フィッシング耐性を持つ多要素認証を要求、「フィッシング対策ガイドライン2026年度版」を公開　フィッシング対策協議会

フィッシング対策協議会は6月1日、事業者向けの「フィッシング対策ガイドライン」と、一般向けの「利用者向けフィッシング詐欺対策ガイドライン」の2026年度版を公開しました。フィッシング詐欺を防ぐため、事業者と利用者の双方が講じるべき対策を、それぞれ整理、提示しています。

フィッシング詐欺は、生成AIの悪用によって詐欺メールの文章が洗練され、従来の「不自然な日本語」を手がかりに見破ることが困難になっています。フィッシング対策協議会によると、フィッシング報告件数は、3年前の月間10万件未満から倍増し、月によっては20万件を超えています。今般公開された最新版では、推奨する対策について「なぜそれが必要なのか」という背景や想定されるリスクを併記して説明しています。

事業者向けガイドラインでは、被害を防ぐための重要5項目と10の要件を前年度に引き続き記しています。ただ、重要項目3と要件4において、従来の「多要素認証を要求すること」から「フィッシング耐性を有する多要素認証を要求すること」へと内容が強化されました。この追記は、利用者に送付されるワンタイムパスワードを攻撃者がリアルタイムで盗み出して悪用する攻撃が多発しているため、パスキーなどの中間者攻撃の影響を受けない強固な認証方式の導入を求めるものです。

また、要件1において求められているDMARC導入については、まずはメールを隔離する設定（なりすましと判定されたメールを、受信トレイではなく「迷惑メールフォルダ」などに隔離して届ける設定）から始め、最終的に排除設定を目指すという現実的な段階的導入が明記されました。監視モード（なりすましメールであっても、一旦そのまま受信者の受信トレイに届ける）にしたまま運用を続けると、なりすましメールが素通しで届き続けるため被害抑制につながらないと警告しています。

個人の携帯電話番号（090など）を悪用したフィッシングSMSが急増しています。ガイドラインでは、その対策として2023年1月から全携帯キャリア対応となった「0005」で始まる10桁の番号などの利用を推奨しています。ガイドライン最新版ではそのメリットとして、受信側で安全なメッセージであると判別しやすく到達率が高まることに加え、発信側にとってもキャリアごとに異なる番号を伝える必要がないため管理負荷が軽減される点を挙げています。

利用者が目視で正しいURLを見分けることは困難となってきています。事業者側がメールを作成・送信する際の基本的な方針（望ましい手法）として利用者に無用なリスクを負わせないとの観点から、Webサイト運営者が利用者に送信するメールにはリンクURLを記載しない、もしくはテキスト形式で作成することが明記されました。利用者には、公式サイトのブックマークや公式アプリからアクセスするよう促します。

一方、一般利用者向けのガイドラインでは、情報量が多くなりがちな対策の中から「最低限守っていただくポイント」を絞り込み、新たに「3つの基本行動」を重点項目として定めました。1つ目は多要素認証や迷惑メールフィルターなどの仕組みを有効にする「技術で守る」、2つ目はメールなどにあるリンク先には入力せずブックマークや公式アプリから入力する「入力に注意」、3つ目は家族や警察・相談窓口などに相談する「迷ったら相談」です。事業者と利用者の双方がガイドラインにある対策を適切に実施することで、フィッシング被害の抑制につながります。

参考情報