フィッシング詐欺の対策とは？最新の手口と企業が実施すべき技術的対策を解説

フィッシング詐欺の報告件数は増え続け、2025年には過去最多を更新しました。従業員教育や多要素認証を導入済みの企業でも被害は発生しており、対策を打っても防ぎきれないという声は少なくありません。その理由は、フィッシング対策を入口だけで完結させようとしている点にあります。

本記事では最新の手口を整理したうえで、企業が実施すべき入口対策と出口対策の二段構えを、具体的な設定レベルまで踏み込んで解説します。

フィッシング詐欺の対策は「予防」と「不正アクセス対策」の二段構えが必要

フィッシング詐欺の対策では、偽メールや偽サイトによる認証情報の窃取を防ぐだけでなく、認証情報が盗まれた場合に不正アクセスへ悪用されるリスクも抑える必要があります。

多要素認証などの認証強化に加え、ボットによる大量のログイン試行やWebアプリケーションへの攻撃を検知・遮断する対策を組み合わせることが重要です。ペンタセキュリティのCloudbric WAF+は、こうしたWeb側の防御を強化する選択肢となります。

入口対策だけではフィッシング被害を防ぎきれない理由

2025年のフィッシング報告件数は約245万件に達し、過去最多を更新しました。フィッシング対策協議会のレポートでは、警察庁の発表として2025年上半期の報告件数が119万6,314件、インターネットバンキングの不正送金被害額は約42億2,400万円と示されています。

IPAの情報セキュリティ10大脅威 2026［個人編］にも、フィッシングと不正ログインがともに選出されています。認証情報の窃取が不正ログインへ直結する構造は、公的にも指摘されています。

情報セキュリティ10大脅威 2026については、以下の記事で詳しく解説しています。あわせてお読みください。

情報セキュリティ10大脅威2026が公表！2026年版のポイントや取り組むべき対策について解説

出典：「フィッシングレポート2026」 フィッシング対策協議会

フィッシング詐欺対策の4領域と、それぞれで防げる範囲

フィッシング詐欺への対策は次の4領域に整理できます。それぞれに防げない範囲があるため、守備範囲を見比べましょう。

これらの対策は役割が異なるため、いずれかひとつだけでフィッシング被害を防ぎきれるものではありません。とくに認証情報が窃取された場合に備えて、フィッシング耐性のある認証方式に加え、ボットによる大量ログイン試行や既知の脅威IPからのアクセスなどを検知・遮断する多層的な対策が重要です。

そもそもフィッシング詐欺とは

フィッシング詐欺とは、実在する企業や金融機関、公的機関を装った偽のメールや偽サイトに誘導し、IDやパスワード、クレジットカード情報を詐取する攻撃手法です。従来はメール中心でしたが、現在はSMS、SNS、QRコード、電話など複数のチャネルが悪用されています。

企業にとって深刻なのは、リスクが二面にわたる点です。ひとつは自社ブランドをかたられ、顧客への対応負荷とブランド毀損が生じること。もうひとつは従業員の認証情報が窃取され、社内システムへの侵害に発展することです。

フィッシング詐欺の主な手口と対策が追いつかない理由

フィッシング詐欺の手口は年々巧妙化し、不自然な日本語やURLの違和感といった従来の見分け方が通用しません。対策が追いつかない理由を3つ整理します。

① メール等による誘導とフィッシング詐欺メール対策の限界

メールやSMSに偽サイトのリンクを載せ、不安を煽って誘導する手口が基本です。フィッシングレポート2026では、フィルター回避のため表示されない制御コードを混ぜる手法が確認されています。

さらに、攻撃者自身が取得した独自ドメインからメールを送信し、DMARC認証を通過させるケースも確認されています。フィッシング対策協議会の2026年1月の報告では、調査対象のフィッシングメールの76.3％が独自ドメインによる「非なりすまし送信」で、その一部はDMARC認証にも成功していました。そのため、送信ドメイン認証だけですべてのフィッシングメールを防ぐことはできません。

出典：「2026/01 フィッシング報告状況」 フィッシング対策協議会

② 多要素認証を突破するリアルタイムフィッシング

リアルタイムフィッシングは、偽サイトに入力されたIDとパスワードを攻撃者が即座に正規サイトへ転送し、表示されたワンタイムパスワードもその場で窃取する手口です。IPAの資料でも、入力した情報が即座に悪用されると示されています。

ワンタイムパスワードを利用する方式など、一部の多要素認証はリアルタイムフィッシングによって突破される可能性があります。そのため、パスキーなどフィッシング耐性のある認証方式への移行と、不審なログイン試行を検知・制限する対策を組み合わせることが重要です。

Cloudbric WAF+では、脅威インテリジェンスを活用したボット対策やMalicious IP遮断を利用できるため、ボットによる自動化されたアクセスや既知の脅威IPからの通信をWebアプリケーションへ到達する前段階で遮断できます。ただし、リアルタイムフィッシング自体をWAFで防ぐものではないため、フィッシング耐性のある認証方式と併用することが重要です。

Cloudbric WAF+については、以下の記事で詳しく解説しています。あわせてお読みください。

Cloudbric WAF+とは？WAAP対応の6つの機能と選ばれる理由を解説

③ 正規サイトの改ざんによるフィッシングページの設置

攻撃者は偽サイトを用意するだけでなく、脆弱性を突いて正規サイトを改ざんし、配下にフィッシングページを設置することもあります。厄介なのは、そのページが正規ドメイン上に存在する点です。

URLのドメインを確認する一般的な見分け方が通用せず、利用者も運営者も気づきにくくなります。自社サイトが踏み台にされれば、ブランド毀損と顧客対応の負荷が同時に生じます。

IPAの「安全なウェブサイトの作り方」でも、SQLインジェクションやOSコマンドインジェクション、ディレクトリトラバーサルなど、Webサイトの改ざんにつながり得る脆弱性への対策が示されています。

企業が実施すべきフィッシング詐欺対策

企業が実施すべきフィッシング詐欺対策を入口・出口ごとに紹介します。

① 入口対策：教育・送信ドメイン認証・多要素認証

従業員教育では、不審なメールを開かない、URLをクリックせず公式サイトやブックマークからアクセスするといった基本行動の徹底が土台です。あわせて、リンクを開いた場合の報告ルールを明文化しておきましょう。報告が遅れれば初動も遅れ、被害が拡大します。

送信ドメイン認証では、SPF、DKIM、DMARCを適切に設定し、自社ドメインを不正にかたるメールを受信側が判別できるようにします。また、多要素認証は漏えいしたIDとパスワードのみを使った不正ログインへの有効な対策です。ただし、ワンタイムパスワード方式などはリアルタイムフィッシングで突破される可能性があるため、パスキーなどフィッシング耐性のある認証方式も検討する必要があります。

これらはいずれも重要な対策ですが、ひとつの対策だけですべてのフィッシング被害を防ぐことはできません。認証情報の窃取を想定し、フィッシング耐性のある認証方式や不審なアクセスを検知・遮断する仕組みを組み合わせることが重要です。

②Web側の防御：不正なアクセスとWeb攻撃を遮断する

窃取された認証情報は、リスト型攻撃（クレデンシャルスタッフィング）として大量の自動ログイン試行に使われます。正規の認証情報が使われるため、アプリケーション側のログでは通常のログインと区別しにくいのです。

ボットを使ったリスト型攻撃では、短時間に多数のログインを試みるなど、自動化されたアクセス特有の挙動が現れる場合があります。ボット対策や脅威IP遮断を活用することで、こうした不審な通信を検知・遮断し、不正アクセスのリスクを低減できます。

また、WAFはSQLインジェクションやOSコマンドインジェクションなど、Webサイトの改ざんにつながり得る攻撃の遮断にも有効です。ただし、窃取された正規アカウントによる管理画面へのログインなど、WAFだけでは防げない改ざん経路もあるため、認証強化や脆弱性管理との併用が必要です。Cloudbric WAF+では、WAF・ボット対策・Malicious IP遮断などをひとつのサービスで利用できます。

SQLインジェクションについては、以下の記事で詳しく解説しています。あわせてお読みください。

SQLインジェクションとは? 攻撃の仕組みや被害例、対策方法を解説

Cloudbric WAF+による出口対策の設定と防御範囲

Cloudbric WAF+は、WAFに加えDDoS攻撃遮断、API保護、ボット対策、Malicious IP遮断を単一プラットフォームで提供するクラウド型WAFです。導入はDNS情報の変更のみで完了します。ここからは設定すべき3つの機能を解説します。

①ボット対策で不正ログイン試行を遮断する

ボット対策機能では、脅威インテリジェンスから抽出・評価された悪性ボットと良性ボットを管理画面上で切り分けて制御できます。検索エンジンのクローラーなどは許可したまま悪性ボットのみを遮断できるため、SEOや正規サービスへの影響を抑えられます。

さらにCloudbric WAF+ v3.0では、利用環境に合わせたカスタムボットブロック機能が追加されています。良性ボットを管理しながら、自社環境で不要または不審と判断したボットを個別に制御できるため、自動化された不正アクセスへの防御を強化できます。

v3.0では良性ボットの管理とカスタムボットブロック機能が追加され、ボットセキュリティが強化されています。

②脅威IP遮断で悪性IPからのアクセスを排除する

Malicious IP遮断は、Cloudbric Labsの脅威インテリジェンスをもとに、危険度スコアリングが最も高い「危険度10」の脅威IPを遮断する機能です。Cloudbric WAF+ v3.0では、世界171カ国・70万以上のサイトから収集した脅威インテリジェンスを活用しており、IPの評価は毎日更新されます。

既知の脅威IPをあらかじめ遮断することで、不正アクセスやWeb攻撃に利用された実績のある送信元からの通信をWebアプリケーションへ到達する前段階で排除できます。ボット対策と組み合わせることで、不正アクセスに対する防御層を追加できます。

③WAFエンジンでサイト改ざんにつながるWeb攻撃を遮断する

Webアプリケーションの脆弱性を悪用した改ざんを防ぐには、攻撃通信をWebアプリケーションへ到達する前に検知・遮断することが重要です。Cloudbric WAF+は、日本を含む5カ国で特許を取得した独自の論理演算検知エンジンとAIエンジンを搭載し、SQLインジェクションやXSS、コマンドインジェクションなどのWeb攻撃を検知・遮断します。

Cloudbric WAF+では、DNS切り替え後に標準で約1カ月間の検知モードを設け、セキュリティエキスパートが検知ログを分析したうえで、保護対象ごとのセキュリティ運用ポリシーを作成・適用するマネージドサービスが提供されています。

フィッシング詐欺対策に関するQ&A

最後に、実務でよく寄せられる質問を3つ取り上げます。

Q1．多要素認証を導入していればフィッシング詐欺は防げますか？

多要素認証の方式によって異なります。ID・パスワードにワンタイムパスワードを組み合わせる方式は、リアルタイムフィッシングで突破される可能性があります。一方、パスキーなどフィッシング耐性を持つ認証方式は、リアルタイムフィッシングへの有効な対策です。認証強化に加え、不審なアクセスを検知・遮断する対策も組み合わせましょう。

Q2．フィッシングサイトにアクセスするだけでも被害を受けますか？

フィッシングサイトへアクセスしただけで、必ずIDやパスワードが窃取されるわけではありません。一般的なフィッシングでは、偽サイトに認証情報やクレジットカード情報などを入力することで情報が窃取されます。ただし、悪意あるスクリプトやマルウェアなど別の攻撃が組み合わされている可能性もあるため、不審なサイトに気づいたら入力や操作をせず離脱してください。

Q3．自社をかたるフィッシングサイトを見つけた場合はどうすればよいですか？

フィッシング対策協議会と警察に報告し、公式サイトやSNSで注意喚起します。あわせて自社サイトが改ざんされていないか確認してください。

まとめ

フィッシング詐欺の対策は、メールや偽サイトへの対策だけでは完結しません。従業員教育や送信ドメイン認証に加え、パスキーなどフィッシング耐性のある認証方式を導入し、認証情報が窃取された場合も想定した多層防御が必要です。また、ボットによる大量ログイン試行やWebアプリケーションへの攻撃を検知・遮断する対策も、被害拡大のリスクを抑えるうえで有効です。

Cloudbric WAF+は、ボット対策、Malicious IP遮断、WAFなどをひとつのサービスで提供し、自動化された不正アクセスやWebアプリケーションへの攻撃に対する防御を強化できます。マネージドセキュリティサービスも付帯しているため、自社だけでWAFを設計・運用する負荷を抑えられます。フィッシングを起点とした不正アクセスを含め、Web側のセキュリティを強化したい方は、まず資料をご覧ください。