2026年7月のフィッシング報告は66,119件 — Amazonかたる手口が37.0%へ急増、対策協が最新の月次報告を公表

フィッシング対策協議会は2026年8月17日、2026年7月のフィッシング報告状況を公表した。同協議会に寄せられたフィッシング報告件数は66,119件で、前月（72,370件）から6,251件減少し、約8.6%減となった。一方、報告されたフィッシングサイトのURL件数（重複なし）は43,267件で、前月（42,241件）から1,026件増加し、約2.4%増となった。報告件数が減っても悪用URLは増えるという、動きの乖離が続いている。

Amazonかたる報告が37.0%へ急増

2026年7月に報告されたフィッシングのうち、Amazonをかたる手口は全体の約37.0%を占め、前月（約24.0%）から大きく上昇した。次いでAppleが約11.8%、**セゾンカードが約7.7%となり、JCB、イープラスを加えた上位5ブランドで全体の約68.6%を占めた。1,000件以上の報告があったブランドは11件で、これらを合わせると全体の約84.4%**に達する。

協議会によると、悪用されたブランド件数は101件で、前月から3件増加した。内訳はクレジット・信販系19ブランド、通信事業者・メールサービス系16ブランド、EC系10ブランド、オンラインサービス系10ブランド、金融（銀行）系7ブランド、決済サービス系6ブランドなどで、通信事業者・メールサービス系の増加が目立った。

分野別の割合では、**EC系が約50.5%**で最多となり、クレジット・信販系が約25.4%、オンラインサービス系が約7.5%、航空系が約4.6%、決済サービス系が約2.4%、**交通系が約2.1%**と続いた。EC系の件数と割合は引き続き増加し、クレジット・信販系は減少した。一方、金融（銀行）系は全体に占める割合は小さいものの、報告数は前月の倍以上となり、増加傾向が確認された。

URLとメールの手口 — 正規サービスを悪用する誘導が拡大

フィッシングサイトのURLでは、**ホスト名にamazonaws.comをそのまま使うケースが約23.2%**を占めて急増した。短縮URLサービスやsendgrid.netからのリダイレクト、正規サービスのドメイン名をそのまま使うことでフィルター検知を回避する手口は、**報告全体の約25.8%**を占め、前月から増加傾向にある。

TLD（トップレベルドメイン）別では、** .comが約80.8%で最多が続き、次いで.cnが約4.0%、.infoが約3.0%、.topが約2.5%、.netが約2.3%などとなり、上位を合わせると全体の約97.6%**を占めた。

メール配信の手口では、注文や配達、返金、決済情報更新、不正利用検知、本人認証、ポイントやマイルの期限通知、アンケート依頼をよそおう文面が多く確認された。協議会は、差出人のブランド名や連絡先が記載されていない、利用者向けでは使わない言い回し、**件名や差出人が左右逆（RTL表記）**など、人が見ると不自然なメールが増えていると指摘している。

さらに、特定の大手メールサービス利用者から特定のフィッシングメールの報告が集中する事例があり、各サービスの迷惑メールフィルターを回避するように配信先を絞っている可能性がある。モバイル回線でのみ表示されるフィッシングサイトも多く、対策側の稼働確認や停止調整を回避しようとする動きが続いているという。

SMSから誘導するスミッシングについては、報告数は少ない状態が続いているものの、クレジットカードブランド、東京電力、Amazon、Appleをかたったり、宅配便の不在通知を装う文面が確認されている。

協議会が示した対策の呼びかけ

フィッシング対策協議会は、報告件数が減少しても攻撃者は数日単位でかたるブランドや文面を切り替えて試行錯誤を続けているとして、事業者と利用者の双方に対策を呼びかけている。

協議会が事業者に求めている主な対応は次のとおりだ。

• DMARCポリシーの強化：オンラインサービスを提供する事業者は、DMARCポリシーをp=rejectへ変更する計画を立てること。p=noneのまま放置されたドメインが悪用され続けているという。
• 正規メールの視認性向上：送信ドメイン認証で正規メールにのみ表示されるブランドロゴやアイコン、S/MIMEによる電子署名で、利用者が正規メールを判別できるようにすること。特にBIMI（Brand Indicators for Message Identification）は、認証マーク証明書（VMC）の取得時にブランドの第三者認証が行われ、信頼性を担保するとして、金融庁や総務省、内閣官房国家サイバー統括室も対応済みとしている。協議会によると、BIMIはGmailやApple iCloudメール、auメール、ドコモメール、@niftyメールなどで対応しており、モバイル系メールアドレスでのカバー率が高い。
• ワンクリック購読解除への対応：利用者が望まないメールの配信について、正規メールが迷惑メールとして報告されることで送信者評価が下がり、迷惑メールへ振り分けられるケースがあるとして、ワンクリックでの購読解除を検討すること。

利用者に向けては、判断に迷う不審なメールやSMSを受け取った場合は、各サービス事業者の問い合わせ窓口やフィッシング対策協議会（[email protected]）へ報告するよう呼びかけている。

7月の位置づけ — 6月からの変化

2026年7月は、**報告件数66,119件（前月比6,251件減、約8.6%減）**に対し、URL件数43,267件（前月比1,026件増、約2.4%増）、悪用ブランド101件（前月比3件増）という結果だった。2026年6月は72,370件（前月126,061件から42.6%減）、URL件数42,241件（前月比3.2%増）で、7月は6月に続いて報告件数の減少とURL件数の増加が並行した。日平均では7月は6月より279件減少している。協議会は金融庁の公表として、証券系の不正アクセス件数や売買金額が大きく減少し、7月は証券系をかたるフィッシングの報告も1ブランドのみだったことも付記している。

フィッシングの手口が短期間で入れ替わる中、利用者は身に覚えのない連絡や緊急性をあおる文面では、リンクを直接クリックせず、公式アプリやブックマークから正規サイトへアクセスして確認することが重要だ。

出典

• 2026/07 フィッシング報告状況 — フィッシング対策協議会