スマホのフィッシング対策｜SMS・QRコード・偽ログイン

最近の報告から分かること

フィッシング対策協議会の「2026/08 フィッシング報告状況」によると、8月の報告件数は82,338件で前月から16,219件増え、フィッシングサイトのURL件数は39,800件、悪用されたブランドは96件でした。総評では、モバイル回線でのみ表示されるフィッシングサイトが多いことや、アプリのアップデートを装って不正アプリのインストールへ誘導するメールが多数確認されていることが挙げられています。SMSから誘導する手口は報告数が少ない状態が続いているものの、電力会社、水道局、Apple、クレジットカード会社などをかたる文面が報告されているとしています。

「モバイル回線でだけ表示される」という点は、会社のパソコンで確かめても偽サイトが見えない場合があることを意味します。社員から「スマホでだけ変なページが出る」という報告があったら、パソコンで再現しないことを理由に問題なしと判断しないようにします。

入口ごとの対策

入口	よくある誘導	社内で決めること
メール	請求・配送・アカウント停止の通知	業務システムのログインは、ブックマークか公式アプリからだけ行う
SMS	公共料金・宅配・カード会社をかたる通知	SMSのリンクから業務アカウントにログインしない
アプリ更新を装う誘導	「アップデートが必要」と別サイトへ誘導	アプリは公式ストアかMDMからだけ入れる
QRコード	張り紙やメールのQRコードから偽ログインへ	QRコードから開いたページでパスワードを入れない

総務省のテレワークセキュリティのチェックリストでも、不審なメールを開かない、記載のURLや添付ファイルを開かないという周知と、アプリは公式アプリケーションストアから入れるという周知が対策項目になっています。

入力してしまった後の流れを先に決める

社員が「入力したかもしれない」と思った時点で報告できる窓口（電話番号やチャットの宛先）を決め、端末の壁紙やアドレス帳に入れておく
報告を受けたら、該当アカウントのパスワード変更とサインイン中の端末の確認を管理者が行う
入力した内容（ID、パスワード、カード番号、認証コード）を聞き取り、記録する
取引先や顧客の情報に関わる場合は、個人情報の漏えいに当たるかを確認する

報告した社員を責めない運用にしておくと、報告が早くなります。被害を小さくできるかは、入力から報告までの時間で大きく変わります。

認証の仕組みで受け止める

パスワードが盗まれても、多要素認証があれば被害を止められる場合があります。ただし、SMSで届く認証コードや認証アプリのコードを偽サイトに入力させる手口もあるため、「コードを入力するのは自分でログインを始めたときだけ」という一文を教育に入れておきます。

教育で伝える短いルール

長い資料より、スマホの画面で読める短いルールの方が覚えてもらえます。たとえば次の4行です。

業務アカウントのログインは、ブックマークか公式アプリから
メールやSMSのリンクから開いたページでは、パスワードを入れない
アプリの更新は、ストアかMDMから届いたものだけ
入力してしまったら、すぐに決められた窓口へ連絡

総務省のチェックリストにある周知事項とも重なるため、配布時の説明会や定期の注意喚起で同じ文言を繰り返し使うと定着しやすくなります。

報告の件数は、月ごとに数えておくと、注意喚起の効果や、新しい手口が増えた時期をつかむ手がかりになります。

相談先・申込先の選び方

フィッシング対策は、携帯電話会社の回線の契約内容よりも、会社のメール・業務アカウントの設定とMDMでの管理で決まる部分が大きくなります。回線を契約する際は、迷惑SMSのフィルタやセキュリティ系オプションの内容と月額を見積もりで確認し、既に使っているセキュリティ製品と重複しないかを比べてください。被害が疑われる場合は、警察の相談窓口や消費者ホットライン188など公的な窓口も利用できます。

PR（広告）