「あなた専用」の詐欺メールが届く時代に、ログインの鍵をどこに置くか

「会費の引き落としに失敗しました。こちらから再登録をお願いします」

もしこのメールに、あなたの名前と、実際に使っているサービスの名前が正しく書かれていたら。そして、ちょうど先月カードを替えたばかりだったら。迷わずリンクを押してしまう人は、少なくないはずです。

2026年9月末から、企業を狙った不正アクセスが相次ぎ、ユーザーの個人情報が各所で漏えいしています。被害に遭った各社は「漏れた情報が悪用された事実はない」としつつ、詐欺メールや電話への注意を呼びかけています。

そうした中、ITmedia NEWS は、詐欺メールを見張っている組織への取材をもとに、ある変化を伝えました。漏れた情報によって狙いが正確になり、「その人専用」の詐欺メールが届くおそれがある、というものです。

この記事では、その変化が事業者にとって何を意味するのかを考えます。

---

1. 何が変わったのか：ばらまき型から「その人専用」へ

数は減っても、中身が変わっている

フィッシング対策協議会によると、フィッシングメールの報告件数は増える傾向にあるものの、直近1か月あたりの報告件数は、2025年10月〜2026年1月ごろの半分程度まで減っていました。一方で、フィッシングサイトのURLの件数（重複を除く）は、報告件数ほどは減っていません。

協議会は、一連の不正アクセスとの直接の関係は確認できていないとしたうえで、「同じURLを大量にばらまく手口が減っていたようにも見える」との見方を示しています。

同じ記事で、トビラシステムズは、個人情報を悪用した特殊詐欺やフィッシングが増える「おそれは十分考えられる」と答えています。実際に、文面ごとに違う個人情報やURLを書き込んだメールも確認されるようになったといいます。

チェック・ポイント・ソフトウェア・テクノロジーズも、フィッシングメールは増える傾向で、「攻撃する側の利益になる企業」を狙った攻撃が増えていると述べています。

つまり、同じ文面を何百万通も送りつける「数で当てる」やり方から、相手を選んで作り分ける「一通ずつ当てる」やり方へ、重心が移りつつある可能性がある、ということです。

漏れた情報は「鍵」ではなく「台本」になる

ここで、一つ見落とされがちな点があります。

情報漏えいと聞くと、多くの人は「パスワードが漏れたかどうか」を気にします。パスワードが含まれていなければ、ひとまず安心だと考えがちです。

しかし、詐欺に使われるのは鍵そのものとは限りません。名前、メールアドレス、使っているサービス、会員の種類――こうした情報は、それだけではログインに使えなくても、「相手を信じ込ませる台本」の材料になります。

台本がよくできていれば、本人が自分から偽サイトに鍵を打ち込んでくれます。パスワードが漏れていなくても、パスワードは盗まれてしまうのです。

---

2. 「見分けて防ぐ」が効きにくくなる理由

本人に見破らせるのは、限界に近づいている

これまでの詐欺メール対策の基本は、「怪しいメールを見分ける」ことでした。宛名が「お客様」になっている、日本語がおかしい、心当たりのないサービスからの連絡だ――こうした違和感が、見破る手がかりになっていました。

ところが「その人専用」のメールは、まさにその手がかりを消してきます。宛名は本名、サービスは実際に使っている物、用件も心当たりがある。見分けるための材料そのものが、漏れた情報で埋められてしまいます。

ITmedia NEWS の記事も、個人ができる対策として、多要素認証（パスワードに加えて別の手段でも本人を確かめる仕組み）を入れることと、メールに書かれたURLから直接アクセスしないことを挙げています。これは裏を返せば、「文面を見て見分ける」だけでは足りなくなっている、ということでもあります。

「打ち込める鍵」は、偽サイトに渡ってしまう

では、多要素認証を入れていれば安心かというと、方式によって差があります。

広く使われているSMS認証（スマートフォンに届く数字を入力する方式）は、パスワードだけの場合より守りを固めてくれます。ただ、一般的に、偽サイトが本物のサイトと同時に動き、利用者が偽サイトに打ち込んだ数字をその場で本物のサイトに入力する手口があると言われています。

ここで大事なのは、利用者が「画面に打ち込める物」は、パスワードでも数字のコードでも、偽サイトに打ち込まれてしまう可能性があるという点です。よくできた台本は、利用者に「打ち込ませる」ことを目的にしています。

だまされるのは利用者でも、使われるのは事業者の名前

事業者の目線で見ると、もう一つの問題があります。

「その人専用」の詐欺メールで名前を使われるのは、利用者が実際に使っているサービス、つまり御社です。そのメールに利用者がだまされれば、アカウントが乗っ取られ、不正な注文やポイントの不正利用が起こるかもしれません。

そのあと届くのは、「身に覚えのない注文がある」「ログインできなくなった」という問い合わせです。対応にかかる人手と時間、そして「あのサービスは危ない」という評判。被害を受けるのは利用者だけではありません。

利用者に「気をつけてください」と呼びかけることは、もちろん大切です。ただ、それだけでは、見分けにくいメールが増えるほど守りが弱くなっていきます。利用者が見分けられなくても守れる仕組みを、事業者の側で用意しておく必要があります。

---

3. 鍵を「その人が契約している電話回線」に置く

当社の電話番号認証の仕組み

当社（インフロントセキュリティ）の電話番号認証では、利用者がログイン画面のボタンをワンタップすると、スマートフォンから指定の番号へ1コールだけ自動で発信します（通話料はかかりません）。そのうえで、発信者番号と端末の情報をサーバー側で照らし合わせ、本人かどうかを確かめます。

同じ端末から2回目以降にアクセスする時は、端末の情報を確かめるだけで済み、ワンタップも要りません。

「打ち込んで渡せる鍵」がない

この仕組みのポイントは、ログインの鍵が「画面に打ち込む物」ではなく、「その人が契約している電話回線と、いつも使っている端末」にあることです。

SMSのコードのように、利用者が偽サイトに打ち込んで渡せる文字列がありません。仮に詐欺メールにだまされてIDとパスワードを偽サイトに入力してしまっても、それだけではログインできません。

また、音声通話ができる携帯電話の回線は、契約の時に法律（携帯電話不正利用防止法）で、公的な証明書による本人確認が求められています。メールアドレスのように、誰でも無料でいくつも作れる物ではありません。

台本がどれだけよくできていても、台本だけでは鍵は開かない。漏えいが続く今、ログインの鍵をどこに置くかを見直す意味は、ここにあります。

守りを固めると、ログインが面倒になる？

認証を強くすると、利用者の手間が増えてログインや購入が減るのではないか。導入を考える事業者様から、いちばん多くいただくご相談です。

当社の資料では、SMS認証は1回の認証に約3分かかり、送り直しを含めて平均4回ほどSMSを送っています。その送信費用は、毎回、事業者が負担しています。電話番号認証は、利用者が自分で発信するため、事業者のSMS送信費用はかかりません。操作もワンタップで、約1秒で終わります。

「3分の壁を1秒に」。守りを固めることと、使いやすくすることを、どちらかに決めなくてよい形を、私たちは目指しています。

限界も先にお伝えします

電話番号認証で、詐欺そのものをなくせるとは言いません。偽サイトでクレジットカード番号を入力させる手口や、電話で直接だます特殊詐欺は、ログインの仕組みだけでは防げません。利用者への注意の呼びかけや、決済の側の対策とあわせて考える必要があります。

それでも、「パスワードやコードを盗めばログインできる」状態と比べれば、詐欺メールで盗んだ情報の使い道は大きく減ります。

---

まとめ：その鍵は、偽サイトに打ち込めてしまいませんか

• 2026年9月末から不正アクセスによる漏えいが相次ぎ、個人情報を使った「その人専用」の詐欺メールへの懸念が出ている
• 漏れた情報は、パスワードでなくても「相手を信じ込ませる台本」になる。台本がよくできていれば、本人が自分から鍵を打ち込んでしまう
• 「見分けて防ぐ」は、見分ける材料を消してくるメールには効きにくい。パスワードもSMSのコードも、打ち込める物は偽サイトに渡り得る
• 名前を使われ、問い合わせと評判の傷を負うのは事業者。利用者が見分けられなくても守れる仕組みを、事業者の側で用意する時期に来ている

自社の会員のログインが、詐欺メールに対してどれくらい守れているか。今の仕組みを大きく変えずに、どこから見直せるか。整理したい事業者様は、お気軽にご相談ください。御社の会員のログインを1秒で守る方法を、資料でお送りします。

---

お問い合わせはこちら

---