:23:45 +09'00'

フィッシング対策ガイドライン
2024 年度版

フィッシング対策協議会
https://www.antiphishing.jp/

序
現在、フィッシング対策協議会で統計がとられているフィッシング報告件数は高い水準にある。4 年ほど前の 2020 年 4 月から 2021 年 3 月にかけては 1 万件から 4 万件に“増加”していた。しかし 2023 年は 4 月の段階ですでに 9 万件を超え、2023 年 10 月には 15 万件に達している。この状況下、関係省庁などでの動きも多い。金融庁からはインターネット
バンキングにおける不正送金被害が過去最高になっている旨の注意喚起が、経済産業省、
警察庁および総務省からは、クレジットカード会社等に対して送信ドメイン認証技術（DMARC）の導入をはじめとするフィッシング対策の強化が要請された。Web サイトの運営等を行う事業者は急ぎ対策を講ずべき状況にある。
本ガイドラインは、フィッシング対策協議会 技術・制度検討 WG において、その趣意の下、有識者である WG メンバーの持つ最新情報や知見を盛り込んで作成されたものである。
フィッシング対策となる事項やユーザーが被害を受けた時に行うべき対応事項を集約し、それらの扱いの参考のために重点を置くべき度合などを示している。
本ガイドラインの作成にあたっては、その使いやすさや読みやすさを向上させ、より役立つものになるように全体的な更新を行った。これらの更新作業は、フィッシング対策協
議会の中で行われたワークショップで挙げられたコメント等を受けたものである。
⚫

基本的な概念の説明や用語集を付録に移動⚫

より簡潔なものにしていくための情勢の変化を受けた項目削除⚫

要件を示す内容とその実施方法を示す内容とを分別⚫

最新情報へのアップデート

フィッシング被害を低減させ、なくしていくために、本ガイドラインをお役立ていただ
きたい。
フィッシング対策協議会
技術・制度検討ワーキンググループ

目次
1. はじめに .................................................................................................................................... 1
1.1 本ガイドラインの想定読者および目的 ....................................................................................1
1.2 本ガイドラインの対象としない領域 ........................................................................................1
1.3 本ガイドラインの構成と使い方 ...............................................................................................1
1.3.1 Web サイト運営者が考慮すべき要件一覧 ....................................................................... 2
1.4 付録について..............................................................................................................................4
2. フィッシング対策ガイドライン重要 5 項目 .............................................................................. 5
3. WEB サイト運営者におけるフィッシング対策......................................................................... 8
3.1 WEB サイト運営者におけるフィッシングの被害とは.............................................................8
3.2 利用者を守るためのフィッシング対策とは ............................................................................8
3.3 フィッシング被害の発生を抑制するための対策 .....................................................................93.3.1 利用者が正規メールとフィッシングメールを判別可能とする対策 ............................ 10
3.3.2 利用者が正規サイトを判別可能とする対策 .................................................................. 14
3.3.3 フィッシング被害を拡大させないための対策 .............................................................. 14
3.3.4 ドメイン名に関する配慮事項 ......................................................................................... 17
3.3.5 フィッシングへの備えと発生時の対応 .......................................................................... 20
3.3.6 利用者への啓発活動 ........................................................................................................ 21
3.4 フィッシング被害の発生を迅速に検知するための対策 ...................................................... 22
4. フィッシング対策マニュアル .................................................................................................. 24
4.1 フィッシング被害が発生してしまった際の対応と対策 ...................................................... 24
4.1.1 フィッシング被害状況の把握 ......................................................................................... 26
4.1.2 URL フィルターへ登録 ................................................................................................... 26
4.1.3 フィッシングサイトのテイクダウンまたは無効化 ....................................................... 26
4.1.4 フィッシングメール注意勧告 ......................................................................................... 27
4.1.5 関係機関への連絡、報道発表 ......................................................................................... 30
4.1.6 生じたフィッシング被害への対応 ................................................................................. 30
4.1.7 事後対応 ........................................................................................................................... 30
4.2 利用環境に関する注意喚起について ..................................................................................... 31
5. 利用者におけるフィッシング対策 .......................................................................................... 32
6. 付録.......................................................................................................................................... 33
付録 A－フィッシングに関する基礎知識.................................................................................... 33
付録 B－SMS（ショート・メッセージ・サービス）を利用したフィッシング ...................... 37

付録 C－用語集 ............................................................................................................................. 40
付録 D－参考情報 ......................................................................................................................... 43【マンガでわかるフィッシング対策 5 ヶ条】 ....................................................................... 43【情報サイト】 ......................................................................................................................... 43【業界団体と各省庁のサイト】 .............................................................................................. 43【安全な Web サイトの利用】 ................................................................................................ 44【サイトの脆弱性対策】 .......................................................................................................... 44【送信ドメイン認証】.............................................................................................................. 44【CSIRT への支援要請】 ......................................................................................................... 45【Web ブラウザーのフィッシングサイト対策機能】 ........................................................... 45【フィッシング 110 番】 ......................................................................................................... 45【国民生活センター・消費生活センター】 ........................................................................... 45【その他の一般向け相談先】 .................................................................................................. 45【STOP. THINK. CONNECT. キャンペーン】 ....................................................................... 46【フィッシング対策協議会】 .................................................................................................. 46
付録 E－プロバイダーへのテイクダウン要請文例..................................................................... 48
付録 F－事業者における NG 集 ................................................................................................... 49
付録 G－制作・送信に関するガイドラインに含めるべき内容 ................................................. 52
付録 H－フィッシング対策チェックリスト ............................................................................... 53
7. 検討メンバー ........................................................................................................................... 57

本ガイドラインの改定および公開は、一般社団法人 JPCERT コーディネーションセンター
が経済産業省より委託を受けた「サイバー攻撃等国際連携対応調整事業」の一環として実施したものです。

1. はじめに本章では、本ガイドラインの目的と適用範囲など本ガイドラインに関する概要を記す。
本ガイドラインで用いられているフィッシングの基本的な概念や用語については付録を参照いただきたい。

1.1 本ガイドラインの想定読者および目的
本ガイドラインは、フィッシングによる被害を受ける可能性のある利用者および Web サイト運営者がフィッシングの手法により不正に利益を得ようとする者に対して講じておく
べき対策について、適切かつ有効であるという観点から選択・整理し、提示することを目的としている。

1.2 本ガイドラインの対象としない領域
本ガイドラインでは、フィッシング対策に焦点を絞るため、以下の領域については言及しない。
⚫

Web サイト運営者における機密性、完全性および可用性の確保⚫

利用者におけるウイルス、スパイウェアなどのマルウェア対策（フィッシングに悪用されるものについては考慮）

Web サイトの安全性については、（独）情報処理推進機構「安全なウェブサイトの作り方」1など、Web サイト構築に関するセキュリティガイドラインを参照しつつ、外部専門機関などを活用して、正規サイトの安全性を確保・検証することが不可欠である。
また、サービス、サーバー機器、ネットワークなどに関する安全管理の詳細については、同機構のシステム管理者向け情報セキュリティ関連情報2などを参考にしていただきたい。

1.3 本ガイドラインの構成と使い方
本ガイドラインは第 2 章に本 WG メンバーによって特に重要として選ばれた項目が挙げられている（表 1-1）。Web サイト運営者等、フィッシングに対する対策を事前に行うためには第 2 章の「重要項目」が守られているかをまず確認いただきたい。その詳細やより強い対策を講じるためには第 3 章の各項目を参照いただきたい。フィッシング被害が発生してしまった際についてまとめられているのは第 4 章である。

1

https://www.ipa.go.jp/security/vuln/websecurity/about.html

2

https://security-shien.ipa.go.jp/－1－表 1-1 フィッシング対策ガイドライン重要項目（第 2 章）
重要項目 1

利用者に送信するメールでは送信者を確認できるような送信ドメイン認証技術等を利用すること

重要項目 2

利用者に送信する SMS においてはなりすましが起きにくいサービス（国内で直接接続される送信サービス）を利用し、発信者番号を利用者に告知すること

重要項目 3

複数要素認証を要求すること

重要項目 4

ドメイン名は自己ブランドと認識して管理し、利用者に周知すること

重要項目 5フィッシングについて利用者に注意喚起すること

1.3.1 Web サイト運営者が考慮すべき要件一覧
第 3 章に書かれている要件項目を以下に示す。「◎」は考慮を必須とする項目であり「〇」は考慮を推奨する項目である。
【利用者が正規メールとフィッシングメールを判別可能とする対策】
要件 1◎

利用者が確認できるように利用環境と分かりやすい説明に配慮した上で、どのように確認すればいいのかを分かりやすく端的に説明するこ
と。

要件 2

◎

外部送信用メールサーバーを送信ドメイン認証に対応させること

要件 3

◎

利用者へのメール送信では、制作・送信に関するガイドラインを策定し、これに則って行うこと

要件 4

◎

利用者に送信する SMS には国内直接接続の配信、または、RCS 準拠
サービスを利用すること【フィッシング被害を拡大させないための対策】
要件 5◎

利用者が安全にサービスを利用する環境を整えるように促すこと（※旧要件 9）要件 6◎

複数要素認証を要求すること

要件 7

◎

資産の移動に限度額を設定し、変更・移動時は通知を行うこと

要件 8

〇

利用者の通常とは異なるアクセスや登録情報の変更や登録情報の変更に対しては追加のセキュリティを要求すること

要件 9

〇

重要情報の表示については制限を行う

要件 10

◎

不正利用も含めたアクセス履歴の可視化【ドメイン名に関する配慮事項】
要件 11

◎

ドメイン名を自社のブランド戦略の一貫として考えること－2－

要件 12◎

使用するドメイン名と用途の情報を利用者に周知すること

要件 13

◎

ドメイン名の登録、利用、廃止にあたっては、自社のブランドとして認識して管理すること【フィッシングへの備えと発生時の対応】
要件 14

◎

フィッシング対応に必要な機能を備えた組織編制とすること

要件 15

◎

フィッシング被害に関する対応窓口を明記すること

要件 16

◎

フィッシングの手法および対策に関わる最新の情報を収集すること

要件 17

◎

フィッシングサイトへの対応体制の整備をしておくこと【利用者への啓発活動】
要件 18

◎

利用者が実施すべきフィッシング対策啓発活動を行うこと

要件 19

◎

フィッシング発生時の利用者への連絡手段を整備しておくこと【フィッシング被害の発生を迅速に検知するための対策】
要件 20

〇

Web サイトに対する不審なアクセスを監視すること

要件 21

◎

フィッシング検知に有効なサービスを活用すること

要件 22

◎

DMARC レポートやバウンスメールを監視すること－3－

1.4 付録について
付録には利用者への注意喚起に利用しやすいサイトや最新情報のリンク集「参考情報」
もある。
付録 A

フィッシングに関する基礎知識…

付録 B

フィッシングの手口やそのメカニズムが解説されている。

SMS（ショート・メッセージ・サービス）を利用したフィッシング
…

架空請求などのメカニズムや発信番号の違いが解説されている。

付録 C

用語集

付録 D

参考情報

付録 E

プロバイダーへのテイクダウン要請文例

付録 F

事業者における NG 集

付録 G

制作・送信に関するガイドラインに含めるべき内容

付録 H

フィッシング対策チェックリスト－4－2. フィッシング対策ガイドライン重要 5 項目
以下に、重要 5 項目を解説する。

重要項目[1] 利用者に送信するメールでは送信者を確認できるような送信ドメ
イン認証技術等を利用すること
悪質なフィッシングメールの中に送信者（From:）を騙ったものがある。利用者等
がフィッシングメールを判定可能にするためには DMARC 等の送信ドメイン認証技術を利用し、メールにおける送信者のドメイン名を詐称されないようにすることが対策の第一歩となる。それにより利用者に正規メールのドメイン名を確認させることの効
果が担保できるようになる。また、S/MIME を導入することでスマートフォンを含む
一部のメール環境において、電子証明書を通じた送信者の確認と配信途中に改ざんされていないことの確認ができるようになる。
なお、送信者が正規かどうかを分からないようなメールのドメイン名を利用すると、これらの技術導入の効果は期待できなくなる。重要項目３を参照のこと。
送信ドメイン認証技術の導入によって、スマートフォン等においてブランドのマー
クが表示される認証マーク証明書（VMC）やブランドアイコンが表示される Web メールのサービスが利用可能になる。これらによってドメイン名の知識のない利用者にも送信者が確認できるようになるため、本ガイドラインではこれらの導入も推奨する。
【フィッシング対策ガイドラインの参照箇所】◎要件 1

利用者が確認できるように利用環境と分かりやすい説明に配慮した上で、どのように確認すればいいのかを分かりやすく端的に説明すること。

◎要件 2

外部送信用メールサーバーを送信ドメイン認証に対応させること

重要項目[2] 利用者に送信する SMS においてはなりすましが起きにくいサー
ビス（国内で直接接続される送信サービス）を利用し、発信者番
号を利用者に告知すること
オンラインサービスの運営者は、SMS を使って利用者にメッセージを送る際、フィッシングに利用されることが少ない国内直接接続の SMS 配信を利用し、事前に発信者
番号を Web サイトなどで告知することが重要である。
【フィッシング対策ガイドラインの参照箇所】◎要件 4

利用者に送信する SMS には国内直接接続の配信、または、RCS 準拠サービスを利用する
こと

付録 B

「SMS（ショート・メッセージ・サービス）を利用したフィッシング」－5－重要項目[3] 複数要素認証を要求すること
フィッシングを行っている者（フィッシャー）が不正に知り得たログイン情報（クレデンシャルと呼ぶ）だけでログインできないようにすることは、フィッシング被害が起きないようにするために重要である。そのためには、ユーザー認証を行う際に、乱数表やワンタイムパスワード、生体認証などの複数要素認証を求めるようにすることが必要である。
特に資産の移動機能（他金融機関への振込み、商品の購入など）を提供している場
合には、資産の移動操作実行時にも再認証や複数要素認証を求めるようにすることが望ましい。複数要素認証の一手法としてワンタイムパスワードを発行する場合には、第一の認証とは異なる経路（例：第一の認証を ID・パスワードで求めたとすれば、ワンタイムパスワードをユーザーのメールアドレスに送るなど）を利用することが望ましい。また、利用者が法人の場合、申請者とは異なる承認権限者による承認を求めるなどの対策も考えられる。
普段、利用者が複数要素認証に慣れていると、フィッシングサイトにアクセスした
際に利用者自身が普段と異なることに気付く効果も挙げられる。
【フィッシング対策ガイドラインの参照箇所】◎要件 6

複数要素認証を要求すること

重要項目[4] ドメイン名は自己ブランドと認識して管理し、利用者に周知すること利用するドメイン名は、自社のブランドとして大切に管理することが必要である。
また、正しいドメイン名について繰り返して利用者に示す必要がある。
企業においてドメイン名の登録・利用を行う場合、ドメイン名の管理を担当する部
門・要員を決め、管理のためのルール・手順を社内で確立し十分に共有・周知しておくことが重要である。組織内の複数の部門からそれぞれの利用目的のために勝手に複数のドメイン名管理サービスが利用されるような状況であると、その全容把握ができず、セキュリティ配慮に欠けた運用がなされたり、管理が放置されたりする。
また管理下のドメイン名はなりすましメール送信などに不正利用されないよう、
DMARC で保護する。特にメールを送らない（Web サービスでのみ利用など）ドメイ
ン名や、保有しているだけのパークドメイン名は、reject ポリシーにする。

－6－

【フィッシング愛作ガイドラインの参照箇所】◎要件 11 ドメイン名を自社のブランド戦略の一貫として考えること◎要件 12 使用するドメイン名と用途の情報を利用者に周知すること◎要件 13 ドメイン名の登録、利用、廃止にあたっては、自社のブランドとして認識して管理すること

重要項目[5] フィッシングについて利用者に注意喚起すること
フィッシングが定常的に発生している場合は、利用者がいつでも情報にたどり着け
るよう、トップページ等にリンクを掲載しておく。フィッシング被害が急増したり、手法が変化したりした場合は、新たに情報を掲載して注意を呼びかけることも検討すること。
【フィッシング対策ガイドラインの参照箇所】◎要件 15 フィッシング被害に関する対応窓口を明記すること◎要件 18 利用者が実施すべきフィッシング対策に関する啓発活動を行うこと◎要件 19 フィッシング発生時の利用者への連絡手段を整備しておくこと－7－

3. Web サイト運営者におけるフィッシング対策
本章では、フィッシングの標的、つまり、フィッシングサイトを設置され、利用者のア
カウント情報などを窃取されるリスクを負っている Web サイト運営者にとって、被害が発生する前に心がけて置くべき対策、および被害が発生した際の対応事項について記述する。
なお、本ガイドラインで提示する対策事項では、実施必要性について以下のような優先度を設定している。
【対策事項の実施必要性】◎： 実施すべきと考えられるもの○： 実施を推奨するもの△： 必要に応じて実施すべきもの

3.1

Web サイト運営者におけるフィッシングの被害とはWeb サイト運営者のフィッシングによる被害を考えてみると、事業者職員がフィッシン
グにより情報を詐取される状況を除けば、直接的な被害は利用者（登録会員）サイドで発生し、Web サイト運営者にとっては、間接的に発生する利用者の信頼喪失および利用者に対する損害補償の二点になる。
さらに、自らのサイトを模倣したフィッシングサイトの設置により、利用者に多大な被害が発生した場合、Web サイト運営者の過失が実際にあったのかどうかに関わらず、利用者の間では Web サイト運営者のサイト利用に不安が生じ、利用者離れ、ひいては利益の損失につながることになる。
相手の姿が直接見えることのないインターネットの性質上、Web サイト運営者と利用者の信頼を築くことは容易なことではない。利用者保護および信頼確保の視点を持ち、Web
サイト運営者においても、十分なフィッシング対策を実施すべきであろう。

3.2 利用者を守るためのフィッシング対策とは利用者がフィッシング被害に遭う際の事象の流れを示す。

－8－

図 3-1 利用者サイドでのフィッシング被害発生フロー
利用者のフィッシング被害を抑制するためには、利用者自身の対策、心構えなどに付いて啓発することが最も重要であるが、Web サイト運営者サイドにおいて実施すべき対策がある。フィッシング被害の発生を抑制するための対策、フィッシング被害の発生を迅速に検知するための対策、フィッシング被害が発生してしまった際の対策などである。
以降では、この三種の対策について具体的に述べていくことにする。

3.3 フィッシング被害の発生を抑制するための対策
フィッシングは、計画→調達→構築→誘導→詐取→収益化の 6 つの行動によって行われる（フィッシング対策協議会 学術研究 WG フィッシングのビジネスプロセス分類より）。
事業者は、この行動に沿った対策を行うことが望ましい。

－9－図 3-2 6 つの活動
①計画：

フィッシングの計画を立てる（フィッシング対象となる組織の選定、組織の調査など）②調達：

フィッシングを行うために必要なツールや情報を調達する（Phishing Kit の購入、フィッ
シングメールの送信先一覧の取得など）③構築：

フィッシングに必要なシステムを構築する（フィッシングサイトの構築など）④誘導：

フィッシングサイトなどへ誘導する（フィッシングメール/SMS の送信など）⑤詐取：

フィッシングサイトに入力させ、情報を騙し取る（ID やパスワード、複数要素認証などの認証情報の詐取。クレジットカード情報の詐取など）⑥収益化：犯罪者が騙し取った情報をもとに金銭的な利益を得る（正規サイトへの不正ログインにより別口座に現金を振り込む。盗んだ情報を転売するなど）

3.3.1 利用者が正規メールとフィッシングメールを判別可能とする対策
通常フィッシングメールは、Web サイト運営者の送信している正規メールの文面を模倣した自然な文面となっていることから、正規のメールとの見分けることが難しくなってい
る。
【要件1】

◎：利用者が確認できるように利用環境と分かりやすい説明に配慮した上で、どのように確認すればいいのかを分かりやすく端的に説明すること。

ドメイン名から送信された正規メールに表示されるブランドのロゴや公式マーク、
メールに付与する電子署名は、メールを使って利用者をフィッシングサイトに誘導する手法に対する技術的な対策として位置づけられる。しかし技術による対策を取っていても、そのことが利用者に伝わらなければ意味がなくなってしまう。
2022 年現在、国内で利用者が多い大手メールサービスは、BIMI に対応しており、
S/MIME もまたスマートフォン標準のメールアプリで確認できるため、このような正規メールの確認に必要な技術に対応し、その確認方法を周知する。
例えば、〇〇銀行を名乗るメールが届いたときにそれが正規のメールであるか否かことが判別できるように、ブランドのロゴや公式マークが表示された本物メールと表示されない偽物メールの違いを掲載する、S/MIME の電子署名が正しいかどうか確認する方法を掲載する、など考えられる。

－ 10 －

また、S/MIME による電子署名は、送信元のメールアドレス単位で署名を行うため、連絡内容（メールアドレス）によって、電子署名をつけたりつけなかったりすると、利用者は電子署名が施されていないことがあると認識してしまい、効果が半減する。
したがって S/MIME による電子署名を行う際には、送信に使用するすべてのメールア
ドレスで電子署名を施すことが必要となる。
【要件2】◎：外部送信用メールサーバーを送信ドメイン認証に対応させること【指針】
外部送信用メールサーバーは SPF、DKIM、DMARC、BIMI の送信ドメイン認証に対応し、さらに DMARC による、なりすましメールに対する受信制御ポリシーを設定すること。
【マニュアル】
SPF（Sender Policy Framework）は送信元メールサーバー（IP アドレス）の認証を、DKIM（Domain Keys Identified Mail）はメールヘッダーや本文への電子署名により メ ー ル 本 体 の 認 証 を 行 う 技 術 で あ り 、 DMARC （ Domain-based Message
Authentication,
Reporting & Conformance）は、送信ドメイン認証技術の SPF や DKIM を補強する技術であり、なりすましメールで発生する SPF、DKIM の認証失敗状況から、そのメールを利用者に届く前に、プロバイダー側で受信を拒否、または、迷惑メールボック
スに入れるなどの制御が可能となる。
DMARC 認証を満たすためには、SPF 認証と SPF アライメント、または DKIM 認証と DKIM アライメントのいずれかを満たす必要がある。SPF アライメントを満たすた
めには、From:ヘッダーのドメイン名と return-path ヘッダーのドメイン名の一致、
DKIM アライメントを満たすためには、ヘッダーFrom のアドレスが、DKM 署名の「d=」で指定したドメイン名と一致する必要がある。
DMARC の「メールの受信制御ポリシー」は、以下の 3 つの受信制御ポリシーを選択することができるが、なりすましメールの対策として DMARC のポリシー “reject”を設定することが重要である。
1.

そのまま受信させる（none）

2.

隔離させる（quarantine）

3.

受信を拒否する（reject）
例えば正規メールアドレスになりすましたフィッシングメールが送信された場合、

SPF、または、DKIM の認証が失敗した情報から、プロバイダーは指定された受信制
御ポリシーにしたがって受信を拒否（reject）することができ、なりすましメールを－ 11 －

利用者に届けない制御が可能となる。また、DMARC はプロバイダー側から Web サイト運営者に詳細な認証結果のレポートを送る仕組みを有しており、フィッシングメー
ルの発生状況の把握やなりすましメールの送信元の特定などが可能となる。事業者は受信に影響のない、受信制御ポリシー「none」による現状把握から開始し、正規メー
ルが認証されて届いていることを確認したのち、次に「quarantine（隔離させる）」「reject（受信を拒否する）」の受信制御（DMARC Enforcement）を行う。ポリシー
が「none」のまま運用を続けると、なりすましメールは受信者へ素通しで届き続ける
ため、被害抑制にならず、フィッシングで狙われる続ける要因となる。
またさらに、正規ドメインから送信される認証済みメールの視認性を向上させる
BIMI（Brand Indicators for Message Identification）を活用することも有効である。
事業者がBIMI を設定すると、利用者側の BIMI に対応するメールソフトにて、組織のブランドロゴなどを表示することができる。これにより、受信者は正規のメールであることを確認することができる。

図 3-3 送信ドメイン認証技術の比較【要件3】◎：利用者へのメール送信では、制作・送信に関するガイドラインを策定し、これに則って行うこと【指針】
Web サイトの模倣を防ぐことができないことと同様、メールを模倣されることを防ぐことはできないが、メール作成に関するガイドラインを策定し、これに社内・組織
内が統一的に則って作成・送信することで、利用者がフィッシングメールに対して「いつもと何か違う」と気付きやすくすることができる。ガイドラインは、付録 E を参考にすることが望ましい。
【指針のための実施事項】－ 12 －

メール制作・送信に関するガイドラインには、差出人、件名の書き方、本文の構成や段落の使い方、表現や用語の統一、本文下部の問い合わせ先や配信停止などの定型
フッター様式、配信時間帯、メール形式、情報発信手段（SMS、メール、SNS）など、多岐に亘る内容を盛り込むことが望ましい。
フィッシングメールの多くは被害者に意識させずリンクを踏ませるため HTML 形式で作成されている。HTML 形式では、フィッシングサイトのリンクを無害なリンクに見せかけることが容易である（例：<a href=”フィッシングサイトのリンク”>無害なリンク</a>）。
利用者に無用なリスクを負わせないためにも、Web サイト運営者が利用者に送信するメールはテキスト形式で作成することが望ましい。テキスト形式以外で作成する場
合には、メール全文をコピーし、リンクだけを差し替えたフィッシングメールを作成・悪用されるリスクを理解した上で送付する。
宣伝広告を目的とするメールに画像表示やボタン型リンクを用いるため HTML 形式を採用する場合には、利用者がテキスト形式か HTML 形式かを選択できるように配慮することが望ましい。
また、メール送信の際は、送信ドメイン認証 DMARC で保護されたドメイン名のメールアドレスから送信する。DMARC で保護されていない場合、正規メールと同じメールアドレスやドメイン名を使って「なりすまし」メールを送ることが可能であり、利用者は本物か否か判断ができないため、被害が発生しやすくなる。
【要件4】◎：利用者に送信する SMS には国内直接接続の配信、または、RCS 準拠サービスを利用すること

SMS（Short Message Service）を利用したフィッシングでは、SＭＳの送信元がアルファベット、海外国番号を含むものが過去から使われてきたが、最近ではマルウェアに感染した個人のスマホ等から 090、080、070 で始まる 13 桁の携帯電話番号が送信元として利用されるケースが急速に増えている。そのため、企業活動として利用者に配信する SMS には、第三者のなりすましが困難な国内直接接続の SMS 配信を利用し、事前に発信者番号を自社の Web サイトなどで、告知する対策が有効である。
しかしながら、受信した消費者のすべてが Web サイトを確認することは期待できな
いため、消費者による判別が容易な送信元として、2023 年 1 月から全携帯キャリア対応となった 0005 で始まる 10 桁の番号を利用することも有効である。加えて、SMS の次世代版といえる RCS（Rich Communication Service）に準拠した国内サービス「＋
メッセージ」では、事業者が携帯キャリアから認証を得たことを示す「認証済みマーク」を送信元に表示する仕組みが用意されている。消費者にとって、より詐欺の判別がしやすい UI であることから、あわせて活用することが有効である。

－ 13 －

3.3.2 利用者が正規サイトを判別可能とする対策
さまざまな巧妙な手法により、利用者がどれほど注意をしていてもフィッシングサイト
を閲覧してしまうリスクをゼロにすることはできない。正規サイトに工夫を施すことで、利用者が閲覧しているサイトがフィッシングサイトであることに気が付くように配慮すべきである。

3.3.3 フィッシング被害を拡大させないための対策
利用者がフィッシング被害にあい、アカウント情報、個人情報を詐取されるなどの被害に遭った場合でも、詐取された情報が悪用される被害を最小限に食い止めるための対策を実施しておく必要がある。
【要件5】◎：利用者が安全にサービスを利用する環境を整えるように促すこと利用者がオンラインのサービスの利用環境を安全に保つことはフィッシング対策につながる。そのための施策として、例えば、メールや SMS に記載された URL もしく
は検索結果の URL を利用させない、提供者側がそれを前提としない形を取ることが挙げられる。その場合、利用者にはドメイン名などを使ってあらかじめ正規の Web サイトであることを確認いただいた上でブックマークしていただき、それを日ごろから利用することで、URL が一時的なものになりがちなフィッシングサイトに誘導されにくくする。スマートフォンの場合には、正規のアプリをオフラインなど偽装されにくい手段で案内し、必ず利用いただくことが挙げられる。
利用者に対して何らかの通知を行い、オンラインの操作を利用者に促す場合には、正規の Web サイトからその通知内容にたどり着きやすくすることが重要である。これにより、利用者が通知を受けたときにありがちな、正規の Web サイトから辿っていくことに対する心理的な敷居が下がり、メールや SMS に記載された URL を直接利用することの常態化を避けやすくなる。この常態化がフィッシングを容易にしていると言える。
この他の項目については第 4 章「4.2 利用環境に関する注意喚起について」を参照の
こと。
【要件6】

◎：複数要素認証を要求すること

フィッシャーが不正に知りえたログインアカウント情報でログインできないようにするためには、ログイン認証時にユーザーID やパスワードなどの知識認証だけではな
く、乱数表やワンタイムパスワードといった所有認証、指紋や顔認証といった生体認
証を組み合わせた複数要素認証を求めるようにすることが必要である。また、可能で－ 14 －

あれば、複数要素認証の中でも後述するような耐フィッシング性を有する複数要素認証を導入することが望ましい。
特にポイントや資産の移動機能（商品の引換、他金融機関への振込みなど）を提供
している場合には、移動操作実行時には複数要素認証を求めるようにすることが望ましい。その他にも、フィッシャーは窃取した秘密情報を用いてログイン成功した場合、永続的なログインを可能にするために、複数要素認証の無効化や、複数要素認証の設定変更（例えばワンタイムパスワードの送信先をフィッシャーのメールアドレスへ変更するなど）を行うことがあるため、ユーザー情報や複数要素認証の設定変更時にも同様に複数要素認証を求めるなどの考慮が必要である。
複数要素認証の一手法としてワンタイムパスワードを発行する場合には、第一の認証とは異なる経路（例：第一の認証を ID・パスワードで求めたとすれば、ワンタイム
パスワードをユーザーのメールアドレスに送るなど）を利用するなど、複数経路認証を用いることが望ましい。また、利用者が法人の場合、申請者とは異なる承認権限者
による承認を求めるなどの対策も考えられる。
一方、昨今では複数要素認証のワンタイムパスワードも窃取される事例が増えてきており、以下のような対策をサービスの内容に応じて実施することが望ましい。
対策 1：
ワンタイムパスワードが必要となるのは、サービスへのログイン、パスワードなどの重要情報の変更、振込みなどの複数の目的があることから、その目的をメッセージに含めることで、本人に心当たりがない場合、意図に反した処理が進んでいること（＝ワンタイムパスワードが窃取されようとしていること）を認識できる。
対策 2：
サービス提供事業者は、耐フィッシング複数要素認証の導入も是非検討したい。例
えば FIDO2 は、生体認証と、認証器の所有認証（スマートフォンや FIDO 認証器など）の二要素を組み合わせて、パスワードレス認証を実現する認証規格である。フィッシ
ング攻撃は、ユーザーがフィッシングサイトに対して秘密情報を送信することで攻撃が成立するが、FIDO2 は秘密情報をドメイン名と紐づけて認証器内に保存することから、フィッシングサイト（フィッシングドメイン）に対して正規ドメインと紐づいた
秘密情報を送信することはないため、耐フィッシング性を有している。近年では、パスキー認証と呼ばれる、FIDO2 をベースにユーザーの利便性を向上させた最新の認証規格を導入する企業やサービスも増えてきている。
【要件7】◎：資産の移動に限度額を設定し、変更・移動時は通知を行うこと

フィッシャーによる利用者の資産（預金やポイントなど）の窃盗被害を抑制するため、資産の移動機能（ポイント交換や他金融機関への振込み、商品の購入など）を提－ 15 －

供している場合には、移動限度額を設定できるようにする。この場合、一回の操作の上限とともに、一日あたりの上限を設け、制限に達した利用者には緊急に連絡を行い、利用者自身の操作であるかどうか確認をとること。また限度額を変更する場合などには複数要素認証などを活用することが望ましい。
資産の移動が小額であっても、移動が行われるたびに、電子メールなどによる通知を行うこと。この種の通知がフィッシング被害の発生を検出する機会となることが考えられるため、携帯電話向けの通知配信を行うことが望ましい。利用者 PC のマルウ
ェア感染など、中間者攻撃による利用者資産の窃盗被害を抑制するためには、携帯電話に別途認証コードを送るなどの別経路を使った移動確認手続きを検討することが望
ましい。
【要件8】

○：利用者の通常とは異なるアクセスや登録情報の変更や登録情報の変更に対しては追加のセキュリティを要求すること

フィッシャーによる不正なログインを抑制するため、利用者の通常とは異なるログ
インや登録情報の変更が行われる場合には、第二認証や第三認証を求めるようにし、次の操作に進めないようにする。
複数要素認証はフィッシングによる不正なログインを抑制するためには効果的であるが、利用者の利便性は損なわれる。利用者の通常のログイン行動パターンを分析し、それと異なるログイン行動パターンを検知した場合に追加の認証手段を求めるリスクベース認証を導入することが望ましい。
【要件9】○：重要情報の表示については制限を行う

ログインアカウント情報を手に入れたフィッシャーに重要情報が漏れないよう、クレジットカード番号やデビットカード番号は下 4 桁など一部だけの表示に留めることが望ましい。
【要件10】 ◎：不正利用も含めたアクセス履歴の可視化
利用者が気付かないうちにサイトを勝手に利用された痕跡を知るために、利用者がそのサイトへの過去のアクセス履歴（複数回）を確認できるようにする。アクセス履
歴にはユーザーアクション、接続時刻、接続時間、接続端末（PC、スマートフォンなど）およびアクセス元 IP アドレスを含むこと。

－ 16 －

3.3.4 ドメイン名に関する配慮事項
ドメイン名は利用者が安全性を判断するために最も重要な要素である。ドメイン名は混
乱のないことはもとより、フィッシャーに簡単に利用されないための対策が必要である。
ドメイン名に関して Web サイト運営者の管理運営するサイトであることを明確にすることが求められる。
【要件11】 ◎：ドメイン名を自社のブランド戦略の一貫として考えること
Web サイト運営者は、ドメイン名を自社のブランド戦略の一貫として考え、内部統制のプロセスの中に含めることを推奨する。また、名前については社名や認知されているブランド名など利用者が認知しやすいドメイン名を使うこと。Web サイトで用いるドメイン名および利用者に送信するメールの送信者アドレスで用いるドメイン名（送信者のメールアドレスの＠から右の部分）は、同一のドメイン名の利用が推奨される。一度登録したドメイン名は広く認知してもらうため、長く継続利用するのが望ましい。なお、企業名称およびサービス名称が長い場合には、適度に省略したドメイン名とすることも利用者の利便性を重んじる観点からは許される。この場合には後述
する利用者へのドメイン名の十分な周知方法に従うこと。
自社のドメイン名を登録するトップレベルドメインの種類にはさまざまなものがあるが、"com"、"net"、"org"あるいは”xyz”、”site”などの特定の国と関連しないドメイン名3は、登録申請者に対する実在確認を行わないことも多いことから類似の文字
列のドメイン名の登録をフィッシャーが行いやすく、Web サイト運営者が安定したサービスを提供する上では注意が必要である。"co.jp"や"jp"4は登録にあたって日本国内に住所が必要なドメイン名である。特に"co.jp"は日本国内での法人登記が必要というルールとなっており、グローバルにも日本企業が利用するドメイン名として認知されている。
【要件12】 ◎：使用するドメイン名と用途の情報を利用者に周知すること
一般消費者がドメイン名を見て判断することは非常に困難であるが、知識のある利用者や、フィッシング対応を行う国内外のベンダー、調査機関、事業者、アナリスト
等に正規ドメインと用途（サービス名）を示すことは、誤判定や不明と判断されることを防止できる。

3

特定の国に関連しないドメイン名を gTLD（generic Top Level Domain）と呼ぶ。対して.jp のように国ごとに割り当てられたドメイン名を ccTLD（country code Top Level Domain）と呼ぶ。
4

JP ドメイン名の種類と対象：https://jprs.jp/about/jp-dom/spec/－ 17 －

サービスを行っている Web サイトのドメイン名と、利用者に送信する電子メールア
ドレスのドメイン名は、共通であるほうが利用者にも判りやすいため望ましいが、メール配信設備の都合上、サービスとは違うドメイン名を使用するケースも多いと思われる。その場合は必ず送信ドメイン認証でドメイン名を保護した上で、ドメイン名と用途を公開し、BIMI やブランドアイコン、公式マークのような技術を使い、正規メー
ルの視認性を向上することも検討する。
【要件13】 ◎：ドメイン名の登録、利用、廃止にあたっては、自社のブランドとして認識して管理すること企業において登録・利用するドメイン名は、自社のブランドとして大切に管理するため、ドメイン名管理のためのルール・手順を社内で確立することが重要である。特にドメイン名廃止は、廃止後に悪意のある組織に再登録（ドロップキャッチ）され、悪用さえる可能性があるので、廃止は慎重な判断が求められる。具体的には、ルー
ル・手順として以下の内容を定める必要がある。
⚫

ドメイン名の管理を行う部門・担当者⚫

ドメイン名の登録に関する留意事項⚫

ドメイン名に関する各種連絡先情報の管理⚫

ドメイン名の廃止・Web サービス利用終了時の注意事項【ドメイン名の管理を行う部門・担当者】
組織内の複数の部門からそれぞれの利用目的のために勝手に複数のドメイン名管理
サービスが利用されるような状況であると、自社で登録しているドメイン名の全容把握ができず、セキュリティ配慮に欠けた運用がなされたり、管理が放置されたりする
ドメイン名が発生するリスクが高くなる。このような事態を避けるため、あらかじめドメイン名管理を行う部門・担当者を定めておく必要がある。
【ドメイン名の登録に関する留意事項】
新たなドメイン名を登録・利用する際は、その目的を明らかにし、サブドメイン名の活用と、メリット・デメリットを比較検討する必要がある。例えば、サブドメイン
名は一般的に親ドメイン名の管理に統合し集中管理しやすいが、設定が複雑になり、
親ドメイン名の設定状況に影響を受ける可能性がある。個別の事例ごとに比較検討し、
ドメイン名登録の要否を判断することが必要である。
また、登録中のドメイン名管理におけるセキュリティ向上の手段として、意図しないレジストラ変更を防ぐためのサービスや、ドメイン名の登録情報が意図せず書き換
えられることを防ぐためのサービスを提供しているレジストラがある。これらのサー－ 18 －

ビスは、悪意ある第三者からドメイン名の乗っ取りを防ぐための対策として有効である。ドメイン名の登録・利用目的に応じて、これらのサービス利用を検討することも必要である。
【ドメイン名に関する各種連絡先情報の管理】
ドメイン名管理サービスからは、登録中のドメイン名に関して、ドメイン名の移転、更新／廃止、レジストラ変更など、ドメイン名の登録者の意向を確認するための重要な連絡が来ることがある。その連絡を正しく受け取ることができるように、届け出ている連絡先情報を常に最新に保ち、登録しているドメイン名に関する連絡があった場
合には、必ず内容を確認し、適切な対応を行うことが必要である。
【ドメイン名の廃止・Web サービス利用終了時の注意事項】
利用を終えたドメイン名を廃止する際は慎重な検討が必要である。他サイトに掲載されているリンク等は、もれなく削除または変更依頼を行う必要がある。廃止された
ドメイン名は一定期間後に第三者が当該ドメイン名を新たに登録することが可能となり、これを狙って登録を行う行為はドロップキャッチと呼ばれる。特に正規サービス
で使用されていたものは「優良中古ドメイン名」としての価値があるため、オークシ
ョンにかけられたり、不審なサイトを運営されたりするリスクがある。近年。ドロップキャッチされたドメイン名を高額で買い戻し、注意喚起を行うなどの事例も発生した。
最も有効な対策は、一度登録・利用したドメイン名は、その後も継続し続けることである。止むを得ず利用終了後にドメイン名を廃止する際は、サービス終了後、最低10 年程度は継続手続きをした後に廃止するなどの対策が考えられる。なお、廃止した
ドメイン名と同じ文字列が第三者によって登録された場合、当事者同士の話し合いや訴訟を通じて、ドメイン名を取り戻す（＝「ドメイン名の移転」を行う）道もあるが、ドメイン名更新よりもはるかに高額の費用や時間がかかってしまう可能性が高く、また、確実に取り戻せる保証はない。また、「ドメイン名紛争処理方針（DRP）」に基づく申立を行い、その紛争処理を通じて、ドメイン名を取り戻す（＝「移転裁定」を得る）方法もあるが、過去に当該ドメイン名の登録者であったことをもって移転裁定を得ることは、極めて難しい点にも留意が必要である。
加えて、外部の Web サービスを利用してドメイン名を運用しているケースで、そのサービス利用を終了する際には、DNS の設定を適切な状態にした上でサービス利用を終了することが必要である。
例えば、CDN サービスの利用を終了する場合、利用終了後も DNS の CNAME レコードが残っていると、悪意ある第三者がサブドメイン名を乗っ取り（Subdomain－ 19 －

Takeover）、フィッシングサイトを運営するリスクがある。CDN サービスの利用終了時には、DNS の CNAME レコードを削除する必要がある。

3.3.5 フィッシングへの備えと発生時の対応【要件14】 ◎：フィッシング対応に必要な機能を備えた組織編制とすること
企画・運営と情報セキュリティの技術的内容のわかる人材を含めたメンバーによる体制構築が望まれる一方、広報、コールセンター、サービス運用部門など関係部門との連携も重要である。フィッシング発生時には、被害抑制のため、さまざまな事項を同時並行的にすみやかに連携、対処処置していくことが必要になるので、組織に応じた事前準備、役割分担および連絡・レポート体制を明確化しておくことが必要である。
「4.1 フィッシング被害が発生してしまった際の対応と対策」に基本的なフローを解説しているので、これを参考に、フィッシング発生時の行動計画（対応フロー）を策定する。
フィッシングは一時的なものではなく、一度発生するときちんと対策がなされるま
で、継続する傾向がある。このフローを参考に組織内（グループ内）でスムーズな連携がとれるよう、準備する。
またフィッシング被害を減らすためには、対応するだけではなく、サービス運用部門と協力し、ログなどの分析結果からの状況把握と対策の効果測定を行うことは重要である。
【要件15】 ◎：フィッシング被害に関する対応窓口を明記すること
自サービスに関するフィッシングメールや SMS の配信やフィッシングサイト発見に関する情報をいちはやく収集するため、利用者からの情報提供を受けるフィッシング
報告窓口を設けておくことが望ましい。
また、フィッシングで盗まれた情報の不正利用により、利用者に多大な被害が及ぶサービス（金融系、クレジットカード系、キャッシュレス決済サービス等）の場合は、アカウントの利用制限（停止）依頼や事故の被害を報告できる 24 時間受付窓口を設置する必要がある。
【要件16】 ◎：フィッシングの手法および対策に関わる最新の情報を収集すること
情報サイトのセキュリティコーナーやウイルス情報のサイトを確認する。
情報サイトを付録 D に示す。
【要件17】 ◎：フィッシングサイトへの対応方法を整備しておくこと－ 20 －

下記を定めておく。
⚫

URL フィルターの申告方法（テイクダウンよりも即効性が期待できるため）⚫

テイクダウンのアプローチ方法（自社、社外業者）⚫

発生中のフィッシングサイトを利用者に注意喚起する実施手順

実施方法については事業者向けマニュアル（4.1 4.1.4 ）を参照のこと

3.3.6 利用者への啓発活動
フィッシングに留まらず、セキュリティの脅威全般についての注意喚起を行う。また、
顧客対応窓口を告知し、事件が発生した場合の対処をスムーズに行えるようにする。
【要件18】 ◎：利用者が実施すべきフィッシング対策啓発活動を行うこと
利用者は正規のメールおよび SMS か否かを判断する必要があるため、その助けとなるようフィッシングに関する注意喚起や啓発を行うことが重要である。また、フィッシング手法は日々変化しているため、掲載後の内容は少なくとも毎年見直しを行い、啓発内容の最新化や正確性確保のため技術的内容がわかるメンバーも参画することが望ましい。
注意喚起や啓発資料は利用者の利用環境（パソコン、スマートフォン等）やインタ
ーネットの知識、経験の差を考慮し、正規メールのみに表示されるアイコンなど「見てわかる」方法を中心に、図やスクリーンショット、漫画などで分かりやすく表現するなど工夫することが必要である。専門用語が入った説明や解説は正しい理解が難しいため、「より詳しく知りたい」と望む利用者への追加情報として掲載する。
「利用者向けフィッシング詐欺対策ガイドライン」や付録 D「安全な Web サイト利用の鉄則」なども参考に作成することが望ましい。
【要件19】 ◎：フィッシング発生時の利用者への連絡手段を整備しておくこと
フィッシングが発生した場合は、速やかに情報収集し、発生する被害を把握した上で、Web や SNS などに注意喚起を掲載する。またメールで注意喚起を行う場合は、注意喚起メール文面をコピーしたフィッシングメールを送信される可能性を想定し、S/MIME で電子署名を施したり、送信ドメイン認証 DMARC で保護されたドメイン名のメールアドレスで送信したりする。BIMI やブランドアイコン、公式マークなどの正規メール視認性向上対策が行われていることが望ましい。
SNS での通知については、昨今、偽アカウントによる詐欺が多く確認されているため、公式アカウントを取得し、十分に利用者へ周知して利用する
また、公式アプリ内での通知は、利用者が安全に連絡を受け取ることができる手段であるため、利用を推奨し、環境を整備しておくことが望ましい。

－ 21 －

3.4 フィッシング被害の発生を迅速に検知するための対策
フィッシングが発生した際に利用者の被害を最小限に抑えるためには、発生から発見までのタイムラグを短くすることが重要である。
【要件20】 ○：Web サイトに対する不審なアクセスを監視すること
サーバーやファイアウォールなどのログなどを監視し、例えばログインの失敗が多発するなど不審なアクセスを監視し、兆候を早めにキャッチすれば、早期に適切な対処を行える体制をとることが可能になる。
また、フィッシングサイトを正規サイトに似せた構成とする目的で、バナーなど、
フィッシングサイト上から直に参照されている場合があるため、自社のサイトを構成する以下の資産に対して異なるドメイン名からの参照が行われていないかを監視することで、フィッシングサイトの立ち上がりを早期発見することが可能となる。
⚫

favicon.ico（ホームページのシンボル（アイコン）として使われる、画像ファ
イル）⚫

ロゴ、バナーなどの画像ファイル⚫

JavaScript、CSS ファイルなどのスクリプト【要件21】 ◎：フィッシング検知に有効なサービスを活用すること
フィッシング発生について、利用者からの問い合わせや第三者からの連絡、また、SNS による投稿などから発見される事例もあるが、インターネット上の不正活動を 24
時間体制でモニタリングし、URL フィルターへの登録やテイクダウンを行う商業サー
ビスが存在するため、組織内に専門的に対応を行う人員を配備できない場合は、これらのサービスを活用して迅速に被害発生に対応することが望ましい。また、フィッシ
ング発生を早期に検知する目的で、事業者特有の文字列を含むドメイン名の事業者以外からの登録状況のモニタリングや検知・通知サービスを活用することも有効である。
【要件22】 ◎：DMARC レポートやバウンスメールを監視すること自社として【要件 2】DMARC に対応すること以外に、利用者が多い大手メールサービス等から DMARC 集約レポートが返送されてくる場合がある。これらを収集、分析することによって、自社ドメインがなりすましをされているか、また、されていた場合のメール送信元のサーバーや配信規模を把握することができる。また、存在しな
いアドレスに送信した場合、受信先のメールサーバーで配信不能となったメールが、
バウンスメールとして、偽装に使われた正規の送信者に差し戻されることがある。

－ 22 －DMARC 未対応の場合は、バウンスメールを監視し、フィッシングの兆候を検出することが望ましい。

－ 23 －

4. フィッシング対策マニュアル
本節は前節までに述べたガイドライン項目を実施するために必要な手順や情報について述べます。

4.1 フィッシング被害が発生してしまった際の対応と対策
Web サイト運営者のフィッシングサイトが設置された場合、および Web サイト運営者の利用者にフィッシングの被害が発生した場合には迅速に対応活動を実施することが必要である。この対応活動は一種のインシデントハンドリング活動であるが、フィッシング被害特有の対応活動がある。それは、被害の拡大を防ぐため、URL フィルターへの登録と、フィッシングサイトのテイクダウン（閉鎖活動）を行うことにある。
フィッシングサイトのテイクダウンは一般的に難しいとされる。テイクダウンは時間を要するが、フィッシング被害はフィッシングメールが配信されてから数時間以内に多く発生しており、間に合わないケースが多い。また短時間で稼働を停止し、次の新たなサイトに切り替えるフィッシング手法も一般的となっている。そのため、フィッシング発生時の事後対応においてはフィッシングサイトへのアクセスをブロックする URL フィルターへの登録をいかに迅速に行えるかが、被害抑制の鍵となっている。
フィッシング被害の発見から対応、事後対応までのフローを示す。
(1) フィッシング被害の発見(2) フィッシング被害状況の把握(3) フィッシング被害対応活動

フィッシングサイトテイクダウン活動



フィッシングに対する注意勧告



関係機関への連絡、報道発表(4) 生じたフィッシング被害への対応(5) 事後対応
下記に各ステップの詳細を記述する。

－ 24 －

図 4-1 フィッシング被害対応フロー－ 25 －

4.1.1 フィッシング被害状況の把握
フィッシングサイトとフィッシングメールはセットと考え、どちらかだけの報告や発見であっても、双方の状況を確認する必要がある。流通範囲の広さから、通常はフィッシン
グメールの発見がフィッシング被害の発見の機会となるであろう。この場合には、メールの中にフィッシングサイトのリンクが含まれているので、フィッシングサイトの発見はただちに行うことができる。
フィッシングサイトを調査し、実際に被害が出る危険性はどれくらいなのかを判断する。
やはり、見た目の類似性が一つの判断基準となるだろう。フィッシングメールにおいては、「」で示した Web サイト運営者が利用する定型様式との類似性や定型様式を認知していな
い利用者に対する信憑性の高さなどから危険性を判断する。
加えて、フィッシングメールの流通量を把握する必要がある。近年では管理しているドメイン名をメールアドレスに使用した「なりすましメール」については DMARC 集約レポートの集計、分析により送信規模の把握が可能となっている。管理していないドメイン名を使用したフィッシングメールの場合は、問い合わせ窓口に届いた報告を確認、集計する
他、「」で示す関係機関への連絡の際にあわせて、一般消費者からの報告数など、状況事態把握に協力を求めることとして、被害対応作業に進むべきであろう。

4.1.2 URL フィルターへ登録
URL フィルターでアクセスをブロック、警告表示をすると、フィッシングサイトが稼働していても、被害を抑制することができる。フィッシングサイトの閉鎖には時間がかかるため、まずは URL フィルターへの登録を優先する。
各セキュリティソフトウェア／Web ブラウザーベンダーの Web サイトなどにその報告方法が掲載されているので、フィッシングサイトの URL を迅速に共有できるように準備しておく。

4.1.3 フィッシングサイトのテイクダウンまたは無効化（1）Web サイト運営者自身で Abuse 連絡を行う
フィッシングサイトのテイクダウンを Web サイト運営者自らが行う場合には、フィッシ
ングサイトが属している IP アドレスブロックを管理している ISP に連絡をとる。
また、あわせて、当該フィッシングサイトで用いられているドメイン名の登録削除等を、ドメイン名登録事業者に連絡することも検討する。
ISP、ホスティング事業者やドメイン名登録事業者は不正行為の報告を受け付ける
Abuse 連絡窓口を用意しているので、報告用の Web フォームや電子メールにて連絡することも考えるべきであろう。その場合の例文を付録 C として示しておく。

－ 26 －

テイクダウン要請を Web サイト運営者自ら行う場合でも、並行して JPCERT コーディネーションセンター（以下、JPCERT/CC）、フィッシング対策協議会へ情報共有することが望ましい。また、連絡をしても 1 週間以上フィッシングサイトが停止しない場合は、
JPCERT/CC や現地の CSIRT に支援要請を行う。多くの ISP はインシデント対応機関とのチャネルを持っており、Web サイト運営者からの連絡よりもインシデント対応機関からの連絡の方がスムーズに受入れられる可能性があることが理由である。
（2）フィッシング被害対応サービス事業者にテイクダウン依頼を行う
フィッシング被害の備えとしてフィッシング被害対応サービス事業者と契約を持っておくことも検討すべきであろう。このような契約を行っている場合には、その事業者にテイ
クダウン依頼を行う。
事業者を選定するポイントとして、テイクダウン依頼受付時間が 24 時間 365 日である
こと、どのような地域にフィッシングサイトが設置されていても対応してくれること、機密保持に関する体制が検証されていること（定期的に監査を受けていることが望ましい）、
フィッシングサイト検知サービスを提供していること、などが考えられる。
（3）専門機関にテイクダウン支援依頼を行う
国内においては JPCERT/CC にてフィッシングサイトのテイクダウンに向けての調整支
援依頼を受け付けている。支援要請の際には、「インシデント報告の届け出5」を参照し、
電子メールの件名に『サイト停止希望』と明記した上で、フィッシングサイトの URL 情報（必須）、確認した日時・場所などをインシデント届け出様式6に記載して送信する。また、
すでに Web サイト運営者自身でフィッシングサイトが属している IP アドレスブロックを管理する ISP や、警察などに連絡を行っている場合には、連絡日時と連絡先、連絡内容などもインシデント届け出様式に記載するとよい。

4.1.4 フィッシングメール注意勧告
フィッシング被害の発生を Web サイト運営者が認識するきっかけとして、フィッシング
メールを受け取った、あるいはフィッシングサイトの設置を発見した利用者からの問い合
わせ、Web サイト運営者自身による発見、第三者による問い合わせなどが考えられる。

5 https://www.jpcert.or.jp/form/
6 https://www.jpcert.or.jp/form/form_v4.01p.txt－ 27 －

Web サイト運営者のフィッシングサイトが設置され、大量にフィッシングメールが配送された場合、利用者から不審なフィッシングメールに関する多数の問い合わせが殺到し、緊急対応を迫られる場合がある。利用者を守るために偽サイトの存在を速やか、かつ、適切に伝達することも必要である。ここではそれらについて記載する。
（1）利用者からの問い合わせ対応窓口の準備
すでに利用者からの問い合わせ窓口などが設置されている場合には、直接利用者と接する担当員に対応方法・手順などを周知徹底しておく。「フィッシングとは何か」「コンピューターウイルスではないのか」「今後はどうしたら良いのか」といった基本的な質問事
項や応答事項については事前に作成するなどの準備をしておくとよい。
利用者からの問い合わせ窓口が設置されていない場合は、早急に設置し、窓口の存在およびアクセス方法を利用者に周知すること。
（2）利用者への通知を行う
フィッシングサイトの出現を確認次第、被害発生と拡大を防ぐため、フィッシングサイ
トのテイクダウン作業を開始すると同時に、利用者に対してフィッシング被害の発生と対処事項について早急に通知しなくてはならない。
まず、フィッシングサイトにアクセスしないように注意を促す必要がある。この場合、広く利用者へ連絡するためには、電子メールによる通知に加え、正規サイトでの掲示、公式アプリ内での通知、SNS など各種メディアへの告知など、複数の伝達経路を用いること。
被害の深刻度、例えばクレジットカード番号の詐取による不正利用が疑われる時などは、
電話、郵便などの利用も考慮すべきである。
利用者に対して送付する電子メールや、正規サイトに掲載する情報の内容としては、告知文以外にも、対応窓口などを併記し、すでに被害にあってしまった利用者が相談できる窓口・情報も記載しておくことが重要である。
利用者への注意喚起を行う際の推奨事項と逆にやってはいけない NG 事項をまとめる。
[注意喚起時の推奨事項]⚫

いつの情報なのかを明記：利用者にとって、検索結果は古い情報もあり、日付をつけることで最新情報であることを明記⚫

簡潔に分かりやすく⚫

具体例を示しつつも、被害が拡大しないように注意：利用者にとって、どんな内容が手元に届くのか、具体的に示すことで、詐欺被害を軽減できる。被害の拡散を抑制するため、詐欺文面のコピーが容易にできない工夫をする（画像掲載）－ 28 －

⚫

困ってアクセスするユーザー目線で情報提供（たらい回しにしない）[注意喚起時の NG 事項]
NG ユーザーに「URL が正しいかを判断させる」は困難
NG 「正しいメールアドレス・送信元の確認」も偽装できるため、NG
NG 「正しいドメインから始まる URL だから大丈夫」ではない
NG 利用者が誤ってクリックしないよう、フィッシングサイトの URL をそのまま掲載せず、無害化・画像化する

図 4-2 Web 掲載用テンプレートの例－ 29 －

図 4-3X（旧 Twitter）通用テンプレートの例

4.1.5 関係機関への連絡、報道発表
すでに利用者の被害が発生している場合など、必要に応じて、警察に届け出を行う。
この場合、Web サイト運営者からの連絡は、Web サイト運営者の所管の都道府県警察のサイバー犯罪相談窓口に対して行うこと。この窓口への連絡方法は前もって調べておくこと。
利用者に提供しているサービスの種別によっては所管官庁への報告が必要な場合があるので、報告窓口へのアクセス方法を前もって調べて置くこと。

4.1.6 生じたフィッシング被害への対応
報告窓口に寄せられる利用者からの被害報告、およびフィッシングメール報告を情報として、詐欺被害（金銭的被害、ID の詐取など）の発生状況を把握する。クレジッ
トカード番号、オンラインバンキングアカウント、決済サービスのアカウントの詐取など、金銭的被害の発生する危険性があれば、被害拡大抑制のための活動を実施する
こと。

4.1.7 事後対応
フィッシング被害対応から学んだこと、改善すべき点などの事後処理含め、改善、再発防止策などを体制や対応手順書などに反映する。

－ 30 －

4.2 利用環境に関する注意喚起について利用者がオンラインのサービスの利用環境を安全に保つことはフィッシング対策につながる。注意項目としては次に挙げる内容を含めることが考えられる。
⚫

OS、Web ブラウザーおよびアプリ、ソフトウェアは、お知らせや通知に従って最新の状態に保つこと。

⚫

セキュリティ対策ソフトウェアがインストールされていない場合には、インストールし、機能を有効にして最新状態に保つこと。

⚫

URL を確認することができない利用者や利用環境には URL フィルターを導入
すること。

⚫

アプリやソフトウェア発行元不明のアプリ、ソフトウェアはインストールしな
いこと。

⚫

なりすましメール対策や迷惑メール対策が備わったメールサービスを使うこと。
そうでない場合には迷惑メールフィルターを利用すること。

なお、オンラインサービスの提供者は、利用者環境において正規サイトの URL が使われたときに正規サイトに接続されるようにしておく必要がある。そのためには
DNSSEC や RPKI などのセキュリティ技術を採用している通信事業者やクラウドサー
ビス事業者を利用する。

－ 31 －

5. 利用者におけるフィッシング対策
フィッシング対策において、利用者の負う役割は、Web サイト運営者よりも大きなものである。フィッシングの特異な構造として、Web サイト運営者はコンテンツを複製されるだけで、詐欺行為自体にはほとんど関与しない（できない）ことがある。つまり、フィッシャーと被害者となる利用者だけで構成されるため、被害の抑制は利用者自身にかかってくる。
なお、フィッシング対策協議会は利用者向けのガイドラインとして「利用者向けフィッシング対策ガイドライン」を作成している。利用者への普及啓発に際してはあわせて参照すること。

－ 32 －

6. 付録付録 A－フィッシングに関する基礎知識
フィッシングの手口として、単純な例を図 1 に示す。

図1

フィッシングの単純な例

まず、フィッシャーはターゲットとする事業者の Web サイトのデータをコピーしてフィッシングサイトを設置する。次に、フィッシングサイトをリンク先とした URL を文面に含めたフィッシングメールを利用者にばら撒く。リンク先にアクセスした利用者が個人情報、アカウント情報、クレジット番号などを入力することでフィッシャーが情報を手に入れる。
なお、フィッシングのうち、「標的（誰をだますのか）」に注目した事例として、スピ
アフィッシングというものがある。これは、特定の人間の個人情報やパスワードを窃取することを目的とした攻撃である。特定の人間向けにカスタマイズされたフィッシングメー
ルなどを送付するなど、最適化がされている。このため、成功率は一般のフィッシングよりも高いと考えられる。ただし、スピアフィッシングは、その目的からするとフィッシン
グというよりも、標的型サイバー攻撃の一種に分類する方が適切と考えられる。

－ 33 －

図2

フィッシング被害の抑止ポイント

フィッシングの被害を抑制するためには、図 2 に示すような抑止ポイント（図 2 中の赤バツの部分）で対処する必要がある。つまり、フィッシングメールが利用者に届かないこと、届いたフィッシングメールを読まないこと、フィッシングメールを読んでしまった利用者がフィッシングサイトを閲覧しないこと、フィッシングサイトを閲覧してしまった利
用者が個人情報などを入力しないことといった抑止ポイントで対処する必要がある。

－ 34 －

ファーミング用
マルウェア購入

図3

フィッシングの複雑な例

近年確認されているフィッシングにおいては、工程ごとの専門分業体制が確認されている。計画、調達、構築、誘導、詐取、収益化および強化拡大の 7 つの工程において別々の犯罪者による請負・仲介・誘引が行われている。こうした分業体制が実現している要因の一つとして、犯罪者コミュニティーにおけるサービスやツールの氾濫があげられる。
フィッシングサイトを設置して利用者の情報を集めるフィッシャー、フィッシングメー
ルの作成と大量送信を請け負う迷惑メール配信業者、送信元を隠すためボットネットの貸し出しを行う業者、本人確認が緩く発信者情報の開示要求や警察からの捜査協力依頼に対して非協力的なホスティングサービス（Bulletproof Hosting）などは「サイバー犯罪のためのサービス（Crime as a Service）」として調達、構築することが可能である。
また、ファーミング用にカスタマイズされたマルウェアや、複数の流出情報をまとめた「漏えいアカウント情報リスト（Anti Public Combo List）」、フィッシャーがフィッシ
ングサイトを設置する際に、設置の簡略化と詐取情報の一元管理を実現する「フィッシン－ 35 －

グキット」「パスワードリスト攻撃ツール（Credential Stuffing Attack Tool）」など、フィッシング行為ならびに詐取した個人情報の悪用、収益化を手助けするツールの売買が行われていることも確認している。
なお、フィッシングにおける調達、構築において濫用されている認証局より取得した証明書の悪用によるフィッシングサイトの HTTPS 化（TLS/SSL 化）などが問題となっている（図 3）。
フィッシャー側の構造が複雑になることで事件として捜査する際には支障が発生する可能性があるものの、フィッシングに対抗するための Web サイト運営者、利用者サイドの対策に大きな変化を求めるものではなく、本ガイドラインにて説明する要件に配慮して、
Web サイト運営者においては信頼できるサービスの構築に努めていただきたい。

－ 36 －

付録 B－SMS（ショート・メッセージ・サービス）を利用したフィッシング
SMS を利用したフィッシングでは、メールアドレス宛のフィッシングメールと同様、フィッシングサイトへ誘導する手口に加え、電話をかけるように誘導し、利用者本人と電話で話したうえ、金銭を詐取する手口が使われることが多い。
まず、フィッシャーは有名な Web サイト運営者を装って未納料金があると偽り、指定した電話番号へ連絡を求める内容の SMS を送る。要求に従わない場合は法的措置をとることをほのめかし、心理的な圧力をかけるケースが多い。 SMS 送信の際には、本文中で Web
サイト運営者名をかたることに加え、発信者番号をアルファベットで自由に表記できることから、国際網経由の SMS 配信を利用し、Web サイト運営者名をかたるケースがある。
次に、電話をかけてきた利用者に対して、架空の未納料金を請求し、自ら指定する方法
で送金するよう要求する。フィッシャーにとっては、相手の反応にあわせ会話を工夫することで、成功率を高められる、直接金銭を詐取できるといったメリットがあるが、一般のフィッシングとは別の技術や労力を要する手法だといえる。
また SMS は携帯電話端末で受信されることと、文面に電話番号が含まれる場合、発信を容易にするためのリンクが自動で生成される機能が、ほぼすべての機種にあり、通話へ誘導する詐欺に利用されやすいと考えられる。
SMS を利用したフィッシングの被害を抑制するためには、利用者が受信した SMS について、フィッシングの可能性が高いと判断した場合に慎重な行動ができるようにすることが必要である。
Web サイト運営者においては、フィッシングに利用される可能性が低い国内直接接続の
SMS 配信を利用し、事前に発信者番号を Web サイトなどで告知することが対策としてあげられる。
昨今では、宅配便の不在通知を装う不正な SMS も頻出している。これらは主に国内の携帯電話番号から送信されており、Android スマートフォンの利用者の場合、SMS 内のリン
クにアクセスすると、不正なアプリのインストールするよう誘導され、その後、インストールした人自身のスマートフォンから、さらに不正な SMS が大量に見知らぬ番号宛てに送信されており、被害が広がっていった。一般に、海外からの SMS 受信拒否を設定することが対策となり得るが、それだけでは被害／加害を十分に防げない状況ともなっている。

－ 37 －

図 4 SMS を利用したフィッシングの例

国内直接接続の SMS 配信

国際網を経由した SMS 配信

携帯電話端末からの SMS 配信

日本の電話番号（例：03-0000-0000）

海外の電話番号

発信者番号表携帯キャリア共通番号（例：+1 000-000-0000）

携帯電話番号示（例：0005-000000）

アルファベット（例：090-0000-0000）

携帯キャリアごとの特別番号（例：FOOBAR）（例：50000）
発信者番号登契約者が自由には登録・変更で契約者が任意のタイミングで自録・変更

きず、事前申請が必要

由に登録・変更することが可能

利用審査の厳格性

現在、審査をしないまま偽名や匿名での申込者に提供している事業者が存在しない
自社が送信する SMS の発信者審査がなく偽名や匿名での申込者へ提供する事業者が存在する

フィッシャーに利用されやす

Web サイト運 番号を利用者に対し Web サイ

く、利用者にとって自社が送信

営者の対策

トなどに記載し事前に通知した

する SMS と判別しづらいこと上で利用するから、極力利用を避ける

携帯キャリアからの払い出しのみ
端末レンタルサービスで十分な審査を実施しないまま提供する事業者が存在する
マルウェアに感染した端末経由も含め、フィッシャーに利用されやすく、利用者にとって自社が送信する SMS と判別しづらいことから、利用を避ける

発信者番号は Web サイト運営
利用者の対策者が事前に告知している番号とWeb サイト運営者を騙ったフィ Web サイト運営者を騙ったフィ

異なる SMS を受信した場合、ッシングの可能性を疑い、慎重

ッシングの可能性を疑い、慎重にフィッシングの可能性を疑い慎

に行動する

行動する

重に行動する－ 38 －

発信者番号の表示イメージ

図 5 SMS 配信経路ごとの特徴

図6

企業から送信される SMS の送信元

－ 39 －

付録 C－用語集【フィッシング（phishing）】
実在する組織を騙って、ユーザーネーム、パスワード、アカウント ID、ATM の暗証
番号、クレジットカード番号といった情報を詐取すること。
【フィッシャー（phisher）】
フィッシング行為は、おとりとなる電子メールを起案する者、電子メールを送信する者、フィッシングサイトを設置する者など、複数の行為者で構成される。フィッシャーとは、それら一連の行為者の全体を意味する。
【フィッシングサイト（phishing site）】
金融機関、クレジットカード会社など、金銭などに関連するアカウント情報を持つサイトを模倣して設置されたおとりサイトのこと。
【フィッシング被害】
事業者がその社名やサービス名などブランドを不正に第三者に騙（かた）られた
り、そのログイン画面などを真似られたりすることによりフィッシング行為に悪用されること。または、そのフィッシングにより利用者や従業員が個人に関わる情報を詐取されること。または、そのフィッシングにより利用者や事業者が金銭的な損
害を被ること。
【テイクダウン（take-down）】
フィッシングサイトを閉鎖することを指す。シャットダウンまたはサイトクローズともいう。
【CSIRT（シーサート、Computer Security Incident Response Team）】
コンピューターおよびコンピューターネットワークで発生したセキュリティインシ
デントに関する報告を受け取り、精査した後に、適切な対応を行うことを目的に組織されたチームのことを指す。特定の企業、大学など比較的大規模な教育機関、地域あるいは国家、研究ネットワークなどのために組織される。
【SMS（Short Message Service）】
携帯電話同士で電話番号を宛先にして短いテキスト（文章）によるメッセージを送受信するサービス。開封率の高さから企業から利用者への連絡手段として利用されている。SMS を利用して、個人情報を抜き取るフィッシングサイトへと誘導するフィッシングはスミッシングと呼ばれている。
【錠前マーク】
Web ブラウザーのアドレスバーの近くに表示されるアイコンのことで、Web ブラウ
ザーと、アクセスしている先の Web サーバーとの間でやり取りされる通信データが暗号化されていることを示している。途中で盗聴されてもデータの内容を読み取られないが、安価なもしくは無料のサーバー証明書を使ったフィッシングサイトが増－ 40 －

加しており、錠前マークが表示されているだけではフィッシングに対して安全とは言えなくなりつつある。鍵マークと呼ばれることもある。
【フィッシングメール】
クレジットカード会社や銀行からのお知らせと称したメールなどで、巧みにリンクをクリックさせ、あらかじめ用意した本物のサイトにそっくりな偽サイトに利用者を誘導する。そこでクレジットカード番号や口座番号などを入力するよう促し、入力された情報を盗み取る。
【ファーミング】
ファーミング（Pharming）とは、フィッシングと同様に個人情報の詐取を行う詐欺行為である。犯罪者のもとへ誘導する手口にフィッシングとの違いがある。被害者へ何らかのアクションを要求することなく、犯罪者が用意した Web サイトへ誘導するのがその特徴として挙げられる。犯罪者が「不正な転送の種（しかけ）」を撒き、被害者が正規の URL を正しく入力したとしても、否応なしに偽の Web サイト
へ転送させ、個人情報などを不正に詐取される（刈り取る）。この一連の様を「Farming（農場経営）」になぞらえ、ファーミングと呼ばれている。
【SPF（Sender Policy Framework）】
電子メールの送信元ドメインが詐称されていないかを検査するための仕組みであり、仕様は、RFC4408 で定められている。
【DKIM（DomainKeys Identified Mail）】
電子メールにおける送信ドメイン認証技術の一つであり、メールを送信する際に送信元が電子署名を行い、受信者がそれを検証することで、 送信者のなりすましやメールの改ざんを検知できるようにするものである。
【DMARC（Domain-based Message Authentication, Reporting, and Conformance）】
電子メールにおける送信ドメイン認証技術の一つであり、SPF、DKIM を利用したメールのドメイン認証を補強する技術で、RFC7489 で標準化されている。
【S/MIME（Secure/Multipurpose Internet Mail Extensions）】
電子証明書を用いた電子メールのなりすまし対策技術の一つ。主要なメールソフト
は S/MIME に対応しており、「電子署名」と「暗号化」機能を提供している。
【パークドメイン】
ドメイン名を登録後、コンテンツが掲載されることなく、ドメイン名を維持するための Web ページ、もしくはそのドメイン名自体を指す。
【BIMI（Brand Indicators for Message Identification）】
DMARC による送信ドメイン認証で認証された正規メールをブランドロゴや公式マークで視覚的にわかりやすく表示する技術やサービスを指す。
【FIDO2】－ 41 －

窃取あるいは漏えいする元となる記憶認証（Something You Know）であるパスワードを使用せず、スマホなどの認証器（Something You Have）となるデバイスに組み込まれた認証機能（生体認証（Something You Are）や PIN など）または外部（またはローミング）認証器（FIDO セキュリティキー、モバイルデバイス、ウェア
ラブルなど）を使用した認証規格である。
【バウンスメール】
メール配信の結果としてエラーとなった場合に、相手サーバーから通信メッセージ
による応答ではなく、別途メールによってエラー応答されるメールを指す。
【テイクダウン】
情報セキュリティの文脈においては、フィッシングサイトを閉鎖することを「サイトのテイクダウン」あるいは単に「テイクダウン」と表現する。
【Abuse】
Abuse（あびゅーず）とは、「不正行為」や「乱用」を意味し、インターネット上
での迷惑行為や不正行為、または通報する窓口を指す。

－ 42 －

付録 D－参考情報【マンガでわかるフィッシング対策 5 ヶ条】
・「マンガでわかるフィッシング対策 5 ヶ条」
フィッシング対策協議会
https://www.antiphishing.jp/phishing-5articles.html（利用者にとってフィッシングにあわないための基本的対策事項を案内している）【情報サイト】
・CNET Japan
https://japan.cnet.com/news/sec/
・ITmedia
https://www.itmedia.co.jp/news/subtop/security/index.html
・INTERNET Watch
https://internet.watch.impress.co.jp/
・ScanNetSecurity
https://scan.netsecurity.ne.jp/
・ZDNET Japan
https://japan.zdnet.com/security/
・マイナビニュースhttps://news.mynavi.jp/top/digital/pc/pcsecurity/
・日本サイバー犯罪対策センター
https://www.jc3.or.jp/（フィッシング含む情報セキュリティに関するニュース／記事が掲載されている）【業界団体と各省庁のサイト】
・経済産業省https://www.meti.go.jp/policy/netsecurity/・総務省
https://www.soumu.go.jp/main_sosiki/joho_tsusin/security/
・警察庁
https://www.npa.go.jp/cyber/index.html
・消費者庁
https://www.caa.go.jp/
・独立行政法人情報処理推進機構（IPA）－ 43 －

https://www.ipa.go.jp/security/
・フィッシング対策協議会
https://www.antiphishing.jp/
・JPCERT コーディネーションセンター
https://www.jpcert.or.jp/
・NPO 日本ネットワークセキュリティ協会
https://www.jnsa.org/（各省庁・団体における情報セキュリティ関係の情報が掲載されている）【安全な Web サイトの利用】
・「安全な Web サイト利用の鉄則」
独立行政法人 産業技術総合研究所，2007
https://www.rcis.aist.go.jp/special/websafety2007/index-ja.html（Web サイトの利用者に知ってもらうべき鉄則およびその鉄則さえ守っていれば安全となるようなサイト作りに必要な設計の要件が記載されている）【サイトの脆弱性対策】
・「安全な Web サイトの作り方」
独立行政法人情報処理推進機構
https://www.ipa.go.jp/security/vuln/websecurity.html（IPA への届け出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、Web サイト開発者や運営者が適切なセキュリティを考慮した実装ができるよ
うにするための資料が掲載されている）
・「セキュアプログラミング講座」
独立行政法人情報処理推進機構
https://www.ipa.go.jp/security/awareness/vendor/programming/index.html（ソフトウェア開発工程における上流工程（要件定義、設計）から脆弱性対策の論
点を意識できるようにするための情報が記載されている）【送信ドメイン認証】
・「SPF（Sender Policy Framework）」
財団法人インターネット協会（IAjapan）
https://salt.iajapan.org/wpmu/anti_spam/admin/tech/explanation/spf/
・「DKIM（Domainkeys Identified Mail）」
財団法人インターネット協会（IAjapan）－ 44 －

https://salt.iajapan.org/wpmu/anti_spam/admin/tech/explanation/dkim/
・「送信ドメイン認証技術導入マニュアル第 2 版」
迷惑メール対策推進協議会（Anti-Spam mail Promotion Council）
https://www.dekyo.or.jp/soudan/data/anti_spam/meiwakumanual3/manual_3rd_
edition.pdf
・「電子メールのなりすまし対策 -送信ドメイン認証でなりすましを防ぐ-」
迷惑メール対策推進協議会（Anti-Spam mail Promotion Council）
https://www.dekyo.or.jp/soudan/data/anti_spam/auth_leaflet.pdf【CSIRT への支援要請】
・「インシデント報告の届け出」
JPCERT コーディネーションセンター
https://www.jpcert.or.jp/form/（インシデント報告の様式と記入の手引やガイドラインについて記載されている）【Web ブラウザーのフィッシングサイト対策機能】
・「Microsoft SmartScreen」
https://www.microsoft.com/ja-jp/safety/terms/smartscreen.aspx【フィッシング 110 番】
・「フィッシング 110 番」
https://www.npa.go.jp/cyber/policy/phishing/phishing110.htm（フィッシングに関する警察関係の情報提供先や被害の相談先が紹介されている）【国民生活センター・消費生活センター】
・「国民生活センター」
https://www.kokusen.go.jp/（利用者からの相談事例などが掲載されている）
・「全国の消費生活センター」
https://www.kokusen.go.jp/map/（各居住地の相談窓口一覧が掲載されている）【その他の一般向け相談先】
・「インターネット・ホットラインセンター」－ 45 －

https://www.internethotline.jp/（日本におけるインターネット上の違法・有害情報の通報受付窓口）
・「迷惑メール相談センター」
https://www.dekyo.or.jp/soudan/index.html（総務省より委託を受けて「特定電子メールの送信の適正化等に関する法律」に違反していると思われる迷惑メールを収集）
・「独立行政法人情報処理推進機構 IPA ウイルス届け出」
https://www.ipa.go.jp/security/outline/todokede-j.html（ウイルスの届け出を受け付けている）
・「独立行政法人情報処理推進機構 IPA 情報セキュリティ安心相談窓口」
https://www.ipa.go.jp/security/anshin/index.html（マルウェアおよび不正アクセスに関する総合的な相談窓口）
・「消費者庁 越境消費者センター」
https://www.ccj.kokusen.go.jp/（海外から購入した商品（インターネット通販・店頭でのショッピング含む）に関するトラブルの問い合わせを受け付けている）
・「社団法人コンピュータソフトウェア著作権協会不正コピー情報受付」
https://www2.accsjp.or.jp/piracy/（著作権違反の届け出）
・「一般社団法人ユニオン・デ・ファブリカン」
https://www.udf-jp.org/（偽物に関する情報窓口）【STOP. THINK. CONNECT. キャンペーン】
・「STOP. THINK. CONNECT. キャンペーン」
https://stopthinkconnect.jp/
世界的なフィッシング対策ワーキンググループ「Anti-Phishing Working Group」（APWG） と アメリカ合衆国の National Cyber Security Alliance （NCSA） は2009 年に「STOP. THINK. CONNECT.」キャンペーンを開始した。日本ではフィッシング対策協議会に参加する、情報セキュリティ対策事業者、銀行、クレジットカード会社、ショッピングサイト事業者などさまざまなメンバーによって、日本国内のサイバー犯罪防止のための対策や啓発活動が行われている。

【フィッシング対策協議会】
https://www.antiphishing.jp/－ 46 －

フィッシング事象の情報提供先 Email アドレス：info@antiphishing.jp（フィッシングの解説、事例、報告書などを公開している）－ 47 －

付録 E－プロバイダーへのテイクダウン要請文例
To whom it may concern,[簡潔な企業プロファイル].
The website is located at the following address:<当該フィッシングサイトの URI>
For your information, the fraudulent website appears to be a forgery of thislegitimate website:<正規サイトの URL>
Please take all necessary measures to suspend services of this fraudulent site.
We highly appreciate your cooperation on this matter.
Thank you very much. Sincerely,-[担当者、送信者の名前][担当者、送信者の所属部署][企業名][国際電話番号][担当者、送信者のメールアドレス]－ 48 －

付録 F－事業者における NG 集
■サービス提供者の体制の不備
・フィッシングを含むセキュリティ（インシデント）対応の体制が整備されていない。
責任者と各人の役割を明確化し、サービスやシステムの開発とサービスの運用においても、明確な判断基準のもとセキュリティポリシーとその運用方法を策定するとともに、万が一のインシデント発生時にも迅速な対応が取れる体制を確保する。
・利用者からの通報・相談窓口が明確でない
フィッシング発見の通報や被害に遭った場合の相談先としての窓口を開設し、利用者に明示する。サービス提供者は、利用者からの通報でフィッシング発生を認知するケースが多く、この窓口が不明確だと対応が遅れ、利用者と自組織の被害を拡大する可能性がある。他の一般サポート窓口と兼用であってもよいが、連絡先が明示されている必要がある。
・フィッシング発生時の対応方法が未整備
利用者からの通報などにより、フィッシングの発生を認知した場合、事前に整備・確認した手順に基づき、迅速にフィッシングサイトのテイクダウン（閉鎖）や利用者への告知などを実施し、被害の最小化に努める必要があるが、これが未整備だと、対応の遅れや間違った対応により被害を拡大させてしまう可能性がある。
・サービスやシステム開発時に、セキュリティを維持する運用稼動とコストが十分考慮されていない
フィッシングの主な対象となる認証システムのセキュリティを確保し続けるためには、開発時のみならず、日常のセキュリティ維持のための稼動とコストを伴う。
Web アプリケーションの脆弱性診断、OS やミドルウェアの脆弱性対応、サーバー証明書費用なども十分考慮する必要がある。サービス提供組織での維持運用が難し
い場合、OpenID などによる他社の ID 連携サービスを活用することも検討する。ただし、将来的に自前開発の認証システムとする可能性がある場合や、セキュリティ
レベルをサービス提供組織でコントロールできないことは十分考慮する。
・利用者への啓発を行っていない
フィッシング被害の軽減には、利用者の正しい知識と認識が欠かせない。フィッシ
ングに関する知識・情報や自社・自組織の取り組みなど、Web サイトやメールを活用し、随時発信し啓発を行う。

－ 49 －

■利用者へのメール送信
・利用者に送信するメールの様式がバラバラ
メールの送信者アドレスおよびそのドメイン名、件名、本文などの様式やトーンが送信の都度あるいは送信するメールの種類ごとにバラバラだと、利用者は、日頃送信されてくる本物のメールの特徴を把握できないため、フィッシングメールを受信しても疑いを持ちにくくなる。極力統一し、日頃から利用者に本物と偽物の判別をつきやすくする環境を整備する。また、正当なメールであることを証明するために、送信するメールへの電子署名付与の検討を推奨する。ただし、一部のメールだ
けへの付与は、逆に利用者が混乱する可能性があるため注意が必要である。
■Web サイト運用
・HTTPS による Web サイト保護が正しく行えていない①
入力データの保護のみに注意が向き、HTTPS 暗号化通信およびサーバー証明書をフ
ォームの送信先 Web サイトのみに導入し、入力フォーム自体を表示する Web サイ
トには導入していないケースが見られる。この場合、利用者に入力フォーム自体を表示するサイトの正当性を示すことができていないため、フィッシングサイトが発生した場合、利用者は偽物であることに気付きにくくなる。なお、入力フォームを表示するサイトと入力データを送信する先のサイトは（通常は同一であるサイトがほとんどだが）極力同一とすることが望ましい。
たとえ両サイトが HTTPS 暗号化通信およびサーバー証明書によって正当性を証明されていても、利用者は入力フォームを表示したサイトを信頼しデータを入力するのであり、送信先サイトはデータ入力時点では確認できない。
・HTTPS による Web サイト保護が正しく行えていない②
正当性を証明したい Web サイトのページ内の一部の画像が、HTTPS 通信を使わな
い通常の Web サイトのものであるなど、非 HTTPS 通信のパーツが混在した場合、多くのブラウザーは、その旨をアラート表示し、該当画像を表示するかどうか確認を求める。ここで、表示する選択をした場合、サーバー証明書による Web サイトの正当性は証明されなくなる（錠前マークが表示されない）。Web ページを構成する
画像などのすべてのパーツが、正当な HTTPS 通信を行う Web サイト上のものであるようページ制作する必要がある。
・ログイン ID やパスワード文字列の制限が不用意に緩い
ログイン ID やパスワードを利用者が設定できる場合、不用意に制限が緩い ID やパスワードが許容されることのないよう、文字数や利用可能な文字の種類など、開発－ 50 －

者だけの判断による基準とせず、サービスやセキュリティの担当者と十分検討し決定する。検討にあたっては、サービスが扱う情報の重要性や利用者のリテラシー、
利便性などに加え、利用者は同一の ID やパスワードを複数の Web サイトに設定する傾向があることから、万が一フィッシングに遭った場合、被害が他サイトにも拡大する可能性があることも十分考慮し、適正な基準を設ける。

－ 51 －

付録 G－制作・送信に関するガイドラインに含めるべき内容
制作・送信に関するガイドラインには、以下の内容を含めることが望ましい。
⚫

利用者に情報を発信する手段（電子メール、SMS、郵送など）⚫

利用者に情報を発信するケース（事例など）⚫

利用者に情報を発信する時間帯⚫

利用者に情報を発信する差出人や件名の書き方⚫

利用者に情報を発信する内容の書き方⚫

構成や段落、ヘッダー、フッターの形式⚫

表現や用語の使い方⚫

問い合わせ先⚫

その他の注意点（ユーザー名、パスワードの確認を行わないなど）⚫

利用者が配信を停止するための方法⚫

電子メールや SMS で利用者に情報を送信する場合の注意点⚫

電子メールを利用する場合は、テキスト形式で作成することが望ましい⚫

テキスト形式以外を利用する場合は、フィッシングメールと混同する可能性やフィッシングメールを作成・悪用されるリスクを理解しして使用する⚫

電子メール本文内で、画像表示やボタン型リンクを用いるために、HTML 形式を採用する場合、利用者がテキスト形式か HTML 形式かを選択できるように配慮することが望ましいなど－ 52 －

付録 H－フィッシング対策チェックリスト
重要 5 項目（参照：2.フィッシング対策ガイドライン重要 5 項目）
重要項目 1 ◎利用者に送信するメールでは送信者を確認できるような送信ドメイン認証技術等を利用すること□ メール送信に使うドメイン名について DMARC 等の送信ドメイン認証技術を導入している(必須)。
□ VMC 等のブランドアイコンが表示される仕組みを導入している(推奨)。
□ 送信メールの送信者が正規かどうかわかるように S/MIME を導入している(推奨)。
重要項目 2 ◎利用者に送信する SMS においてはなりすましが起きにくいサービス（国内で直接接続される送信サービス等）を利用し、発信者番号を利用者に告知すること□ 使っている発信者番号を利用者に告知している(必須)。
□ なりすましが起きにくい SMS サービスを利用している(推奨)。
重要項目 3 ◎複数要素認証を要求すること□ 複数要素認証を採用している(必須)。
□ 資産の移動（振り込み等）の実行前に再認証を行っている(推奨)。
重要項目 4 ◎ドメインは自己ブランドと認識して管理し、利用者に周知すること□ 自組織に割り当てられているドメイン名を把握している (必須)。
□ ドメイン名のライフサイクル管理をしている。ドロップキャッチの対策をしている(必須)。
□ ある部署もしくは発注先などによって勝手にドメイン名が設けられたり使われたりしないように管理している(必須)。
□ 利用者にサービスで使っているドメイン名を周知している(推奨)。
重要項目 5 ◎フィッシングについて利用者に注意喚起すること□ フィッシング詐欺が起きている場合にはその旨を周知している(必須)。
□ フィッシング詐欺についての注意喚起を行う Web ページ等を設けている(推奨)。

利用者が正規メールとフィッシングメールを判別可能とする対策（参照：3.3.1）
要件 1◎
利用者が確認できるように利用環境と分かりやすい説明に配慮した
上で、どのように確認すればいいのかを分かりやすく端的に説明すること。
□ 利用者が正規メールと判別できるように BIMI 等のブランドのロ
ゴや公式マーク、S/MIME を使った電子署名を施すなどしている。なりすましメールが送られているときに利用者が判別できるようにしている。
□ どのように確認すればいいのかを説明している。

－ 53 －

要件 2

◎

要件 3

◎

要件 4

◎

外部送信用メールサーバーを送信ドメイン認証に対応させること□ 外部送信用のメールサーバーは SPF、DKIM、DMARC 等の送信メー
ルドメイン認証技術に対応している。
□ BIMI を導入している。
利用者へのメール送信では、制作・送信に関するガイドラインを策定し、これに則って行うこと□ 社内や組織内でメール作成に関するガイドラインを策定している。
利用者に送信する SMS には国内直接接続の配信、または、RCS 準拠
サービスを利用すること□ SMS には国内直接接続の配信、または、RCS 準拠サービスを利用している。

フィッシング被害を拡大させないための対策（参照：3.3.3）
要件 5◎
利用者が安全にサービスを利用する環境を整えるように促すこと□ メールや SMS に記載された URL もしくは検索結果の URL を利用させない、それを前提としない形を取っている。
□ 利用者には正規の Web サイトであることを確認いただいた上でブックマークしていただくようになっている。
要件 6◎
複数要素認証を要求すること□ ワンタイムパスワードといった所有認証、指紋や顔認証といった生体認証を組み合わせた複数要素認証を求めるようにしている。
□ ポイントや資産の移動操作実行時には複数要素認証を求めるよ
うにしている。
要件 7◎
資産の移動に限度額を設定し、変更・移動時は通知を行うこと□ 資産の移動機能（ポイント交換や他金融機関への振込み、商品の購入など）については上限を設け、制限を超えた時には利用者に連絡するようになっている。
□ 資産の移動等が行われたときに利用者に通知を行っている。
要件 8◎
利用者の通常とは異なるアクセスや登録情報の変更や登録情報の変更に対しては追加のセキュリティを要求すること□ 利用者の通常とは異なるログインや登録情報の変更が行われる
場合には、第二認証や第三認証を求めるようにし、次の操作に進めないようにしている。
要件 9○
重要情報の表示については制限を行う□ クレジットカード番号やデビットカード番号は下 4 桁など一部だ
けの表示に留めている。
要件 10◎
不正利用も含めたアクセス履歴の可視化□ 利用者がそのサイトへの過去のアクセス履歴（複数回）を確認できるようにしている。
□ アクセス履歴にはユーザーアクション、接続時刻、接続時間、接続端末（PC、スマートフォンなど）およびアクセス元 IP アド
レスを含む。

－ 54 －

ドメイン名に関する配慮事項（参照：3.3.4）
要件 11◎
ドメイン名を自社のブランド戦略の一貫として考えること□ ドメイン名の管理を内部統制のプロセスの中に含めている。
□ Web サイトで用いるドメイン名および送信するメールの送信者ア
ドレスのドメイン名は同一である(推奨)。
要件 12◎
使用するドメイン名と用途の情報を利用者に周知すること□ フィッシング対応を行う国内外のベンダー、調査機関、事業者、アナリスト等に向けて、正規ドメインと用途（サービス名）を示している。
□ サービスとは違うドメイン名を使用する場合は送信ドメイン認証技術でドメイン名を保護している。
要件 13◎
ドメイン名の登録、利用、廃止にあたっては、自社のブランドとして認識して管理すること□ ドメイン名管理のためのルール・手順を社内で確立している。
フィッシングへの備えと発生時の対応（参照：3.3.5）
要件 14◎
フィッシング対応に必要な機能を備えた組織編制とすること□ 事前準備、役割分担および連絡・レポート体制を明確化している。
□ フィッシング被害が発生してしまった際の行動計画（対応フロー）を策定している。
□ フィッシングについて組織内で連絡や連携が取れるようになっている。
□ サービス運用部門と協力し、ログなどの分析結果からの状況把握と対策の効果測定を行っている。
要件 15◎
フィッシング被害に関する対応窓口を明記すること□ 利用者からの情報提供を受けるフィッシング報告窓口を設けており、利用者のために明記している。
□ 利用者に多大な被害が及ぶサービス（金融系、クレジットカー
ド系、キャッシュレス決済サービス等）の場合、アカウントの利用制限（停止）依頼や事故の被害を報告できる 24 時間受付窓口を設置している。
要件 16◎
フィッシングの手法および対策に関わる最新の情報を収集すること□ 情報サイトのセキュリティコーナーやウイルス情報のサイトを確認している。
要件 17◎
フィッシングサイトへの対応方法を整備しておくこと□ URL フィルターの申告方法（テイクダウンよりも即効性が期待できるため）を定めている。
□ テイクダウンのアプローチ方法（自社、社外業者）を定めている。
□ 発生中のフィッシングサイトを利用者に注意喚起する実施手順を定めている。
利用者への啓発（参照：3.3.6）
要件 18◎
利用者が実施すべきフィッシング対策啓発活動を行うこと－ 55 －

要件 19◎□ 正規のメールおよび SMS か否かを判断する助けとなるようフィッ
シングに関する注意喚起や啓発を行っている。
□ 正規メールのみに表示されるアイコンなど「見てわかる」方法を中心に、図やスクリーンショット、漫画などで分かりやすく表現している。
フィッシング発生時の利用者への連絡手段を整備しておくこと□ フィッシングが発生したときに Web や SNS などに注意喚起を掲載できるようになっている。
□ SNS での通知のために公式アカウントを取得している。
□ 通知のできる公式アプリを採用している。

フィッシング被害の発生を迅速に検知するための対策（参照：3.4）
要件 20○
Web サイトに対する不審なアクセスを監視すること□ ログインの失敗が多発するなど不審なアクセスを監視している。
□ 自社のサイトを構成する以下の資産に対して異なるドメイン名からの参照が行われていないかを監視している。
要件 21◎
フィッシング検知に有効なサービスを活用すること□ インターネット上の不正活動を 24 時間体制でモニタリングし、URL フィルターへの登録やテイクダウンを行う商業サービスを利用している。
□ 事業者特有の文字列を含むドメイン名の事業者以外からの登録状況のモニタリングや検知・通知サービスを活用している。
要件 22◎
DMARC レポートやバウンスメールを監視している。
□ DMARC レポートを収集・分析し、自社ドメインがなりすましをされているか、また、されていた場合のメール送信元のサーバーや配信規模を把握できるようになっている。
□ DMARC 未対応の場合は、バウンスメールを監視し、フィッシング
の兆候を検出できるようになっている。

－ 56 －

7. 検討メンバー
本ガイドラインの検討を行ったフィッシング対策協議会 2023 年度技術・制度検討ワー
キンググループの構成は次のとおりである（所属は 2024 年 2 月時点）。

区分

氏名

主査

木村 泰司
明尾 洋一
猪野 裕司
梅野 祐太
浦田 泰裕
遠藤 淳
掛谷 勇治
加藤 孝浩
加藤 雅彦
狩野 耕太
川口 祐介
熊沢 明生
黒田 和宏
小頭 秀行
鈴木 一実
鈴木 壮
関根 健太郎
高田 加菜江
田中 優成
塚田 晴史
中村 翔太
野々下 幸治
早川 和実
星加 匡人
平塚 伸世
福地 雅之
増田 亮
松尾 佳彦
松本 悦宜
尹 慈明

オブザーバ

所属
一般社団法人日本ネットワークインフォメーションセンター
サイボウズ株式会社
株式会社リクルート
ソフトバンク株式会社
株式会社アクリート
株式会社日本レジストリサービス
株式会社マクニカ
TOPPAN エッジ株式会社
長崎県立大学株式会社みずほフィナンシャルグループ
かっこ株式会社
ソフトバンク株式会社
NTT コムオンライン・マーケティング・ソリューション株式会社

KDDI 株式会社株式会社マクニカ
OpSec Online Limited
かっこ株式会社
楽天グループ株式会社
株式会社アクリート
株式会社マクニカ
KDDI 株式会社
トレンドマイクロ株式会社
NTT コミュニケーションズ株式会社
株式会社みずほフィナンシャルグループ
一般社団法人 JPCERT コーディネーションセンター
NTT コムオンライン・マーケティング・ソリューション株式会社

KDDI 株式会社株式会社日本レジストリサービス
Capy 株式会社
SBI EVERSPIN 株式会社

経済産業省 商務情報政策局サイバーセキュリティ課

ー事務局

一般社団法人 JPCERT コーディネーションセンター
株式会社三菱総合研究所－ 57 －