フィッシング
信頼できる組織や人になりすましたメールや Web サイトなどで、相手をだまして、パスワードやカードの番号などの重要な情報を入力させたり、マルウェアを開かせたりする手口です（英語では phishing）。
ソーシャルエンジニアリングの代表的な形です。
定義
NIST の用語集は、次のような定義を載せています。
- 正規の事業者や評判のある人物になりすました、メールや Web サイトでの不正な勧誘によって、銀行口座の番号などの機微な情報を手に入れようとする手口（NIST SP 800-12 Rev. 1。出典はインターネットのセキュリティ用語集 IETF RFC 4949）
- 欺くためのコンピュータの手段で、個人に機微な個人情報を明かさせること（NIST SP 800-83 Rev. 1 ほか）
主な種類
送金の指示を装う詐欺（ビジネスメール詐欺）も、同じ考え方の手口です。
守る手段（組織）
| 手段 |
何をするか |
| フィッシングに強い認証 |
FIDO2／WebAuthn（パスキー、セキュリティキー）などを使い、パスワードを入力させられても、それだけでは入られにくくする。NIST SP 800-63B-4 は、ワンタイムパスワードのように手で入力する方式は、偽のサイトから本物へ中継されうるので、フィッシングに強いとはみなさないとしている。ログイン後のセッションの盗難、アプリへの同意やデバイスコードを悪用する手口、ヘルプデスクを欺く手口、遠隔管理ツールを導入させる手口には効かないので、ほかの手段と組み合わせる（多要素認証） |
| メールの送信元の認証 |
SPF・DKIM・DMARC で、送信元のドメインそのものの詐称を、受信側が見分けやすくする。似た名前のドメイン、表示名の偽装、乗っ取られた正規のアカウントからのメールは見分けられない（認証・認可技術） |
| 依頼を別の経路で確かめる |
送金や振込先の変更など重要な依頼は、メールとは別の経路で本人に確かめる |
| 報告の決まり |
怪しいメールを受け取った・開いてしまったときに、すぐ報告できる窓口と手順。開いてしまった人を責めない |
| 教育と訓練 |
手口を知り、報告の練習をする |
守る手段（個人）
- パスキーが使えるサービスでは、パスキーを使う
- メールや SMS のリンクからログインしない。公式のアプリか、自分で登録したブックマークから開く（URL偽装）
- 勤め先のメールなら、怪しいと思った時点で、決められた窓口に報告する
日本の法令
不正アクセス禁止法 第7条は、アクセス管理者（ID とパスワードなどで利用を管理している者）になりすまし、又は誤認させて、識別符号（ID とパスワードなど）の入力を求める情報を、Web などで公衆が閲覧できる状態に置く行為や、電子メールで利用者に送る行為を禁じています。アクセス管理者の承諾を得てする場合は除かれます。罰則は第12条第4号（1年以下の拘禁刑又は50万円以下の罰金）です。2026年10月時点の条文に基づきます（
不正アクセス禁止法）。
関連するページ
出典
確認日：2026年10月16日
最終更新：2026年10月17日 08:02
