フィッシング対策の基本とパスキーとは｜報告245万件時代の“なりすまされない・だまされない”備え【2026年版】

結論：送る側と受ける側、両方に手を打つ

　フィッシング（実在する会社をかたる偽メール・偽サイトでID・パスワードやカード情報をだまし取る手口）への対策は、大きく2つに分かれます。ひとつは「自社がなりすまされない」こと。取引先やお客様に、自社を装った偽メールが届きにくくします。もうひとつは「自社の従業員がだまされない」こと。万一だまされても被害につながりにくいログインの仕組みにします。どちらか片方では守りが片手落ちになります。

いま起きていること（報告は過去最多）

　フィッシング対策協議会「フィッシングレポート2026」によると、2025年の1年間に同協議会へ寄せられたフィッシングの報告件数は2,454,297件に達し、過去最多を更新しました。前年の約1.43倍で、報告件数は2020年以降6年連続で増加しています。証券会社をかたるものが広く報じられたほか、キャッシュレス決済・クレジットカード・消費者金融・交通系サービスなどのなりすましが多く報告されています（出典：フィッシング対策協議会、2026年）。

　国も動いています。2025年9月1日、総務省は電気通信事業者の団体に対し、なりすましメール対策として有効な「DMARC」の導入とポリシー設定（隔離・拒否）や、AIを活用した迷惑メール判定の精度向上などを要請しました（出典：フィッシング対策協議会 ニュース、2025年）。なりすましメール対策は、いまや通信業界全体で強化が求められる標準的な取り組みになっています。

送る側の対策：自社が「なりすまされない」

　自社のドメイン（＠の右側）を装った偽メールを届きにくくするのが、送信ドメイン認証と呼ばれる仕組みです。よく使う3つを、役割で覚えると分かりやすくなります。

• SPF：そのドメインのメールを「どのサーバーから送ってよいか」を宣言する仕組み。
• DKIM：メールに電子的な署名を付け、途中で改ざんされていないかを確認できる仕組み。
• DMARC：SPF・DKIMの結果をもとに、なりすましメールを「受信側でどう扱うか（何もしない／隔離／拒否）」を指定し、状況の報告も受けられる仕組み。

　メールの送受信でも要件は厳しくなっています。Googleの「メール送信者のガイドライン」では、すべての送信者にSPFまたはDKIMの設定を求め、1日あたり5,000通以上を送る送信者にはSPF・DKIM・DMARCの3点に加え、認証の整合（アライメント）やワンクリックでの配信停止などを求めています（2024年2月以降。出典：Google）。自社のメールが届きにくくならないためにも、設定の確認は早めが安心です。

受ける側の対策：パスキーと多要素認証

　どれだけ注意していても、巧妙な偽サイトで従業員がパスワードを入力してしまうことはあり得ます。そこで有効なのが、パスキーと多要素認証（MFA）です。

　パスキーとは、パスワードの代わりに、スマホやパソコンの指紋・顔認証などを使ってログインする新しい方式です。パスワードのように「入力する秘密」がないため、偽サイトに打ち込まされて盗まれる、という被害が起きにくいのが特長です。認証に使う情報が手元の端末に保管され、ネット上に流れない仕組みのため、フィッシングに強い（耐性がある）とされています。

　普及も急速に進んでいます。FIDOアライアンスが「World Passkey Day 2026」で公表した調査（2026年4月・日本を含む10か国・消費者11,000人ほか）によると、パスキーの認知度は90%、少なくとも1つのアカウントで設定している人は75%、世界で利用されているパスキーは約50億に達したと報告されています（出典：FIDO Alliance、2026年）。企業でも68%が従業員のサインインに導入済み、または導入中とされています。

　パスキーにまだ対応していないサービスでは、ID・パスワードに加えてスマホの確認などを求める多要素認証を有効にしておくと、パスワードが漏れても不正ログインされにくくなります。ただし、いずれも「絶対に破られない」ものではなく、被害の確率を大きく下げる対策と理解しておくことが大切です。

よくある質問

中小企業でもDMARCは設定すべきですか？

　はい。自社を装った偽メールが取引先やお客様に届くと、信用の毀損につながります。まずはSPF・DKIMを整え、DMARCは「何もしない（none）」で状況を把握してから、隔離・拒否へと段階的に強めるのが現実的です。

パスキーにすればフィッシングは完全に防げますか？

　「完全に防げる」とは言えません。パスキーはフィッシングに強い仕組みですが、対応していないサービスも残ります。パスキー・多要素認証・従業員への注意喚起を組み合わせ、被害の確率を下げることが目的です。

まず何から始めればよいですか？

　自社ドメインのSPF・DKIM・DMARCの状況を無料診断で確認し、不足を補うことからです。並行して、重要なアカウントにパスキーまたは多要素認証を設定していきます。

まとめ

　フィッシングの報告は過去最多を更新し続けています。守りの基本は、「自社がなりすまされない（SPF・DKIM・DMARC）」と「従業員がだまされても被害につながりにくい（パスキー・多要素認証）」の両輪です。どちらも、今日から着手できます。

　何から手を付けるべきか迷う場合は、まず無料診断で現状を把握し、必要ならオンラインの無料相談でご一緒に優先順位を整理します。

関連記事

• なりすましメール対策とは｜SPF・DKIM・DMARCをWebで確認【中小企業向け】
• 中小企業のパスワード管理と多要素認証（MFA）｜使い回しをやめる現実的な進め方
• ディープフェイク詐欺・AIなりすましとは｜送金詐欺(BEC)の手口と対策

参考・出典

• フィッシング対策協議会「フィッシングレポート2026」：https://www.antiphishing.jp/report/report/phishing_report2026.html
• フィッシング対策協議会 ニュース「総務省、DMARC導入など対策強化を業界に要請（2025/09/01）」：https://www.antiphishing.jp/news/entry/20250901itmedia.html
• Google「メール送信者のガイドライン」：https://support.google.com/a/answer/81126
• FIDO Alliance「World Passkey Day 2026」：https://fidoalliance.org/fido-alliance-reports-accelerating-global-passkey-adoption-on-world-passkey-day-2026/