9月末以降、企業への不正アクセスによる個人情報の漏えいが相次いでいる。被害企業の多くは「現時点で悪用は確認されていない」としながらも、詐欺メールや詐欺電話への注意を呼び掛けている。ITmedia NEWSの取材に対し、フィッシング対策に関わる団体・企業は、報告件数の増加傾向と、漏えいした個人情報を織り込んだ「その人専用」の詐欺メールが現れる懸念を示した。
事案の詳細
同記事によると、フィッシング対策協議会は、一連の不正アクセスとの直接の関係は確認できていないとしたうえで、フィッシングの報告件数が増加傾向にあると説明した。ただし、直近の月間報告件数は2025年10月〜2026年1月ごろの半分程度まで減っていた時期があり、単に増加に転じただけとも捉えられると留保を付けている。また、フィッシングサイトのURL件数は報告件数ほど減っていなかったとして、攻撃者の準備が整えば再び大量に送られる可能性にも触れた。
影響と背景
チェック・ポイント・ソフトウェア・テクノロジーズも、フィッシングメールの件数は増加傾向にあるとする。一連の漏えいとの関連は分かっていないものの、漏えいした情報を組み合わせると標的の人物像が具体的になり、「会費の引き落とし失敗」「追加の請求」といったよくある偽メールが、実際にその状況にありそうな人に届くようになる可能性を指摘した。
詐欺電話・詐欺メール対策を手がけるトビラシステムズは、文面ごとに異なる個人情報やURLを書き込んだメールを確認するようになったとし、無差別にばらまく従来型ではなく、個人を「狙い撃ち」する手口が今後出てくる可能性があるとの見方を示した。
漏えいした情報の種類と、想定される詐欺の文面
ここ数週間に公表された事案を、漏えいした（または漏えいの可能性がある）情報の種類で分けると、悪用されたときの文面の想定が変わる。以下はCSRIによる整理で、実際に悪用が確認されたものではない。
| 漏えいした情報の種類 | 最近の公表例（当サイト記事） | 想定される詐欺の文面 |
|---|---|---|
| 氏名・住所・電話番号・生年月日 | ＠cosme、ドコモ | 本人確認を装う電話やSMS、住所あての偽の請求書・はがき。生年月日を添えて「ご本人確認済み」と信用させる |
| 会社名・担当者名・業務用メールアドレス | MOTEX（LANSCOPE） | ライセンス更新・サポートサイト移転・緊急アップデートを口実にしたメール。製品名と担当者名を正しく書いた文面が届き得る |
| 銀行口座番号・投資口数・保有銘柄 | Securitize Japan経由の各社 | 「配当金の振込先確認」「口座情報の再登録」を口実にした偽サイトへの誘導。取引の事実を知っている前提の文面になる |
共通するのは、「本物の取引関係を知っている」ことを前提にした文面になる点だ。宛名や製品名が正しいことは、もはや本物である根拠にならない。
対策・今後の展望
各社が呼び掛けている対策は基本的なものだ。
- 多要素認証を有効にし、パスワードが盗まれてもログインされない状態にする
- メールやSMSのリンクからログインしない。ブックマークや公式アプリから開く
- カスタマーサポートや社内IT部門を名乗り、緊急の対応を求める連絡は、一度手を止めて別の経路で確認する
- カレンダーの招待ファイル（.ics）が添付されたメールや、ITサービスの通知を装って次の操作を促すメールは、セキュリティ担当者に相談する（チェック・ポイントが特に注意を促した手口）
CSRIからのアドバイス
これまでのフィッシング対策は「宛名がない」「日本語がおかしい」といった違和感で見抜くことを前提にしてきた。漏えいした情報が使われると、その違和感がなくなる。見た目で判断するやり方から、「連絡の経路で判断する」やり方に切り替える必要がある。
例えるなら、自分の名前も住所も、どの店で何を買ったかも知っている人から電話がかかってくるようなものだ。相手が詳しいほど本物らしく聞こえるが、詳しいことは本物である証拠にはならない。
まず、社内で使っている主要なアカウントに多要素認証が設定されているかを確認したい。次に、「取引先・ベンダー・社内IT部門から、支払いやログインを求める連絡が来たら、メールに書かれた連絡先ではなく、既に知っている電話番号や窓口に確かめる」というルールを、1行でよいので全社に周知しておくと効果が大きい。
参照: ITmedia NEWS「情報漏えい続出でフィッシングに変化？ “その人専用詐欺メール”登場の懸念」（2026年11月9日）