フィッシング対策：ドメイン、メールボックス、支払いを分けて守る

38％と88％は別の問いへの答え

英国のCyber Security Breaches Survey 2025/2026によると、英国の全企業の38％がフィッシングを認識しました。何らかの攻撃またはセキュリティ侵害を認識した企業に限ると、その割合は88％です。同じ調査の数字ですが、分母となる集団が異なります。

2026年4月30日に公表された報告書は、2,112社への調査を加重集計したものです。調査は2025年8月から12月に行われ、各社に直前12か月間の経験を尋ねています。認識された攻撃が、侵入の成功を意味するとは限りません。未検知の活動は含まれず、結果の対象地域は英国です。実務で問うべきなのは、不審なメールによって社内でどのような操作が引き起こされ得るかです。 [1]

英国企業のフィッシング認識率：分母が異なる二つの数字

38%

英国の全企業に占める割合

88%

攻撃またはセキュリティ侵害を一つ以上認識した企業に占める割合

認識した攻撃が成功したとは限らない

認識されたフィッシング攻撃には、未遂も含まれます。攻撃者の成功率ではなく、ドイツや世界全体の企業についての推計でもありません。

出典：DSIT · Cyber Security Breaches Survey 2025/2026 · 2026年4月30日公表

標本：2,112社。何らかの攻撃またはセキュリティ侵害を認識した企業の部分集団は1,026社。結果は加重集計。

英国 · 調査期間は2025年8月から12月

各回答企業が調査前の12か月間にフィッシングを認識した割合です。分母が異なるため、足し合わせたり、時系列の変化として読んだりすることはできません。

ドメイン保護が防ぐのは、なりすましの一部

SPF、DKIM、DMARCは、受信側がドメインを使った送信の正当性を確認するための仕組みです。DMARCは、表示される差出人ドメインと、ドメインの整合したSPFまたはDKIMの検証を結び付け、失敗時に求める処理方針を公開します。拒否ポリシーが適用されれば、そのドメイン自体の詐称は難しくなります。ただし、メールを書いた人物や内容の真偽を保証するものではありません。

まず、正規の送信経路を洗い出します。メールボックス、請求書ソフト、ニュースレター、外部サービスが対象です。認証を確認してからポリシーを厳しくします。第三者が別途登録した類似ドメインには、自社のDMARCは適用されません。乗っ取られた正規のメールボックスから送られたメールも、ドメイン検証には成功する場合があります。 [2] [3] [5]

メールボックスへのアクセスは別に守る

アカウントへのアクセスを守るのが多要素認証です。CISAはFIDO2/WebAuthnなど、認証を本来のサービスに結び付けるフィッシング耐性のある方式を推奨しています。ワンタイムコードには、同じフィッシング耐性はありません。

確認すべきなのは、MFAが有効かどうかだけではありません。対象アカウント、実際に許可されているログイン方式、アカウント復旧の手順を確認します。管理者と、請求書や機微なデータにアクセスするアカウントから着手できます。例外には担当者と解消期限を決めます。ログインが十分に保護されていても、請求書の内容が正しいとは判断できません。 [4]

振込先の変更は独立した経路で確認する

銀行口座の変更では、支払い業務の確認手順が重要になります。FBIは、変更内容を依頼者に直接確認するよう勧めています。以前から把握している電話番号、または事前に合意した別の連絡経路を使います。不審なメールに書かれた電話番号は、独立した情報源にはなりません。

メールボックスが乗っ取られている場合、同じスレッドへの返信でも確認はできません。当社の提案は、照会結果を記録してから口座情報を変更し、体制が許す範囲で照会担当と支払い承認者を分けることです。急ぎの依頼でも、このルールを省略しないようにします。例外が最も簡単な迂回路になるのを防ぐためです。 [5] [6]

攻撃経路に合わせて対策を選ぶ

各対策は互いを補います。役割を区別することで、一つの設定に全面的な保護を期待せず、具体的な不足を埋められます。 [2] [3] [4] [5] [6]

表は左右にスクロールできます。

各対策が機能する場所と、その限界
攻撃経路	対応する対策	限界
自社の差出人ドメインそのものを詐称	SPF/DKIMと適用されたDMARCポリシー	別に登録された類似ドメインは対象外
フィッシングで正規のメールボックスにアクセス	フィッシング耐性のあるMFA	請求書の内容は検証しない
類似ドメインや見慣れた表示名を使用	メールフィルターと別経路での照会	見慣れた名前は本人確認にならない
支払い依頼の振込先を書き換え	承認前に独立した経路で確認	例外も確認しなければ機能しない

ITと経理で同じ依頼を確認する

短い社内確認には、架空であると明示した取引先の振込先変更依頼を使えます。IT担当は、どの差出人検証を確認できるかを説明します。経理担当は、信頼できる折り返し先の番号をどこから取得し、誰が変更を承認するかを示します。実際の支払い情報は変更しません。

未確定の担当と、次の具体的な作業を記録します。送信経路の一覧不足、ログイン保護の不足、口座変更の確認不足は、それぞれ別の仕事です。分けて考えることで、漠然としたフィッシング対策の強化を、担当者が着手し完了できる作業に変えられます。

出典

セキュリティ分析

サービス範囲を見る