フィッシングとは？種類・例・安全に過ごす方法

要点フィッシングは、攻撃者が信頼できる情報源に偽装して、パスワード、秘密鍵、支払い情報などの機密情報を盗み取ろうとするソーシャルエンジニアリングの一種です。
フィッシングの手法は、大量のメールキャンペーンから、強くターゲットを絞ったスぺアフィッシング、そしてAI生成の音声詐欺まで幅広く、2026年以降は発見がより難しくなる可能性があります。
暗号資産のフィッシング攻撃では、多くの場合、シードフレーズ、ログイン情報、ウォレットの承認が狙われます。偽のエアドロップ詐欺や、悪意のあるスマートコントラクトとのやり取りも含まれます。
2要素認証（2FA）を有効にすること、URLを慎重に確認すること、そして望まないリンクを避けることは、フィッシングのリスクを減らすための最も効果的な方法の一部です。
100%有効なセキュリティ対策はありませんが、技術的ツールと意識向上トレーニングを組み合わせることで、被害に遭う確率は大幅に下がります。
はじめにフィッシングは、悪意ある者が信頼できる組織や個人になりすまし、機密情報を開示させようとするソーシャルエンジニアリングの一種です。これには、ログイン情報、クレジットカード番号、秘密鍵、シードフレーズなどが含まれる場合があります。「phishing（フィッシング）」という言葉は「fishing（釣り）」をもじったもので、攻撃者は広く“網”を投げ、誰かが“えさ”に食いつくのを待ちます。
フィッシングは長年にわたり、最も一般的なサイバー犯罪の形の一つでした。AIツールがより利用しやすくなるにつれて、フィッシング攻撃は説得力を増し、よりターゲットを絞ったものになってきています。この記事では、フィッシングの仕組み、主な種類、そして暗号資産・ブロックチェーン分野も含めて自分を守るために取れる実践的な手順を解説します。暗号資産の詐欺全般については、専用ガイドもご覧ください。
フィッシングの仕組みフィッシングは、技術的な脆弱性の悪用ではなく「欺き（デセプション）」に依存しています。攻撃者は通常、ターゲットを調査し、信頼できる情報源の説得力ある“なりすまし”を作り、そして被害者に慎重に考えさせずに素早く行動させるための緊急感や恐怖感を仕掛けます。
最も一般的な配信方法はメールです。フィッシングメールは、銀行、暗号資産の取引所、またはよく知られたブランドから届いたように見えることがあります。多くの場合、認証情報を盗むために設計された偽のWebサイトへのリンクが含まれているか、開くとマルウェアをインストールする添付ファイルが同梱されています。
現代のフィッシングは、より高度になっています。攻撃者は、AIの文章作成ツールを使って大量にパーソナライズされたメッセージを生成できるようになり、AIの音声生成ツールでリアルタイムの電話通話により幹部や家族になりすますことも可能になりました。これにより、文法の誤りや不自然な言い回しを警告サインとして頼りにすることが、ますます難しくなっています。
フィッシングの試みのよくある兆候不審なURLとメールアドレスクリックする前に必ず完全なURLを確認してください。フィッシングサイトは、わずかな綴りの誤り（例：「binnance.com」）や、珍しいドメイン拡張子を使うことがよくあります。リンクにカーソルを合わせて、クリック前に目的地をプレビューしましょう。また、大手企業を代表すると主張しながらGmailやYahooのような一般的な公開アドレスから届くメールには注意が必要です。
緊急性や恐怖をあおる手口フィッシングメッセージでは、アカウントが侵害された、支払いが失敗した、あるいは罰を避けるために今すぐ対応が必要だ、といった内容がよく使われます。この圧力は意図的です。慎重に考える時間を与えず、思考を停止させて素早い行動を促します。正規の組織がメールのリンク経由で即時の対応を求めることは、めったにありません。
機密情報の要求信頼できるサービスは、メール、テキスト、またはチャット経由で、パスワード、シードフレーズ、秘密鍵、または支払いカード番号の全桁を求めることはありません。メッセージがこれらの情報を要求している場合、どれほど公式に見えても不審として扱ってください。
フィッシング攻撃を防ぐ方法最も確実な防御は、思いがけないメッセージに含まれるリンクをクリックしないことです。その代わり、ブラウザでURLを直接入力して公式サイトへアクセスするか、保存済みのブックマークを利用してください。アカウントの安全のために、重要なすべてのアカウントで2要素認証（2FA）を有効にすると、パスワードを盗まれても追加の保護層になります。可能であればSMSではなく認証アプリを使ってください。SMSコードはSIMスワップ攻撃で傍受される可能性があります。
組織は、DKIM（DomainKeys Identified Mail）やDMARC（Domain-based Message Authentication, Reporting, and Conformance）のようなメール認証標準を導入することで、フィッシングのリスクを減らせます。これらのプロトコルは、受信したメールが“主張している送信元ドメイン”から本当に送られてきたかを検証します。
個人の場合、家族や友人と知識を共有することで、集団としての注意力を高められます。企業の場合、定期的なセキュリティトレーニングは、従業員がフィッシングの試みに引っかかる可能性を大幅に下げます。
フィッシングの種類スぺアフィッシングスぺアフィッシングは、特定の個人または組織を狙います。攻撃者は事前に被害者を調査し、同僚の名前、最近の取引、職位などの情報を使って、メッセージの説得力を高めます。こうした攻撃にはより手間がかかりますが、一般的なフィッシングキャンペーンよりも成功率が高い傾向があります。
ホエーリング（大物狙い）ホエーリングは、上級幹部、政府関係者、富裕層などの高額ターゲットを狙ったスぺアフィッシングの一種です。これらのターゲットは機密システムや多額の資金にアクセスできるため、攻撃が成功すると重大な結果につながる可能性があります。
クローンフィッシング攻撃者が、以前に送信された正当なメールをコピーし、ほぼ同じ内容のニセのメールを作成します。コピーでは、実在するリンクや添付ファイルを悪意のあるものに置き換えます。メッセージの形式が見慣れたものに見えるため、被害者は違いに気づかない可能性があります。
スミッシング／ビッシングスミッシングは、メールの代わりにSMSテキストメッセージを使ってフィッシングリンクや要求を届けます。ビッシングは音声通話で行われ、攻撃者が銀行担当者、テクニカルサポート担当者、あるいはAIで生成した音声クローンを使って家族になりすますこともあります。AI音声技術がより手軽に使えるようになったことで、これらはますます一般的な攻撃手法になっています。
クイッシング（QRコードのフィッシング）クイッシングでは、悪意のあるQRコードを使ってユーザーをフィッシングサイトへ誘導します。これらのコードは、ポスター、駐車メーター、レストランのメニューなどの物理的な場所に設置されることが多いほか、メールや書類に埋め込まれることもあります。QRコードは人間の目には判別できないため、多くのユーザーは目的地URLを確認せずに読み取ってしまいます。
ファーミングファーミングは、被害者に悪意のあるリンクをクリックさせる必要はありません。代わりに、攻撃者がDNSレコードを“汚染”し、正規のWebサイトアドレスから詐欺的なアドレスへとユーザーを転送します。被害者が正しいURLを自分で入力するため、ファーミングは通常のフィッシングよりも発見が難しく、危険性も高くなります。
タイポスクワッティング攻撃者は、誤字（綴りミス）、文字の置き換え、または別のトップレベルドメインを使って、正規のWebサイトに非常に近いドメイン名を登録します。URLを入力し間違えたユーザーは、実物と見分けがつかない偽サイトにたどり着くことがあります。
ウォータリングホール攻撃ウォータリングホール攻撃では、攻撃者が標的となる相手がよく訪れるWebサイトを特定し、そのサイトに悪意のあるスクリプトを注入します。次に標的が侵害されたサイトを訪れたとき、スクリプトが実行され、気づかれないままマルウェアがインストールされたり、認証情報が収集されたりする可能性があります。
なりすましと偽のプレゼント企画攻撃者はSNSやメッセージングプラットフォーム上で有名人になりすまし、偽のプレゼント企画や投資機会を宣伝します。X、Discord、Telegramのようなプラットフォームでは、これが認証済みアカウントを乗っ取ったり、よく似た“なりすまし”プロフィールを作ったりすることで行われることがよくあります。これらの手口は、偽のトークン配布の告知を使ってウォレットの承認を収集するエアドロップ詐欺と重なることも多いです。
暗号資産・ブロックチェーン分野でのフィッシング暗号資産のユーザーは、特有のフィッシング被害リスクに直面します。ブロックチェーンの取引は取り消しできないため、成功したフィッシング攻撃は資金の永久的な損失につながる可能性があります。よくある標的は、シードフレーズ、秘密鍵、ウォレット接続の承認です。DeFiプロトコルを利用している、またはP2P（ピアツーピア）取引を行っているユーザーは、ウォレット操作の量が多いことを踏まえると、リスクが特に高くなります。
ウォレットドレイナー型マルウェアは、暗号資産フィッシングの中でも特にダメージが大きい形の一つです。ユーザーは、ウォレットを悪意のあるサイトに接続させられたり、承認のトランザクションに署名させられたりしてしまいます。その後、悪意のあるスマートコントラクトがウォレットからトークンを送金し、数秒で残高の全てが引き出されることもあります。
詐欺師は取引所のサポート担当者になりすまして、シードフレーズを送信して身分を確認するようユーザーに求めることもあります。正規のプラットフォームがシードフレーズを求めることは絶対にありません。誰かがそれを要求してきた場合、その要求は例外なく詐欺です。
AIツールが進化するにつれ、暗号資産分野のフィッシングはより的を絞り込み、説得力が高まっていくことが予想されます。最新の手口を把握し、継続的に安全習慣を実践することが、最も効果的な長期的な防御策です。
フィッシングとファーミングの違いファーミングは時にフィッシングの一種として分類されますが、2つの攻撃は仕組みが異なります。フィッシングでは、偽のリンクをクリックする、なりすましサイトで認証情報を入力するなど、被害者が何らかのミスをする必要があります。一方ファーミングでは、DNSレコードそのものが侵害されているため、被害者は“それらしく見える正規URL”をアクセスするだけで済みます。個人レベルでの対策のしにくさが違うため、この区別は重要です。
よくある質問（FAQ）フィッシングとは？フィッシングは、サイバー犯罪者が信頼できる組織や個人になりすまし、パスワード、支払い情報、暗号資産のシードフレーズなどの機密情報を人々に開示させようとするサイバー攻撃の手法です。オンライン詐欺の中でも最も一般的な種類の一つです。
フィッシングの最も一般的な種類は？代表的なのは、メールを使ったフィッシング、スぺアフィッシング（標的型攻撃）、スミッシング（SMS経由）、ビッシング（音声通話経由）、そしてクローンフィッシングです。暗号資産では、ウォレットドレイナーの仕組みや偽のプレゼント詐欺が特に多く見られます。
フィッシングメールはどう見分けますか？主な警告サインは、不審な送信元アドレスや綴りミスがあること、個人情報やパスワードを求める緊急の要求があること、予期しないリンクや添付ファイルがあること、そして恐怖や緊急感をあおって行動を急がせるようなメッセージがあることです。クリックする前にリンクへカーソルを合わせてURLを確認し、不意の要求は公式の窓口で必ず照合してください。
フィッシングされたと思ったらどうすればいいですか？すぐにパスワードを変更し、まず最も重要なアカウントから行ってください。未設定のアカウントには2FAを有効化します。暗号資産ウォレットを疑わしいサイトに接続した場合、付与した承認をすべて取り消してください。そして、なりすまされたプラットフォームと、あなたの国のサイバーセキュリティ当局にフィッシングの試みを報告してください。
フィッシング攻撃で暗号資産は盗まれますか？はい。暗号資産のフィッシング攻撃は、シードフレーズ、秘密鍵、またはウォレットの承認を収集でき、ブロックチェーンの取引は元に戻せないため資金が永久に失われる結果につながります。よくある手口としては、偽の取引所ログインページ、ウォレットドレイナーのスマートコントラクト、そしてサポートスタッフを装ってシードフレーズの確認を求めるなりすましがあります。
最後にフィッシングは、最も広く使われ、効果的なサイバー犯罪の形のひとつであり、AIやブロックチェーン技術の進化とともに形を変え続けています。よくある手口を見抜き、情報源を慎重に確認し、2FAやURLのチェックなどの強いセキュリティ習慣を実践することで、リスクは大きく下げられます。オンラインで安全でいるためのより広い基礎として、一般的なセキュリティ原則ガイドもご確認ください。
関連記事Binanceアカウントのセキュリティを強化する5つの方法
分散型ファイナンス（DeFi）で詐欺を見抜く方法
エアドロップ詐欺とは？回避するには？
一般的なセキュリティ原則
免責事項：本コンテンツは一般的な情報および教育目的のみをもって、いかなる表明または保証もなく「現状のまま」提供されています。これは、金融、法律、またはその他の専門的助言を構成するものではなく、特定の商品またはサービスの購入を推奨する意図もありません。適切な専門家にご自身の判断に基づいて助言を求めてください。本コンテンツが第三者によって提供される場合、そこに含まれる見解は当該第三者の見解であり、必ずしもBinance Academyの見解を反映するものではありません。デジタル資産の価格は変動する可能性があります。投資した金額の価値は上がることも下がることもあり、投資額がそのまま返ってくるとは限りません。投資判断の責任はすべてお客様ご自身にあり、Binance Academyは、お客様が被り得るいかなる損失についても責任を負いません。詳細は、利用規約、リスクに関する警告、ならびにBinance Academyの規約をご覧ください。