概要
フィッシング対策協議会によると、2026年6月に日本で報告されたフィッシング攻撃は前月比で約42.6%減少した一方で、悪用されたURLの数は約3.2%増加しています。これは「全体の数が減ったが、悪質なURLの質はむしろ悪化している」可能性を示しており、情シス担当者にとっては、単純な件数の減少を安心材料にしてはいけない重要なサインです。
特に今回のデータでは、報告済みのフィッシング件数は7万2370件、悪用URL数は4万2241件と、攻撃の広がり方が変化していることが分かります。EC・クレジットカード系の被害が多い一方、独自ドメインを使ったURLが9割超を占める状況は、従来の「URLの黒リスト化だけで対策できる」時代ではなくなったことを示しています。
今回の事例は、企業が「フィッシング報告の減少」を見て安心せず、悪用URLの傾向変化・メールの誘導先・セキュリティ教育のギャップを見直すべきだという警鐘です。自社のメールセキュリティと従業員対応を再評価する好機と捉える必要があります。
目次
1. 何が起きたか
フィッシング対策協議会の発表によると、2026年6月に日本国内で報告されたフィッシング攻撃は7万2370件でした。これは前月の12万6061件から約42.6%減少した数値です。1日あたりに換算すると約2412件で、4月の15万1112件から2か月連続で減少傾向が続いています。
一方で、攻撃で悪用されたURLは4万2241件で、前月比約3.2%増加しました。今月の特徴として、報告件数は下がっているが、悪用URLはむしろ増えている点が大きいといえます。つまり、攻撃自体の量は抑えられていても、攻撃の品質や持続性が向上し、1件あたりの被害が大きくなりやすい状況が進行している可能性があります。
また、報告されたフィッシングメールのうち9割超で「独自ドメイン」を使ったURLが利用されていました。これは、定番の既知ドメインでの検知が効きやすい状況から、短期間で作られたドメインや偽装ドメインが増えていることを示しています。従来のURLブロックリスト偏重の対策だけでは、検知の網が薄くなる傾向にあるのです。
2. 急減したのは件数、増えたのは悪用URL
件数が減った背景
フィッシング対策協議会の報告を見ると、EC関連の攻撃が約42.7%を占め、続いてクレジット・信販関連が約27.4%でした。合わせると7割近くを占めるため、攻撃の主対象はやはりオンライン決済とECを狙う分野です。
このような分野では、セキュリティ対策やユーザー教育が進んだことなどにより、攻撃の報告件数そのものが一時的に落ちている可能性があります。特に、利用者側で「偽サイトにアクセスした」「ログインが要求された」といった典型的なフィッシングメールに対する警戒が進んだ結果、報告件数が減ったと考えられます。
しかしURLは増えている
一方で、悪用URL数は4万2241件と前月比で増加しています。これは、フィッシングメールの総数が減っていても、1回のキャンペーン当たりのURL数が多くなっているか、リンク先の差し替えやドメインの変化が速くなっていることを示唆しています。
特に独自ドメインが多いことは、攻撃者側が「検知されにくいURLをすばやく回転させている」可能性を意味します。ドメインレピュテーションや既知URLブロックでは追いつきにくく、実際のユーザー行動により近い観点での対策が必要です。
経営層に伝えるべき重要なメッセージ
この分析を簡潔に言うと、「報告件数の減少は改善の表れではあるものの、悪用URLの質と攻撃の巧妙化が進んでいる」ということです。企業の情報セキュリティ担当者は、件数が減ったからといって油断してはいけません。
既存のメールフィルタやセキュリティ教育だけでは、実際の誘導先が変化し続ける攻撃を防ぐのは難しくなっています。今後は、URLの再利用、ドメインの偽装、偽ブランドの誘導、ユーザーの注意喚起のタイミングを見直す必要があります。
3. 情シス担当者が確認すべきポイント
1. メール送信元の見分け方ではなく、URLの実体を見極める
今回のデータでは、独自ドメインの利用が圧倒的に多いことが分かっています。したがって、送信者名や件名だけでなく、メッセージ本文やリンク先のURLのドメイン・表記の揺れを確認する習慣が重要です。
- 短縮URLや、ドメイン名の細かな変化に注意する
- 「EC」「支払い」「認証」「請求」などの文言を含むメールは要確認
- クリック前に、URLの正規ドメインと用途を照合する
2. L2/L3だけでなく、ユーザー教育の見直しが必要
フィッシングメールが「減っている」からといって、ユーザーの警戒が下がっているわけではありません。むしろ、今後は「見慣れたブランド名」「自然な言い回し」「即時対応が必要」という心理を突く手口が増える可能性があります。
特に、以下のような訓練が有効です。
- ログイン要求メールの確認を強化する
- クリック前に一度、正規サイトへ遷移して確認する習慣を徹底する
- 「緊急性」「遅延」「請求」「契約更新」などの文言に対する教育を進める
3. メールセキュリティやEDRだけで完結させない
従来のメールセキュリティ製品は、既知の悪性URLや悪性ドメインの検出に強い一方、新規ドメインや短命な偽サイトへの対策は追いつきにくいことがあります。だからこそ、個人情報やパスワード、端末のログイン状態を守るための追加対策が必要です。
- MFA の適用範囲を見直す
- 管理者向けアカウントと一般ユーザーアカウントの分離を確認する
- 重要アプリへのログイン時に、メール通知や異常ログの監視を強くする
4. 監視ログを「件数」ではなく「質」で見る
今後は「フィッシングメール報告数が減ったかどうか」よりも、偽ドメインの検知数、リンククリックの有無、ユーザーの報告率、セキュリティ対策のブロック率を監視する方が有効です。件数の減少は、攻撃者の変化やドメインの差し替えの速度に追いついていない可能性があります。
セキュリティ担当者は、単にサインイン試行の失敗数や攻撃メール数を見るのではなく、ユーザー行動とエンドポイント側の検知状況を合わせて見てください。
4. まとめ・YJK からのコメント
今回のデータは、フィッシング攻撃の「件数」が減っているからといって、リスクが低くなったわけではないことを示しています。むしろ、悪用URLの数が増え、独自ドメインの利用が増している現状では、メール本文やリンクの偽装を見抜く土台づくりがこれまで以上に重要です。
企業の情シス担当者は、今後の対応を「フィルタリングの強化」だけに寄せず、ユーザー教育・MFA・重要アカウントの保護・異常ログの監視を一体で進めてください。フィッシング対策は、数の減少を見て安心する段階ではなく、攻撃手口の変化を読み取る段階に入っています。