その「リンク」が入口になる――フィッシングサイトへ誘導する危険なURLの手口と、実際に起きた被害事例

フィッシング対策協議会が2026年6月に公開した「フィッシングレポート2026」によると、2025年の1年間に同協議会へ寄せられたフィッシング報告件数は2,454,297件となり、過去最多を更新しました。

主な数値を整理すると、次のとおりです。

指標	数値
2024年の年間報告件数	1,718,036件
2025年の年間報告件数	2,454,297件(前年比 約1.43倍)
2025年3月の月間報告件数	249,936件(当時の月間過去最多)
2025年にかたられたブランド数	229ブランド
証券口座の乗っ取りによる不正取引(2025年)	約7,393億円規模
2026年7月の月間報告件数	66,119件(Amazonをかたるものが約37.0%)

2025年は、証券会社をかたるフィッシングで盗まれた情報を使って証券口座を乗っ取り、株価操縦によって利益を得る手口が大きな被害をもたらしました。
フィッシングで盗まれた認証情報が、そのまま金銭的被害に直結することを示した象徴的な出来事といえます。

また、見落とせないのが送信元の「本物らしさ」です。

2026年7月の調査では、独自ドメイン名を使った「なりすましではない」送信が約73.5%を占め、そのうち約94.7%が送信ドメイン認証（DMARC）に成功していました。

つまり、「認証に通ったメールだから安全」とは言い切れず、送信元の情報だけで危険性を見分けることは難しくなっています。

参照：フィッシング対策協議会 「フィッシングレポート2026」

フィッシングサイトへ誘導するURLは、さまざまな経路から届きます。

代表的なものは次のとおりです。

• メール本文のリンク：「アカウントの有効期限が切れます」「不正なログインを検知しました」など、緊急性をあおる文面で偽のログイン画面へ誘導します。
• 添付ファイル内のリンク：PDFなどの添付ファイルを開かせ、その中に記載されたリンクから外部サイトへ誘導します。本文にURLがないため、見た目では気づきにくいのが特徴です。
• メッセージ機能・SMS：ビジネスチャットやSNSのダイレクトメッセージ、SMSなど、メール以外のメッセージ機能でもURLが送られてきます。スマートフォンではURL全体が表示されにくく、判別がより困難です。
• QRコード：画像として埋め込まれたQRコードを読み取らせ、スマートフォンから偽サイトにアクセスさせる手口もあります。URLが文字として表示されないため、確認の機会そのものが失われます。

攻撃者は、既存のURLフィルターや利用者の目をすり抜けるために、さまざまな工夫を凝らしています。主な手口を表にまとめました。

手口	概要	見分けにくい理由
ランダムなサブドメイン	大量配信メールに、毎回異なるサブドメインを付けたURLを記載する	URLが1件ごとに異なり、既知の危険URLリストへの登録が追いつかない
安価なドメインの悪用	2025年7月は「.top」「.cn」の2つで報告URL全体の約48.8%を占めた	新規取得が容易で、短期間で使い捨てられる
正規サービス経由のリダイレクト	翻訳サービスのURLを悪用したリダイレクトが約8.5%確認された	表示上は有名サービスのドメインに見える
正規アカウントからの送信	乗っ取った実在の従業員アカウントからフィッシングメールを送る	送信元、署名、これまでのやり取りがすべて本物
添付ファイルへの埋め込み	PDFなどの添付ファイル内にリンクを配置する	本文に記載されたURLだけを確認する対策をすり抜けやすい
類似ドメイン	正規のドメインに似せた文字列を使う	一瞬見ただけでは違いに気づきにくい

さらに近年は、生成AIの普及により、不自然さのない日本語で書かれたフィッシングメールも珍しくなくなりました。
「日本語がおかしいメールは怪しい」という従来の見分け方は、通用しにくくなっています。

ここでは、2026年に公表された事案の中から、メール内のURL（リンク）をきっかけに被害が発生したケースを3つ紹介します。いずれも各社が公表した情報に基づき、概要のみを記載しています。

事例1：取引先を装ったメールのリンクから、連絡先の窃取と「なりすまし送信」へ（出版業）

1. 7月27日：取引先を装ったフィッシングメールのリンクを社員がクリックし、表示された偽のログイン画面に認証情報を入力しました。
2. 7月30日：攻撃者が社用メールにログインし、連絡先情報（最大3,812件）を窃取。そのうち553件のメールアドレス宛てに、当該社員を装ったフィッシングメールが送信されました。
3. 同日：社員が異常に気付き、パスワードの変更とセッションの削除を実施しました。

注目すべきは、リンクをクリックしてから実際に悪用されるまでに3日間の空白があった点です。被害者自身が気付かないうちに、自分のアカウントが次の攻撃の「発射台」として使われてしまいました。

事例2：乗っ取られたアカウントから約1,500件――グループ会社へ被害が連鎖（製造業）

1. 9月24日：グループ会社の従業員のメールアカウントへの不正アクセスを確認。侵害された正規アカウントから、グループ内外の関係者へ約1,500件の不審なメールが送信されました。
2. メールにはPDFファイルが添付されており、開くと外部のフィッシングサイトへ誘導され、メールアドレスやID、パスワードの入力を求められる仕組みでした。
3. 9月28日：この不審なメールを受信した別のグループ会社の従業員2名もフィッシング被害に遭い、メールアカウントへの不正アクセスが確認されました。

送信元は実在する同じグループの従業員でした。
「送信元のアドレスを確認しましょう」という従来の注意喚起だけでは防ぎにくい典型例です。

なお、この事案ではパスワードの変更に加えて認証セッションの失効も実施されており、侵害時の封じ込め策として参考になります。

事例3：グループ会社社員のアドレスから届いたメールで認証情報を詐取（メディア業）

1. グループ会社の社員のメールアドレスから届いたフィッシングメールにより、従業員の認証情報が詐取され、メールアカウントへの不正アクセスが発生しました。
2. メールの送受信先の個人情報（氏名とメールアドレス）26件が流出した恐れがあるとされています。

日頃から付き合いのある相手からのメールほど、受信者は警戒を解きがちです。攻撃者はまさにその「信頼関係」を利用しています。

3つの事例の比較

	入口	誘導先	被害の広がり
事例1	取引先を装ったメールのリンク	偽のログイン画面	連絡先の窃取、553件へのなりすまし送信
事例2	乗っ取られた正規アカウントからのメール(添付PDF内のリンク)	認証情報の入力を求めるフィッシングサイト	約1,500件の送信、別のグループ会社で2名が被害
事例3	グループ会社社員のアドレスから届いたメール	認証情報を詐取するフィッシングサイト	送受信先の個人情報26件が流出した恐れ

3つの事例には、共通するポイントがあります。

• 送信元が「本物」である：乗っ取られた正規アカウントや、信頼関係のある相手から届くため、送信元を確認しても異常に気付けません。
• URLが「本物らしい」：類似ドメインや正規サービスを経由したリダイレクト、添付ファイル内のリンクなど、見た目での判別は困難です。
• 被害が時間差で連鎖する：1人の入力が数日後に別の組織の被害を生み、自社だけの問題では済みません。
• 新しいURLが次々に作られる：使い捨てのドメインやランダムなサブドメインにより、既知のリストだけでは対応が追いつきません。

従業員へのセキュリティ教育はもちろん重要です。
しかし、どれだけ注意深い人でも、忙しい業務の中で「本物そっくり」のメールを毎回見抜き続けることは現実的ではありません。
最後の判断を人だけに委ねる構造そのものに、限界があるといえます。

危険なURLによる被害を防ぐには、利用者一人ひとりの行動と、組織としての仕組みづくりの両面からの対策が欠かせません。

利用者（従業員）が意識したいこと

• ログインは、メール内のリンクからではなく、ブックマークや公式アプリから行います。
• 突然のファイル共有や再ログインの要求など、普段と異なる依頼は、電話など別の経路で送信者に確認します。
• 身に覚えのない多要素認証の承認要求は、承認しないようにします。
• 「入力してしまったかもしれない」と感じたら、ためらわずにすぐ情報システム部門へ報告します。

組織（管理者）が整えたいこと

• 受信したメールの本文や添付ファイルに含まれるURLの安全性を判定し、危険なサイトへのアクセスを未然に防ぐ仕組みを検討します。
• 多要素認証を導入し、可能であればフィッシングに強い認証方式の採用も検討します。
• 侵害時の初動手順（パスワード変更、認証セッションの失効、不審な転送ルールや外部連携アプリの確認、サインインログの調査）をあらかじめ定めておきます。
• 不審なメールを報告しやすい窓口を用意し、報告を受けたら同じメールの受信者を特定・一括削除できる体制を整えます。
• 標的型攻撃メール訓練では、クリック率だけでなく「報告までの時間」も確認します。

特に、正規アカウントから送られてくるフィッシングメールに対しては、「誰から届いたか」ではなく「どこへ誘導しようとしているか」に着目した対策が有効です。

リンク先のURLそのものの危険性を判定できれば、送信元が本物であっても被害を食い止められる可能性が高まります。

フィッシングの入口となる危険なURLは、メール本文、添付ファイル、メッセージ機能と、あらゆる経路から届きます。

しかも近年は、乗っ取られた正規アカウントから送られてくるケースが増えており、「怪しいメールを見抜く」だけでは防ぎきれなくなっています。

2024年には12月に月間報告件数が23万件を超え、当時の過去最多を記録したように、年末に向けて攻撃が活発になる時期もあります。

利用者一人ひとりの注意、受信段階で危険なURLを検知する技術的な対策、そして万一の際の初動体制。この3つをそろえ、「クリックしても被害につながらない」環境づくりを今のうちから進めていきましょう。