2026年10月のフィッシングメールの特徴は、報告件数が増え続けていることに加え、本文に受信者の氏名が入った偽メールや、不正アプリをインストールさせる手口が目立つことです。フィッシング対策協議会が2026年10月19日に公開した月次報告書によると、2026年9月の報告件数は94,661件で、前月より12,323件（約15.0%）増えました。この記事は2026年10月21日時点の情報をもとに、最近の手口と、中小企業が今月確認したいことをまとめます。

数字や事例は、フィッシング対策協議会と迷惑メール相談センターの公開情報によります。出典は記事末尾に載せました。

報告件数の推移｜2026年9月は94,661件

2026年9月の報告件数は、直近の数か月で最も多い水準です。協議会の月次報告書から、2026年5月〜9月の件数を並べると次のとおりです。

5月は6月の報告書にある「前月より53,691件減少」から逆算した数字です。7月から9月にかけては、2か月連続で増えています。件数は協議会に寄せられた報告の数で、出回ったメールの総数ではありません。

9月のフィッシングサイトのURL件数（重複なし）は49,032件で、前月より9,232件（約23.2%）増えました。かたられたブランドは105件で、前月より9件増えています。偽サイトの数も増えています。

9月の1位はAmazonで約33.2%、2位はAppleで約11.1%でした。3位から5位はセゾンカード、アメリカン・エキスプレス、国税庁です。上位5ブランドで全体の約65.3%を占めます。分野別に見ると、EC系が約47.9%、クレジット・信販系が約35.0%、官公庁系が約5.2%、航空系が約4.6%でした。悪用されたブランド数はクレジット・信販系が25で最も多くなっています。

2026年10月に目立つ手口

協議会は、攻撃者が数日単位で文面やかたるブランドを切り替えていると説明しています。ここでは、月次報告書と、迷惑メール相談センターが10月14日〜20日に掲載した要注意メールから、目立つものを手口別に整理します。

本文に氏名が入った偽メール

月次報告書では、9月は情報漏えいの公表が相次いだとしたうえで、メール本文に受信者の氏名が書かれたフィッシングが確認されたと報告されています。ただし、漏えいとの関連性は不明とされています。

不正アプリのインストールへ誘導するメール

月次報告書は、アップデートや申請手続きをよそおって不正アプリを入れさせるメールが急増していると伝えています。Android向けにポイント付与などをうたう例もあり、国税庁、カード会社、オンラインサービスをかたるものが確認されました。協議会は9月8日と9月30日（国税庁をかたるもの）に緊急情報を出しています。

10月19日には、日本サイバー犯罪対策センター（JC3）の記事「偽アプリの導入による金銭被害」が協議会のニュース記事集に載りました。偽のスマートフォンアプリを入れさせて端末を遠隔操作し、オンラインバンキングの不正送金や不正なキャッシュレス決済につなげる手口で、「お得」「見たい」といった気持ちにつけ込むと説明されています。

国税庁・官公庁をかたるメール

迷惑メール相談センターの要注意メールには、10月15日、16日、19日、20日と、国税庁をかたる内容が繰り返し載っています。所得税の還付や過納額、納付遅延による延滞税などを理由に、e-Taxアプリでの確認を求める文面です。報告書には、経理担当者を狙って書類の確認・提出をよそおう不審メールも載っています。

クレジットカード会社をかたるメール

10月14日〜20日の要注意メールには、dカード、UCカード、セゾンカード、三菱UFJカード、アメリカン・エキスプレス、三井住友カード、JCBカード、イオンカード、オリコカードなど、多数のカード会社名が並んでいます。内容は「利用制限」「不正利用の検知」「請求額の案内」「サインインの要求」など様々です。あわせて、三井住友カードのVポイント、三菱UFJカードのP-POINT、セゾンカードの永久不滅ポイントなど、ポイントの失効を理由にした文面も多く、月次報告書でもポイントやマイルの有効期限が主題に挙がっています。

決済失敗・支払い確認をよそおうメール

Amazon Primeの月額料金の決済失敗、AppleのiCloud+の更新失敗、U-NEXTや任天堂の決済エラー、NHK受信料の決済失敗など、毎月の支払いにまつわる文面も続いています。ローチケの「システム利用料の未払い」やスマートEXの「指定席の保留」のように、具体的な手続きを装うものもあります。佐川急便やヤマト運輸の荷物の保管、イープラスやチケットぴあの利用規約改定を理由にした情報更新の依頼も、10月に繰り返し載っています。利用していないサービスの名前が出てきたら、その時点で無関係と判断できます。

サポート詐欺と社内を装ったビジネスメール詐欺

月次報告書では、サポート詐欺メールが急増しているとされ、個人向けから企業向けまで件名や文面を次々に変えて配信されています。受信者のドメインでのなりすましが多いという指摘もあります。迷惑メール相談センターには、10月14日に「社内端末のセキュリティ検知」、10月19日に「社内VPN障害」を装ったビジネスメール詐欺も載っていました。会社のドメインから届いたように見えるメールでも、別経路で確かめる必要があります。

なぜ急に増えたように感じるのか

「最近やたら来る」という感覚には、いくつか実際の裏付けがあります。報告書で確認できる範囲で、理由を整理します。

報告件数とサイト数が増えている

先ほどの表のとおり、報告は7月から2か月続けて増え、フィッシングサイトのURLも前月比で約23.2%増えました。偽サイトの総数が増えれば、同じような文面が届く機会も増えます。

氏名入りと自然な日本語で警戒が効きにくい

報告書には、AIへの指示文が残ったままのメールや差出人情報の欠落といった不自然なメールがある一方、不可視のUnicode文字を混ぜてフィルターを回避し、HTML表示では整って見えるメールも確認されたとあります。フィルターを通り、見た目も整ったメールが増えれば、「来ている」と実感する場面は増えます。

氏名入りの時代の見分け方

見分け方の基本は、既存記事「フィッシング対策の基本｜見分け方7つと自社ドメインを守るSPF・DKIM・DMARC設定」にまとめています。ここでは今月の手口に合わせた補足に絞ります。

宛名が正しくても本物とは限らない

基本の7つにある「宛名が『お客様』など名前ではない」は、今は判断材料として弱くなっています。氏名が入っていても、それは見分けの根拠になりません。判断は「そのサービスを自分が使っているか」「メールのリンクを使わず、公式アプリや自分で登録したブックマークから確認できるか」で行います。

認証に合格していても安心できない

9月の調査用アドレス宛のフィッシングメールでは、実在企業のドメインを使った「なりすまし」は約37.8%でした。残りの約62.2%は攻撃者が用意した独自ドメインからの送信で、そのうちDMARCに合格していたものが約98.9%です。認証に合格していることは、本物であることの証明にはなりません。偽の認証画面に誘導する手口はクラウドフレアの「人間であることを確認」は本物？偽の認証画面と詐欺メールの見分け方で解説しています。

アプリのインストールを求められたら止まる

協議会は、不審なリンクから直接アプリをインストールしないよう呼びかけています。公式アプリは、App StoreやGoogle Playで自分が検索して入れるのが原則です。メールやSMSに貼られたリンクから入れるアプリは、たとえ「アップデート」「申請手続き」「ポイント付与」といった名目でも、入れる前に公式サイトや窓口で確かめてください。

会社として今月やること

協議会の報告書には、事業者向けの対策も載っています。取り組みやすい順に整理します。

社内に手口を共有して、見るべきメールの型を知らせる

まず、この記事のような最新の手口を社内に回覧します。特に経理・総務の担当者には、国税庁をかたる還付や延滞税のメール、書類の確認・提出を装うメールを重点的に伝えます。請求や振込先、税金の連絡は、メールの番号やリンクを使わず、公式サイトや既知の窓口で確かめるルールにします。IPAの注意喚起はIPA注意喚起（2026年10月）を中小企業向けに整理した記事にまとめています。

多要素認証とパスキーを使う

協議会は、情報漏えいデータを使った不正ログインへの警戒と、多要素認証の全ユーザーへの適用、パスキーなどフィッシング耐性のある認証の検討を挙げています。会社のメール、クラウドサービス、ネットバンキングなど、乗っ取られると影響の大きいものから順に設定しましょう。

自社ドメインのDMARCを確認する

協議会は、DMARCポリシーをrejectへ移行する計画づくりも事業者向けに挙げています。9月の調査用アドレス宛フィッシングメール全体のうち、なりすまし送信でDMARCがreject・quarantineだったものは約19.7%、noneは約4.3%、未対応は約13.8%でした。自社ドメインが使われた場合に弾けるよう、まずは現状を確認し、p=noneから段階的に進めます。具体的な手順は既存記事にあります。

開いてしまったときのトラブル対処

リンクを押した、情報を入力した、アプリを入れたと気づいたら、早く動くほど被害を抑えられます。以下は一般的な流れです。迷う場合は、かたられたサービスの窓口や警察の相談窓口に相談してください。

IDやパスワードを入力してしまった場合

公式アプリや公式サイトから、そのサービスのパスワードをすぐ変更します。同じパスワードを他で使い回しているなら、そちらも変更します。変更後はログイン履歴や登録情報、利用明細を確認し、身に覚えのない操作があればサービスの窓口へ連絡します。

カード情報を入力してしまった場合

カード会社の窓口に連絡して、カードの利用停止や再発行について相談します。窓口はカードの裏面や公式サイトに載っているものを使い、メールに書かれた番号には連絡しないでください。明細も確認しておきます。

不正アプリを入れてしまった場合

端末が遠隔操作される恐れがあるため、機内モードにするなどして通信を止め、早めに銀行やカード会社、キャッシュレス決済の窓口に連絡して状況を伝えます。アプリの削除や端末の初期化は、家族や専門窓口に相談しながら進めると確実です。

よくある質問

Q. 2026年9月のフィッシング報告件数はどれくらいですか？

A. フィッシング対策協議会の月次報告書によると、94,661件です。前月より12,323件（約15.0%）増えました。8月は82,338件でした。

Q. 自分の名前が書いてあるメールなら本物ですか？

A. いいえ、本物とは限りません。9月には、本文に受信者の氏名が書かれたフィッシングが確認されたと報告されています。漏えいとの関連性は不明とされていますが、氏名の有無ではなく、そのサービスを使っているかと、公式アプリやブックマークから確認できるかで判断してください。

Q. 「ポイントが失効します」というメールが来たらどうすればいいですか？

A. メールのリンクは開かず、公式アプリか、自分で登録したブックマークからログインしてポイントの残高と期限を確認します。本当に期限が近ければ、ログイン後の画面にも表示されます。

Q. 不正アプリは、どうやって入れさせられるのですか？

A. アップデートや申請手続き、ポイント付与などを理由に、メールやSMSのリンクからアプリを入れさせようとします。協議会は、不審なリンクから直接アプリをインストールしないよう呼びかけています。アプリは公式ストアで自分で検索して入れるのが原則です。

Q. 怪しいメールはどこに報告できますか？

A. フィッシング対策協議会の報告先（info@antiphishing.jp）に転送できます。かたられているサービスに専用の窓口があれば、そちらにも連絡します。会社のメールなら、社内の報告先にも共有してください。

Q. 迷惑メールが多すぎるとき、メールアドレスを変えるべきですか？

A. 協議会も、大量の迷惑メールが届く場合はアドレスの切り替えを検討するよう挙げています。ただし、取引先や各種サービスへの変更連絡が必要になります。重要な連絡用と会員登録用でアドレスを分け、登録用だけを切り替えるのが現実的です。

まとめと参考にした情報

2026年9月のフィッシング報告は94,661件で、7月から2か月続けて増えています。氏名入りの偽メール、不正アプリへの誘導、国税庁やカード会社、ポイント失効をかたる手口が目立ち、氏名が入っているかどうかでは見分けにくくなりました。メールのリンクではなく公式アプリやブックマークから確かめること、アプリは公式ストアから入れること、多要素認証とDMARCの確認を進めることが、会社としての基本になります。

参考にした情報（2026年10月21日時点）は、フィッシング対策協議会の「2026/09 フィッシング報告状況」（https://www.antiphishing.jp/report/monthly/202609.html）、同「2026/08」「2026/06」月次報告、同ニュース記事「偽アプリの導入による金銭被害」（JC3）、迷惑メール相談センターの「要注意メール」（https://www.dekyo.or.jp/soudan/contents/news/alert.html）です。内容は更新されるため、最新情報は各公式サイトでご確認ください。

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。