巧妙化するフィッシング・スパムの最新手口
（2026年8月〜10月・11月更新）

【2026年11月更新】9〜10月の最新動向｜報告は9.4万件、「氏名入り」「見えない文字」「不正アプリ」に注意

結論：フィッシングは9月も増え続け、「自分の名前が書いてあるから本物」「見た目が整っているから本物」とは言えない段階に入っています。ホームページを持つ会社にとっては、レンタルサーバーやドメインの更新を装う偽メールも身近な脅威です。

9月のフィッシング報告は94,661件（前月比 約15％増）

フィッシング対策協議会が10月19日に公表した9月の報告件数は94,661件で、前月から約15.0％増えました。フィッシングサイトのURLは49,032件（約23.2％増）、悪用されたブランドは105件です。なりすましの多いブランドは、Amazon（約33.2％）、Apple、セゾンカード、アメリカン・エキスプレス、国税庁の順で、実在するサービスのドメインをそのまま差出人に使った「なりすましメール」が約37.8％と増加傾向にあります。フィッシング対策協議会

• 受信者の氏名入りメール：
  本文に受信者の氏名が書かれたフィッシングが確認されています。相次ぐ情報漏えいとの関連は明らかになっていませんが、名前が正しいことは、本物である証拠になりません。
• 見えない文字でフィルターをすり抜ける：
  単語の間に目に見えないUnicode文字を埋め込み、迷惑メールフィルターを回避する手口です。8〜9月に見られた「A N A」のような空白の挿入が、さらに見分けにくい形に進化しています。
• AIで作ったとみられる文面：
  AIへの指示文が本文に残っていたり、差出人やブランド名が欠けていたりするメールが多く見られます。
• Androidの不正アプリへの誘導が急増：
  アプリの更新や申請手続きを装い、不正アプリを入れさせるメールが急増しています。国税庁やカード会社をかたるものもあります（国税庁・e-Taxをかたるスパム参照）。
• サポート詐欺・経理担当者狙い：
  偽の警告画面へ誘導する「サポート詐欺」のメールが急増し、受信者の会社のドメインを装う例も多くあります。書類の確認や提出を装って、経理担当者を狙うメールも確認されています。
• 自社サイトの写真やブランドを盗用した偽サイト：
  実在する会社のホームページの写真やブランド名を無断で使った偽サイトの報告が増えています。

証券口座の不正取引は減少、ただし不正アクセスは続く

金融庁がまとめた2026年9月の証券会社への不正アクセスは37件、不正取引は2件で、8月（不正取引25件）から大きく減りました。それでも不正アクセスそのものは続いており、ID・パスワードが盗まれた状態は変わっていません。ログイン時・取引時・出金時の多要素認証やパスキーの設定を続けてください。金融庁

【ホームページを持つ会社向け】レンタルサーバー・ドメイン更新を装う偽メール

レンタルサーバー大手のエックスサーバーは10月8日、「【XServer アカウント】■重要■ XServerドメイン更新に関する請求書」という件名で、支払いが承認されずドメインの更新ができなかったと伝え、偽のログインページへ誘導するメールへの注意を呼びかけました。次回も失敗するとアカウントを自動キャンセルすると脅して焦らせるのが特徴で、10月26日にも同社を装うメールが出回っているとして重ねて注意を呼びかけています。エックスサーバー
サーバーやドメインのアカウントが乗っ取られると、ホームページの改ざんや、会社のメールの停止・なりすましにつながります。更新や支払いの案内が届いても、メールのリンクは使わず、ブックマークした管理画面に自分でログインして確認してください。サーバー・ドメインの管理画面にも多要素認証を設定しておきましょう（多要素認証（MFA）・パスキー導入ガイド参照）。

Yahoo!メールが注意喚起した「判定すり抜け」スパムの急増

結論：Yahoo!メールの公式発表（2026年9月）によると、8月中旬から迷惑メールフィルターをすり抜けるスパムが一時的に急増しました。今回は特定の大手サービスに集中して発生したのが特徴です。

• 狙われたブランド：ANA（マイレージクラブ）、iCloud、セゾンカード、JCBなど、利用者の多い特定サービスに集中
• 焦らせる件名：「マイル有効期限」「ポイント失効」「カードご利用制限」など、確認を急がせる文言が使われた
• フィルター回避の偽装：送信元名に「A N A」「S a i s o n」のように文字の間へ空白を入れることで、セキュリティフィルターの検知をかいくぐる手口が横行

送信元名の見た目が正しくても、文字間の不自然な空白や、普段と違うドメインが使われていないか、落ち着いて確認することが重要です。

証券口座を狙うフィッシング被害が拡大（金融庁が注意喚起）

結論：金融庁の注意喚起（2026年9月）によると、実在する証券会社を装ったフィッシングメール・SMSから偽サイトへ誘導され、盗まれたID・パスワードをもとに証券口座へ不正アクセス・不正取引される被害が8月に拡大しました。

• 8月だけで4つの証券会社において被害が確認されている
• 偽サイトへの誘導後、口座情報が盗まれ、不正な取引・資金の移動に利用される
• 金融庁は「メールやSMSに記載されたリンクは絶対に開かないように」と強く呼びかけている

証券会社や銀行からの通知に見えても、メール・SMS内のリンクからはログインしない、必ずブックマークや公式アプリからアクセスする、という原則を徹底することが被害防止の基本です。

新しい侵入経路——カレンダー招待状（iCalendar）を悪用したスパムが急拡大

結論：セキュリティ企業のレポート（2026年9月）では、メールだけでなくカレンダー機能（iCalendar）の招待状を悪用したマルウェア感染攻撃が急増していると報じられました。メールのスパム対策だけでは防ぎきれない、新しい攻撃経路として注意が必要です。

• 多くのメールソフトに搭載されている「招待状を自動的にカレンダーへ追加する機能」を悪用
• 受信者が明示的に開封・承認しなくても、カレンダーに不審な予定として登録されてしまう
• 被害件数は7月から8月にかけて急拡大し、9月にはさらに増加すると予測されている

見覚えのない予定がカレンダーに追加されている場合は、通知や添付のリンクを開かず削除し、可能であれば「招待状の自動追加」機能をオフにする、または送信者を確認してから承認する設定に見直すことをおすすめします。

背景：ネット上のスパム全体が「増加傾向」にある

これらの動きと並行して、Googleは検索結果の裏側でも2026年8月18日と9月24日に相次いで「スパムアップデート」を実施しました。AIで大量生成された質の低いコンテンツや、検索順位を不正に操作しようとするスパムサイトの排除を目的としたもので、2ヶ月連続での実施は極めて異例です。メール・カレンダー・検索結果と、経路は違っても「スパムの勢いが増している」という点は共通しており、受信箱・カレンダー・検索結果のいずれについても、これまで以上に一つひとつを確認する意識が求められます。

関連コンテンツ

今回のニュースまとめ

今すぐできる対策チェックリスト

• 送信元表示を鵜呑みにしない：文字間の不自然な空白や、見慣れないドメインがないか確認する
• リンクを直接開かない：メール・SMS内のリンクからログインせず、公式アプリやブックマークからアクセスする
• 焦らせる文言に注意：「有効期限」「利用制限」「緊急」等の煽り文言があるほど、一度立ち止まって確認する
• カレンダー設定の見直し：招待状の自動追加機能をオフにする、または送信者確認後に承認する設定へ変更する
• 見覚えのない予定は削除：カレンダーに不審な予定があれば、リンクを開かずに削除する
• 多要素認証（MFA）の徹底：証券口座・カード会社等の重要なアカウントはMFAを必須化しておく
• 名前が書いてあっても信用しない【2026年11月追加】：受信者の氏名入りのフィッシングも確認されている。名前が正しいことは本物の証拠にならない
• アプリはメールのリンクから入れない【2026年11月追加】：「アプリの更新」「申請手続き」を装う不正アプリへの誘導が急増している。アプリは公式ストアからのみ入手する
• サーバー・ドメインの管理画面はブックマークから【2026年11月追加】：更新や支払いの案内が届いても、メールのリンクではなく、自分で管理画面にログインして確認する
• 社内・家族内での共有：今回のような手口の実例を共有し、「知っている」状態を作っておく

よくあるご質問（FAQ）

Q1. なぜ2026年8-9月にこれらの手口が相次いだのですか？

個別の攻撃グループの動向に加え、Googleの検索スパムアップデートが2ヶ月連続で実施されるなど、ネット上のスパム全体が増加傾向にある時期と重なっています。攻撃者が複数の経路（メール・SMS・カレンダー）を同時に試している可能性があります。

Q2. 送信元名に空白が入っているだけで、なぜ危険なのですか？

「A N A」のように文字間へ空白や特殊な文字を挟むことで、迷惑メールフィルターが正規のブランド名として認識できなくなり、検知をすり抜けやすくなります。表示上は元のブランド名に近く見えるため、利用者が見た目だけで信頼してしまう点が悪用されています。

Q3. カレンダーに知らない予定が追加されていました。どうすればいいですか？

通知や予定内のリンク・添付ファイルは開かず、そのまま削除してください。可能であれば、メールソフトやカレンダーアプリの設定で「招待状の自動追加」をオフにし、送信者を確認してから承認する設定に変更することをおすすめします。

Q4. 証券会社からのメールやSMSが来た場合、どう対応すればよいですか？

メールやSMS内のリンクからはログインせず、公式アプリまたはブラウザのブックマークから直接アクセスしてください。少しでも不審に感じた場合は、証券会社のコールセンター等に問い合わせて事実確認することをおすすめします。

Q5. 会社としてこうした手口にどう備えればよいですか？

最新の手口を社内で共有し「知っている」状態を作ることに加え、重要なアカウントへの多要素認証（MFA）の徹底、メールセキュリティ設定（送信ドメイン認証等）の見直し、不審なメール・予定を見つけた際の報告フローの整備が有効です。

Q6. メールに自分の名前が正しく書かれていました。本物と考えてよいですか？

いいえ。フィッシング対策協議会の2026年9月の報告では、受信者の氏名が書かれたフィッシングメールが確認されています。名前が正しいことは本物である証拠になりません。メールのリンクは開かず、公式アプリやブックマークから直接ログインして確認してください。

Q7. レンタルサーバーから「ドメイン更新の支払いに失敗しました」というメールが届きました。どうすればよいですか？

メールのリンクは開かず、ブックマークした管理画面に自分でログインして、請求や更新の状況を確認してください。2026年10月には、エックスサーバーを装い、ドメイン更新の支払い失敗を理由に偽のログインページへ誘導するメールが確認されています。サーバーやドメインのアカウントが乗っ取られると、ホームページの改ざんやメールの停止・なりすましにつながるため、管理画面への多要素認証の設定もおすすめします。

参考情報

• 2026/09 フィッシング報告状況（フィッシング対策協議会、2026年10月19日）
  9月の報告件数94,661件、氏名入りメールや不可視文字、不正アプリへの誘導など最新の傾向です。
• 氏名入りフィッシングメールを確認、9月の報告件数は約15%増（マイナビニュース、2026年10月22日）
  9月の報告状況を解説した記事です。
• インターネット取引サービスへの不正アクセス・不正取引の発生状況（金融庁）
  2026年9月の証券会社への不正アクセス37件・不正取引2件の集計です。
• 当サービスを装ったフィッシングメールにご注意ください（エックスサーバー、2026年10月8日）
  ドメイン更新の請求書を装う偽メールの注意喚起です。
• 迷惑メールフィルターの判定すり抜けについて（Yahoo!メール公式）
  特定ブランドへのなりすましと、送信元名への空白挿入による検知回避の実態が報告されています。
• 証券口座を狙うフィッシング被害に関する報道（ScanNetSecurity）
  金融庁の注意喚起を受けた、証券会社を装ったフィッシング被害拡大の報道です。
• カレンダー招待状を悪用したスパムに関する報道（ZDNET Japan）
  iCalendarの自動追加機能を悪用したマルウェア感染攻撃の急増について報じられています。
• Googleのスパムアップデートに関するレポート
  2026年8月・9月に連続実施された検索スパムアップデートの動向を確認できます。