Akamaiのレポートでオンライン詐欺が倍増しフィッシングを逆転

オンライン詐欺は約640万件に倍増しフィッシングを逆転

サイバー犯罪者の手口が認証情報を盗むものから、その場でお金をだまし取るものへと変化し、オンライン詐欺の検知件数は2026年第1四半期に初めてフィッシングを上回りました。 Akamai（アカマイ）は2026年10月29日（米国時間）、詐欺の動向をまとめたレポート「AI-Driven Digital Deception: The Fraud and Abuse Report 2026」を公開しました。

Akamaiは、米国のサイバーセキュリティとクラウドコンピューティングの会社です。レポートは今年で12年目になる「インターネットの現状（SOTI）」シリーズの最新版で、Akamaiのセキュリティ基盤で観測した攻撃のデータをもとにしています。

日本法人のアカマイ・テクノロジーズ合同会社も、11月2日に日本語のプレスリリースを配信しました。日本語版のレポート名は「AI駆動型デジタル詐欺」で始まります。

詐欺の手口は偽の通販サイトやSNSの偽求人

詐欺が増加した理由について、Akamaiは犯罪者がより多くのお金を手にできるからだとしています。 英語のプレスリリースによると、オンライン詐欺の検知件数は約320万件から約640万件へ、ほぼ2倍になったとのこと。

比較した期間は2025年7〜9月と2026年4〜6月。詐欺とフィッシングのデータは、Akamaiの提携先であるBolster AIが集めたものです。オンライン詐欺の分類には、主に次の4つが含まれます。

• 偽のネットショップ
• 投資詐欺
• テクニカルサポート詐欺（パソコンの故障を装ってサポート料をだまし取る手口）
• 決済詐欺

フィッシングも61%増え、国内では9月に9万件を超える報告

フィッシングも増加しており、国内では9月の報告件数が前月より約15.0%多い9万4,661件になりました。 Akamaiの集計では、2025年7〜9月から2026年4〜6月にかけてフィッシングの検知件数も61%増加しています。再利用できるフィッシングキットと、攻撃用のサイトを大量に用意できる仕組み、AIが件数を押し上げたとのこと。

国内では、フィッシング対策協議会が10月19日に9月の月次報告を公表しました。前月より1万2,323件多い9万4,661件の報告が届き、Amazonを装ったものが約33.2%を占めています。分野別ではEC系が約47.9%、クレジット・信販系が約35.0%でした。

フィッシングの活動期間は48日から22日に短縮

偽サイトを短い期間で使い捨てる手口が拡大し、セキュリティ担当者が見つけて閉鎖や遮断をするのにかけられる日数は、平均48日から22日へ半分以下になりました。 Akamaiによると、フィッシング攻撃が使われる平均の期間が、2025年第4四半期の48日から2026年第2四半期には22日へ、50%を超えて縮んでいます。

日本語版のリリースは、2025年第4四半期を48.3日と表記しています。脅威を見つけて取り除くまでにセキュリティチームがかけられる時間も、大きく短縮したとのこと。

短期で入れ替わる偽サイトがブロックリストをすり抜ける

サイバー犯罪者はフィッシングサイトの作成キットを借りることができるサービスやドメインの一括登録を使い、固定のブロックリストに掲載される前にサイトを入れ替えています。 英語のプレスリリースによると、使われているのはPhaaS（フィッシング・アズ・ア・サービス）のキットとドメインの一括登録、短い間隔で入れ替えるインフラの3つとのこと。

ブロックリストは、危険と判定したURLやドメインを登録してアクセスを遮断する仕組みを指します。リストに掲載される前にサイトが別のドメインへ切り替わってしまえば、登録済みのURLだけを遮る防御では追いつきません。Akamaiはレポートで、サイバー犯罪者がAIで文面を自動で差し替えるテンプレートを作り、多言語のおとり文面を大量に生成しているとしています。

なりすましの約70%はハイテク・金融・Eコマースのブランド

フィッシングでなりすまされたブランドは、ハイテクが41.6%で最も多く、金融サービスが18.9%、Eコマースが8.4%でした。 Akamaiによると、フィッシングの約70%がこの3分野のブランドになりすましていたとのこと。

企業のネットワークを狙った悪性のドメインも、多くが同じ3分野のブランドになりすましていました。Akamaiは、サイバー犯罪者がAIと自動化されたインフラを使って従来の境界防御をすり抜け、企業ブランドへの信頼を悪用しているとしています。

ログイン試行の26.6%が高リスク、アジア太平洋は36.4%

乗っ取りの前段となるログインの悪用が広く観測され、アジア太平洋はラテンアメリカの37.8%に次ぐ世界2番目の高さでした。 Akamaiによると、記録したログイン試行のうち26.6%が高リスクまたは重大リスクと判定されたとのこと。地域ごとの割合は、「高リスク・重大リスクと判定されたログイン試行の割合」の表のとおりです。

高リスク・重大リスクと判定されたログイン試行の割合（Akamaiの発表より）

地域	割合
ラテンアメリカ	37.8%
アジア太平洋	36.4%
EMEA（欧州・中東・アフリカ）	23.7%
北米	23.6%
世界全体	26.6%

アジア太平洋では、3回に1回以上のログイン試行が高リスク以上と判定されたことになります。北米とEMEAはどちらも世界全体の26.6%を下回り、アジア太平洋とラテンアメリカの高さが目立つ結果です。

高リスクなログインの40%はメールアドレスの下調べ

Akamaiは、高リスク・重大リスクと判定したログインのうち40%を、アカウントがあるかどうかを問い合わせるアカウント検証リクエストと分類しています。この通信は、パスワードリスト型攻撃の下準備として、入手したメールアドレスが登録済みかを確かめるものとみられます。 パスワードリスト型攻撃は、別のサイトから盗んだIDとパスワードの組み合わせを使い、ログインを大量に試す攻撃です。

日本語版のリリースは、高リスクと判定されても攻撃が成功したわけではなく、悪性の可能性がある活動という意味だとしています。業種別では、ログイン試行の件数はEコマースが41.1%で最も多く、認証情報の照合やアカウントの乗っ取り、ポイントの不正利用に狙われやすいとのこと。

アジア太平洋では攻撃の12.5%が金融機関を狙う

金融サービスを狙った攻撃は観測された攻撃活動の12.5%で、内訳は銀行6.4%とフィンテック6.1%でした。 日本語版のリリースによると、金融サービスはアジア太平洋で最も狙われた業界だったとのこと。

2026年7月にはアジア太平洋の大手金融機関が2つの手口で同時に狙われました。7日間で4万2,000件の自動リクエストが送信され、入手した認証情報が有効かどうかを大量に試す手口が使われています。同時に、検知のしきい値に引っかからないよう、わずか164件のリクエストでアカウントを作ろうとする試みもありました。

東南アジアでは、旅行関連の検索からギャンブルサイトへ誘導するキャンペーンに関わる2,157件のURLも分析されました。アジア太平洋・日本地域を担当するReuben Koh氏によると、大規模な攻撃の一部であっても、通信は通常のログインや少額の支払いを装って届くとのこと。同氏は、1件だけを見ても不審には映らないと述べています。

Akamaiが対策として書いているのは、登録や認証から決済に至るアカウントのライフサイクル全体で、意図をもとにふるまいを検知する仕組みです。ボット対策を強化すれば、検知を避けるよう設計された小規模な攻撃も見つけることができるとしています。

通販サイトの運営者と買い物客がそれぞれ備えること

ログインの悪用は運営者側で防ぎ、偽サイトやフィッシングメールは買い物客側で見分ける必要があります。 公的機関は、運営者にはログイン時と決済時の本人認証を追加することを、買い物客にはブックマークや公式アプリから公式サイトにアクセスすることを勧めています。

Akamaiの集計では、ログイン試行の件数が最も多いのはEコマースで、なりすましに使われたブランドにもEコマースが含まれていました。国内でも、フィッシング対策協議会に9月に届いた報告の約47.9%がEC系です。

運営者向けの対策は経済産業省と警察庁が公表しており、買い物客向けの対策は警察庁や消費者庁などが呼びかけています。立場ごとの対策を、このあと3つずつ紹介します。

運営者：会員登録とログイン、決済を守る

経済産業省はカード決済を受け付けるEC事業者にログイン時の本人認証とEMV 3-Dセキュアの導入を求め、警察庁は自社ドメインのなりすまし対策を勧めています。 経済産業省が2025年3月5日に改訂を発表した「クレジットカード・セキュリティガイドライン」は、カード決済に関わる事業者が実施すべき対策をまとめたものです。

このガイドラインは、割賦販売法が定めるセキュリティ対策義務について、実務上の指針と位置づけられています。カード決済を受け付ける通販サイトの運営者がとるべき対策は、次の3つです。

ログインに本人確認の段階を加える

経済産業省が改訂を発表したガイドラインは、EC事業者に対してログイン時の本人認証をはじめとする不正ログイン対策を実施するよう定めています。IDとパスワードが合えば通す仕組みのままでは、盗まれた組み合わせによるログインと本人のログインを見分けることができません。

会員がログインするときに、メールやSMSで届くワンタイムパスワードなど、本人かどうかを確認する段階を設けておきましょう。ログインのたびに本人を確認する仕組みにすれば、盗まれたIDとパスワードだけではログインを完了できなくなります。

カード決済にEMV 3-Dセキュアを入れる

2025年3月の改訂ではログイン時の対策とあわせて、決済のたびにカードの持ち主本人かを調べる仕組みも不正利用対策として求められています。EMV 3-Dセキュアはカード決済のときに本人認証を行うサービスです。

Akamaiは、ログイン試行が最も多いEコマースがアカウントの乗っ取りやポイントの不正利用に狙われやすいとしています。アカウントに不正にログインされても、決済の本人認証に通らなければカード決済は完了しません。

自社ドメインのなりすましメールをDMARCで防ぐ

警察庁によると、送信ドメイン認証のDMARCを使えば、自社になりすましたメールを受信側で受け取らせない設定にできるとのこと。実在する企業のメールアドレスになりすましたメールで、フィッシングサイトへ誘導するケースもあるとしています。主な送信ドメイン認証は次の3つです。

• SPF：送信元のIPアドレスが正しいかを認証する
• DKIM：電子署名を検証して認証する
• DMARC：SPFとDKIMを組み合わせ、認証に失敗したメールを受け取らせるかどうかを送信側で指定する

Akamaiの集計でも、フィッシングの約70%はハイテク・金融・Eコマースのブランドになりすましていました。自社のドメインでSPFとDKIMを設定し、DMARCのポリシーを公開しておきましょう。

買い物客：偽サイトとフィッシングメールを見分ける

警察庁と消費者庁は、メール内のリンクにアクセスしないことと、注文する前にサイトの表示をチェックすることを呼びかけています。 偽サイトは短い期間で入れ替わるので、危険なURLの一覧に頼るだけでは見分けきれません。買い物客が日頃から取り組む対策は、次の3つです。

メールやSMSのリンクにアクセスせず公式アプリで確認

警察庁は、リンクの見た目では本物か判断できないとして、公式サイトはブックマークか公式アプリからアクセスするよう勧めています。警察庁によると、メール内のリンクは偽装することができ、本物に似たドメイン名を使ったフィッシングサイトも多くあるとのこと。

よく使う通販サイトは、ブックマークに登録しておくか公式アプリからアクセスするようにしましょう。注文内容の再入力や支払い方法の更新を求めるメールが届いても、文中のリンクにはアクセスせずに、ブックマークやアプリでご自身のアカウント画面を表示して確認します。

注文前にURLや連絡先、支払方法をチェック

消費者庁は、実在する通信販売サイトを装った偽サイトに気をつけるよう呼びかけています。購入する前にチェックするポイントは、次の5つです。

• 公式通信販売サイトのURLか
• 電話番号やメールアドレスなどの連絡先が表示されているか
• 商品の価格が極端に安くないか
• 支払方法が限定されていないか
• 日本語が不自然でないか

国民生活センターも、悪質な通販サイトとのトラブルに関する相談が届いているとして、2026年6月17日に見分けるポイントを公表しました。主な特徴は次の3つです。

• 振込先口座の名義が個人名になっている
• キャンセルや返品、返金に関するルールがどこにも記載されていない
• 事業者の名称や住所、電話番号が明記されていない

国民生活センターは、「少しでも怪しいと感じたら注文しない」としています。普段使っている通販サイトでも、URLがいつもと異なるときは注文を控えましょう。

パスワードはサイトごとに変えワンタイムパスワードも併用

警察庁によると、1つのサイトで盗まれたIDとパスワードは他のサイトでも不正ログインに使われるとのこと。そのため、サイトごとに別のパスワードを登録し、ワンタイムパスワードも使うことが有効です。

Akamaiが観測した高リスクなログインの40%は、メールアドレスが登録済みかを問い合わせる通信でした。同じパスワードを使い回していると、1か所で流出した組み合わせで別の通販サイトや銀行にもログインされてしまいます。

覚えきれない場合は、パスワード管理アプリを使うよう警察庁は勧めています。パスワードの長さと強さの目安は、パスワード強度の一覧表で見る桁数・文字種別の解読時間と推奨文字数で確認することができます。