フィッシング対策協議会(Council of Anti-Phishing Japan)は6月3日、「2022/05 フィッシング報告状況」において、2022年5月に同協議会に寄せられたフィッシング報告の状況を公表した。2022年5月のフィッシング報告は8万8,132件だった。前月の報告件数は9万2,094件で過去最大値を記録しており、5月はそこから3,962件減少したものの、依然として高い水準を維持する結果となった。

  • 2021年6月から2022年5月までにフィッシング対策協議会に寄せられたフィッシング報告件数の推移 - 引用:フィッシング対策協議

    2021年6月から2022年5月までにフィッシング対策協議会に寄せられたフィッシング報告件数の推移　引用：フィッシング対策協議会

報告によると、フィッシングに悪用されたブランドのトップは前月と同様、auおよびau PAYで報告数全体の約21.7%を占めており、2位アマゾン、3位えきねっとと続いた。この上位3ブランドで全体の約49.5%、1000件以上の報告を受けた上位16ブランドで全体の約90.1%を占めていたという。

フィッシングに悪用されたブランドは全部で110ブランドあり、これまでと同様にクレジットカードや銀行のブランドをかたるフィッシングが多数を占めたとのこと。SMSによるフィッシングでは、宅配便の不在通知を装ったり、Appleやモバイルキャリア、Amazon、クレジットカードブランドをかたったりする文面が報告されたという。また、悪名高いマルウェア「Emotet」のインストールへ誘導する添付ファイルつきメールの報告も依然として多数確認されているとして、注意喚起が行われている。

ここ数カ月のレポートでは、送信元メールアドレスに正規サービスのドメインを使用した「なりすまし」フィッシングメールが多いことが指摘されてきたが、2022年5月も同様に多数の報告を受領したとのこと。現在、日本で主に導入されているフィッシング対策は送信元を判断基準に使うSPF（Sender Policy Framework）だが、これだけでは対策として不十分であるため、より強固ななりすまし対策を実現するDMARC（Domain-based Message Authentication, Reporting, and Conformance）と呼ばれる認証プロトコルに対応した対策を導入することが推奨されている。

利用者側としては、普段使っているサービスを利用する際は、メールのリンクをクリックするのではなく、正規のアプリやブックマークした正規のURLからサービスにログインするなど、日頃から十分に注意した行動を取る必要がある。特にクレジットカード情報や携帯電話番号、認証コード、口座情報、ワンタイムパスワードなどの入力が求められるような場合は、入力する前にフィッシングでないかどうかをもう一度確認するよう、フィッシング対策協議会では呼びかけている。

フィッシング詐欺に使われているWebサイトは一見しただけで判別することが難しい。真偽の確認を行うには、メールやメッセージに含まれているリンクからたどるのではなく、公式アプリやWebブラウザに登録したブックマークなどからアクセスするなどの操作を行い、確認を行うことが望まれる。