フィッシングとは、実在する企業や組織になりすましたメール・SMS・メッセージで偽のWebサイトへ誘導し、ID・パスワード、クレジットカード番号、ワンタイムパスワードなどを入力させて盗み取る詐欺の手口です。ソフトウェアやサービスの名前ではなく攻撃手法の総称なので、「使い方」や「料金」は存在せず、知っておくべきなのは見分け方と防ぎ方です。
フィッシングとは：手口の流れ
典型的な流れは3段階です。まず「お荷物をお届けできませんでした」「アカウントがロックされました」「返金手続きのご案内」など、急いで対応させる文面を送ります。次に、本物とそっくりなログイン画面を用意したURLへ誘導します。最後に、入力された認証情報やカード情報をすぐに悪用し、不正ログインや不正決済を行います。
経路ごとに呼び名が分かれています。SMSを使うものはスミッシング、特定の企業や担当者を狙って文面を作り込むものはスピアフィッシング、電話を使うものはビッシングと呼ばれます。
見分け方と個人の対策
最も確実なのは、メールやSMSのリンクからログインしないことです。公式アプリやブックマークから自分でアクセスすれば、偽サイトに入力する経路そのものがなくなります。
パスワードマネージャーも有効です。登録したドメインと一致しないサイトでは自動入力されないため、見た目がそっくりな偽サイトに気づくきっかけになります。さらに、パスキー（FIDO2）はログイン先のドメインと結び付いた認証方式なので、偽サイトでは認証自体が成立しません。「フィッシング耐性がある認証」と呼ばれるのはこのためです。一方、SMSで届くワンタイムパスワードは、偽サイトにそのまま入力させて中継する手口があるため、それだけでは防ぎきれません。
企業・DX担当が押さえるべき対策
自社がなりすまされる側になる場合、送信ドメイン認証（SPF・DKIM・DMARC）を設定し、自社ドメインを装ったメールが受信側で弾かれるようにすることが基本です。顧客向けには「メールでパスワードを尋ねない」などの方針を明示し、ログインにパスキーを導入すれば、被害を構造的に減らせます。
費用は対策の内容によって大きく変わるため、ここでは金額を示しません。送信ドメイン認証の設定は主にDNSの設定作業で済みます。メールセキュリティ製品や社員向けの訓練サービスを使う場合は、各社の見積もりが必要です。
情報漏えいとの関係
当サイトでは、ヤマト運輸の「クロネコ代金後払い」で530万件超、さくらインターネットで136万件超の会員情報に影響が出た不正アクセスを報じてきました。どちらも、現時点で手口や漏えいした項目の詳細は確認できていません。アバハウスの件は、利用者から「不審な返金メールが届いた」という報告が寄せられて発覚しました。ただし、そのメールがフィッシングだったかどうかは報道からは分かりません。
一般論として、氏名や住所、利用中のサービス名が知られると、本物らしい文面を作りやすくなります（これは推測であり、上記の事案で実際に悪用されたことを示すものではありません）。漏えいの通知を受けた事業者の利用者は、その後に届く「お詫び」や「返金」をうたう連絡こそ、公式サイトで確認する必要があります。
誰が仕掛けているのか（投資家向け）
フィッシングに特定の開発元はありません。偽サイトのテンプレートや配信の仕組みを販売・貸与する「フィッシングキット」や「PhaaS（Phishing-as-a-Service）」があり、攻撃は分業化しています。対策側の市場は、メールセキュリティ、パスキーなどの認証基盤、ブランドのなりすまし監視、社員訓練といった領域に分かれています。
