【2025年最新統計】フィッシング詐欺の被害動向まとめ：報告件数は過去最多245万件、クレカ不正利用額は減少に転じる

フィッシング詐欺 不正ログイン
公開日: 2024年11月27日｜最終更新日: 2026年7月17日
【2025年最新統計】フィッシング詐欺の被害動向まとめ：報告件数は過去最多245万件、クレカ不正利用額は減少に転じる

フィッシング詐欺の被害は、いまどうなっているのでしょうか。

2025年の統計には、はっきりとした「明暗」があらわれました。フィッシング報告件数は約245万件と過去最多を更新し、証券口座の乗っ取りによる不正売買が社会問題化する一方で、クレジットカード不正利用の被害額は前年比8.0%の減少に転じました。「攻撃は増えているのに、一部の被害額は減った」——この構図を正しく理解することが、事業者が2026年の対策を考える出発点になります。

本記事では、フィッシング詐欺に関連する最新の公的統計を整理したうえで、実際の被害事例と、EC・ネットバンキング・証券などのサービスを提供する事業者が自社ユーザーを被害から守るために講じるべき対応策を解説します。

1. 2025年最新統計で見るフィッシング被害の全体像

フィッシング報告件数は約245万件で過去最多

フィッシング対策協議会によると、2025年の1年間に寄せられたフィッシング報告件数は2,454,297件と、前年（約171万件）の約1.4倍に達し、過去最多を更新しました。メールやSMSでユーザーを偽サイトへ誘導する攻撃そのものは、減るどころか増え続けているのが実態です。

クレジットカード不正利用は510.5億円、前年比8.0%の減少

日本クレジット協会の集計によると、クレジットカード不正利用の被害額は2024年に555.0億円と過去最悪を記録した後、2025年は510.5億円（前年比8.0%減）となり、コロナ禍の2020年以来5年ぶりに前年を下回りました。

減少の背景として大きいのが、2025年3月末を対応期限として原則すべてのEC加盟店に導入が求められた本人認証サービス「EMV 3-Dセキュア」の義務化です。なお、この「義務化」は割賦販売法に基づく実務上の指針「クレジットカード・セキュリティガイドライン」が求める必須対策としての位置づけであり、法令の条文で直接義務づけられたものではありません。決済時に追加の本人認証を挟む仕組みが広がったことで、盗まれたカード番号をそのまま使う不正が通りにくくなったと考えられています。

ただし、内訳を見ると楽観はできません。2025年の被害額のうち「番号盗用」による被害は475.4億円と、全体の93.1%を占めています。番号盗用の主要な入口がフィッシングであることを踏まえると、「カード情報が盗まれる段階」は依然として止められておらず、決済段階の防御でかろうじて被害額を抑え込んでいる、というのが正確な見方です。

なお、本記事の旧版では「フィッシング詐欺の被害額541億円」とご紹介していましたが、この541億円は2023年のクレジットカード不正利用被害額（日本クレジット協会集計）であり、フィッシング被害そのものの金額ではありませんでした。あわせて訂正いたします。

ネットバンキングの不正送金は約104億円で過去最悪を更新

警察庁の発表によると、インターネットバンキングに係る不正送金の被害は、2023年に5,578件・約87.3億円を記録した後、2024年も4,369件・約86.9億円と高止まりしていました。そして2025年は4,747件・約104億円にのぼり、被害額は過去最悪を更新しています。手口の約9割はフィッシングによるものとみられており、「メールやSMSから偽サイトへ誘導し、ログイン情報を盗む」という古典的な手口が、いまなお最大の脅威であり続けています。

証券口座の乗っ取り：不正売買は年間約7,393億円

2025年に最も注目を集めたのが、証券口座を狙ったフィッシングです。証券会社を装った偽サイトでIDとパスワード、さらにワンタイムパスワードまでリアルタイムに盗み取り、口座を乗っ取って保有株を勝手に売却、犯人側が保有する銘柄を買い付けさせる——という手口が急増しました。

金融庁の公表によると、2025年の1年間で証券口座への不正アクセスは17,559件、不正売買（売却・買付の合計）の金額は約7,393億円にのぼります。ワンタイムパスワード（二要素認証）を設定していても突破される点がこの手口の恐ろしさであり、詳しい仕組みや、この事態を受けて証券業界で進む「フィッシング耐性MFAの実質義務化」の制度動向は、以下の記事で解説しています。

2. 実際の被害事例：フィッシングは「誰にでも」起こる

被害者に共通するのは、偽の通知やメールを「本物」と信じてしまう状況に陥った点です。国民生活センターに寄せられた代表的な相談事例と、近年の新しい被害パターンを紹介します。

【事例1】通販サイトを装うメールでカード情報を入力し、不正利用された 大手通販サイトから「会員満期通知」という件名のメールが届き、「月会費550円が引き落としできませんでした」との記載からリンクをタップ。遷移先の画面でクレジットカード番号を入力したところ、後日カード会社から連絡があり、第三者に5万円を不正利用されていた。（国民生活センター相談事例より）

【事例2】宅配業者の不在通知SMSからキャリア決済を悪用された 宅配業者を名乗る不在通知のSMSに記載されたURLからログインし、パスワード等を入力。その後、身に覚えのないオンラインゲーム課金約1万5,000円がキャリア決済で発生していた。（国民生活センター相談事例より）

【事例3】銀行を装うメールから口座のお金を送金された 利用中の銀行を名乗る「利用制限」のメールからリンクを開き、本物の画面と思い契約者番号とパスワードを入力。後日ATMで残高が0円になっていることに気づき、別口座へ約20万円が送金されていた。（国民生活センター相談事例より）

【事例4】証券会社を装う偽サイトで株を勝手に売買された（2025年に急増） 証券会社を名乗るメールやSMSから偽のログイン画面に誘導され、ID・パスワードとワンタイムパスワードを入力。直後に口座を乗っ取られ、保有株式を勝手に売却されたうえ、見知らぬ銘柄の買い付けに悪用された。この種の不正売買は、金融庁の公表によると2025年の1年間で約7,393億円に達しています（第1章参照）。

生成AIの普及により、こうした偽メール・偽サイトの日本語は年々自然になっており、「文面の不自然さで見抜く」ことはほぼ不可能になりつつあります。AIを使った最新の攻撃手口については関連記事をご覧ください。

3. フィッシング対策の現在地：官民の取り組み・チェックリストと限界点

官民連携の啓発活動

増え続けるフィッシング被害を受けて、2024年には経済産業省を中心とする「クレジットカード・セキュリティ官民対策会議」の開催や、閣僚会議による「国民を詐欺から守るための総合対策」の策定など、官民連携の取り組みが本格化しました。2024年11月には警察庁・消費者庁・フィッシング対策協議会など官民11団体による「フィッシング啓発キャンペーン」も実施され、以降も官民による継続的な注意喚起が行われています。

消費者向けチェックリスト

国民生活センターは、注意喚起「そのURLのクリック、ちょっと待って！−SMSやメールでの“フィッシング詐欺”の相談が依然高水準！−」（2023年11月公表）の中で、フィッシング被害を防ぐためのチェックリストを公開しています。

  1. 事業者や公的機関などのSMSやメールを見るときは ・日頃利用している事業者からのものでも、まずフィッシングを疑う。 ・記載されているURLにはアクセスせず、事前にブックマークした正規サイトや正規アプリからアクセスする。

  2. フィッシングサイトにアクセスしたと気づいたら ・ID・パスワード、クレジットカード番号等は絶対に入力しない。 ・フィッシングサイト上のアプリをダウンロードしない。

  3. フィッシングサイトに情報を入力してしまったら ・使い回しているサービスを含め、ID・パスワード等をすぐに変更する。 ・クレジットカード会社や金融機関などにも連絡する。

  4. 日ごろからの事前対策 ・セキュリティソフトや携帯電話会社の対策サービス等を活用する。 ・ID・パスワード等の使い回しをしない。 ・決済やネットバンキングの利用明細をこまめに確認し、利用限度額は必要最低限に設定する。

チェックリストの限界点

チェックリストは重要な指針ですが、限界もあります。思い込んでいる時、急いでいる時、疲れている時には「ついうっかり」リンクを開いてしまうのが現実です。ECサイトで商品を購入した直後に届いた宅配業者風のSMSを信じてしまう、大量のメール処理の中で偽メールを見落とす——こうしたミスは誰にでも起こり得ます。

さらに2025年の統計が示すとおり、ワンタイムパスワードのような追加認証すらリアルタイムに盗み取られる時代です。攻撃側が生成AIで手口を自動化・巧妙化させるなか、ユーザーの注意力だけに頼る防御は、構造的に限界を迎えています。被害を防ぐには、事業者側からの技術的な対策が欠かせません。

4. ユーザーの意識向上に頼らないInfront Securityの仕組み

チェックリストや注意喚起だけでは防ぎきれないフィッシングの脅威に対し、被害を根本的に防ぐInfront Securityの仕組みをご紹介します。

高い安全性

Infront Securityは、登録済みの端末からのみログインが可能な認証システムです。会員登録時に本人名義の携帯電話から認証用の電話番号へ架電してもらい、電話番号認証後に利用者端末の端末情報を認証基盤へ登録します。

電話契約には公的な本人確認書類が必要であり、発信記録も残ることから、本人担保性が非常に高い認証方式です。万が一IDとパスワードがフィッシングで漏洩しても、登録されていない端末からのログインは遮断されます。パスワードやワンタイムパスワードのように「入力させて盗む」対象となる情報がそもそも存在しないため、リアルタイムフィッシング型の攻撃に対しても有効です。

セキュリティ強化とコンバージョン率向上の両立

一般にセキュリティ強化とユーザー体験の向上は相反しがちですが、Infront Securityはセキュリティ強化とコンバージョン率向上を両立できるツールです。パスワードを覚えなくても誰でも簡単に、幅広いデバイスからログインできること、セキュリティ強化によりサイトへの安心感が高まることなどから、サイト利用率やコンバージョン率が上昇し、結果として売上の増大につながります。

高い拡張性

Infront Securityは、ECサイト・ネットバンキング・証券取引など、本記事で見てきたフィッシングの標的となりやすい消費者向けサービスへ幅広く導入できます。ログイン全体を守るのはもちろん、送金・売買注文・カード情報の変更といった被害に直結しやすい重要操作だけに絞って認証を挟むなど、サービスごとのリスクに応じた粒度で柔軟に組み込める点が特長です。ユーザーは同じ電話番号で複数のサービスを利用できるため、導入時の負担も最小限に抑えられます。

フィッシング対策としての電話発信認証の仕組みや導入事例について、詳しくはお気軽にお問い合わせください。

不正は劇的に、ユーザーは快適に。Infront Security。

更新履歴

  • 2026年7月17日: 統計データを2025年確定値へ全面更新しました（フィッシング報告件数約245万件・クレジットカード不正利用被害額510.5億円・ネットバンキング不正送金約104億円・証券口座の不正売買約7,393億円）。あわせて、旧版で「フィッシング詐欺の被害額」としていた541億円が、正しくは2023年のクレジットカード不正利用被害額（日本クレジット協会集計）であった点を訂正しました。
  • 2024年11月27日: 記事を公開しました。

参考資料

記事一覧へ戻る

認証のお悩みを
オンラインで無料相談

まずは相談する