フィッシング対策に残る「クリック後の空白」— 月66,119件の報告から考える出口の備え

フィッシング対策として、迷惑メールフィルターの設定や社員への注意喚起を続けている会社は少なくありません。送信元ドメインの正当性を確認する送信ドメイン認証も、メールを受信する段階で不審な送信元を判定するための代表的な対策です。

それでも残るのが、「そのメールがフィルターを通過し、社員がURLをクリックしたらどうするか」という問題です。

フィッシング対策協議会の月次報告（2026年7月分）を見ると、攻撃側がメールフィルターやURL検知を意識しながら手口を変えている様子が読み取れます。メールを受信する入口だけで判断する対策に加えて、クリックした後に端末から発生する通信をどこで確認するのかまで考える段階に来ています。

報告件数減少とURL増加

2026年7月のフィッシング報告件数は66,119件でした。前月から6,251件減り、約8.6％の減少です。

報告件数だけを見ると、フィッシングが一段落したようにも見えます。しかし、フィッシングサイトのURL件数は別の動きをしています。重複を除いたURL件数は43,267件で、前月から1,026件、約2.4％増えました。

悪用されたブランドは101ブランドです。報告の上位5ブランドだけで全体の約68.6％を占め、1,000件以上の大量報告を受けた11ブランドを合わせると約84.4％となっています。分野別ではEC系が約50.5％、クレジット・信販系が約25.4％でした。

ここから確認できるのは、報告メールの総数だけでは状況を捉えにくいということです。報告件数が減少した月でも、利用されたURLの種類は増えています。

攻撃者側についても、協議会は試行錯誤を繰り返しながら攻撃を切り替えており、メール文面やかたるブランドが数日単位で変更されていると報告しています。

情シス側が一度設定したルールを維持している間にも、攻撃側ではURL、送信経路、メール文面などが変更されている可能性があります。

正規サービスを利用する回避手法

2026年7月の報告で目立つのが、一般に利用されているサービスをフィッシングの経路に組み込む手法です。

URLでは、大手クラウドサービスのホスト名である「amazonaws.com」をそのまま使うケースが急増し、報告全体の約23.2％を占めました。

さらに、短縮URLサービスや配信サービスの「sendgrid.net」からリダイレクトするケース、フィルターなどで不正なURLとして検知されにくい正規サービスのドメイン名を利用するケースも6月より増え、報告全体の約25.8％を占めています。

正規クラウドのドメイン上にフィッシングサイトが置かれた場合、ドメインの評判だけを基準に遮断する方法では判別が難しくなります。普段から利用されているサービスのドメインそのものを一律に拒否する判断も容易ではありません。

メールの送信側でも同様の動きがあります。差出人に実在するサービスのドメイン名を使った「なりすまし」フィッシングメールは約26.5％で、前月より増加しました。

また、協議会の調査用アドレスに届いたフィッシングメールではクラウドサービスからの送信が増えており、そのうちMicrosoft Azureが約52.5％を占めています。

協議会は、大手メールサービスの利用者から特定のフィッシングメールについて報告が集中する場合があり、各メールサービスの迷惑メールフィルターを回避するように配信されている可能性があるとも記しています。

つまり、攻撃側も「どのメールが届くのか」「どのURLが検知されるのか」を試しながら配信方法を変えていると考える必要があります。

メールだけでは確認できない手口

もう一つ見逃せないのが、確認する環境によって表示を変えるフィッシングサイトです。

協議会によると、モバイル回線でのみ表示可能なフィッシングサイトも多く確認されています。標的を絞ると同時に、対策側による稼働確認や停止調整を避けようとする試みが続いているとされています。

例えば、担当者が社内PCからURLを開いて確認しても、同じページが表示されるとは限りません。メール本文やURLを一度調査して「問題なし」と判定する運用だけでは、利用者が実際にアクセスした際の挙動まで確認できない場合があります。

こうした状況では、メールを受信した瞬間だけで安全性を判断する運用には限界があります。

迷惑メールフィルター、送信ドメイン認証、URL検知は引き続き必要です。ただし、それらを回避しようとする手口が観測されている以上、フィルターを通過するメールが発生することも想定した対策が必要になります。

入口の対策だけでは、なぜ足りないのか？

入口の対策を回避する手口が観測されているため、メールを受信する段階ですべてを止め切る前提には限界があります。フィルターを通過したURLを社員がクリックすれば、その後は端末から社外への通信が発生します。その通信を確認する仕組みがなければ、入口の判定を通過した後に別の確認機会を持てません。そこで、クリック後の通信をネットワーク側でも確認・制御する層を用意する考え方が必要になります。

フィッシング対策を整理すると、対策する場所を二つに分けて考えられます。

「入口で止める」は、メールが社員に届く前後で不審な送信元やURLを判定し、クリックする機会を減らす対策です。迷惑メールフィルターや送信ドメイン認証などがここに含まれます。

「出口で断つ」は、社員がURLをクリックした後、PCやスマートフォンから社外へ向かう通信を確認し、不適切な接続先への通信を制御する考え方です。

本記事では整理のため、メールの判定を通過したURLがクリックされてから、その先の通信を社内側で確認する場所がない状態を「クリック後の空白」と呼びます（当サイトが整理のために使う呼び名です）。入口で不審メールを減らせても、この空白が残っていれば、クリック後の通信を別の段階で確認することができません。

その一つがDNSフィルタリングです。DNSは、Webサイトの名前を通信先の情報に変換する仕組みです。DNSフィルタリングでは、この名前解決の段階で接続先を確認し、許可しないサイトへのアクセスを制御します。

外向き通信そのものを監視・制御する方法もあります。こうした仕組みを加えることで、メール側の判定を通過したURLがクリックされた場合にも、別の場所で通信を確認する機会を設けられます。

入口の仕組みだけですべてのメールを判定するという前提を置かず、入口を通過した後にも確認場所を用意する。フィッシング対策を複数の段階に分ける多層防御は、この考え方に基づきます。

導入検討で確認したい範囲

専任の情シス担当がいない会社では、新しい対策を追加すると管理作業が増えることも考慮する必要があります。そのため、DNSフィルタリングや外向き通信の制御を検討する際には、機能の有無だけで判断せず、現在のネットワークでどこまで管理できるのかを整理しておく必要があります。

例えば、社内ネットワークからアクセスするPCだけを対象にするのか、社外で利用する端末も含めるのか。社員がモバイル回線を利用する場面をどのように扱うのか。現在利用しているメール側の対策と、どの範囲を分担するのか。

2026年7月の報告では、クラウドサービス、正規サービスのドメイン、リダイレクト、モバイル回線限定表示など、単一の判定方法だけでは扱いにくい手口が確認されています。

入口対策を置き換える話ではありません。現在のメール対策を維持したうえで、その判定を通過した場合に次の確認場所があるかを点検することが、検討の出発点になります。「クリック後の空白」が残っているなら、DNSフィルタリングや外向き通信の制御を含め、どこで通信を確認するのかを整理する余地があります。

よくある質問

報告件数が減っているなら、対策を急ぐ必要はないのでしょうか？

2026年7月のフィッシング報告件数は前月より約8.6％減少しています。一方、重複を除いたフィッシングサイトのURL件数は約2.4％増えており、報告件数だけで対策の必要性を判断するのは難しい状況です。正規サービスのドメインやリダイレクトを利用するケースも増えているため、現在の対策でどこまで対応できているかを確認する材料として見る必要があります。

社員への注意喚起や教育だけでは足りないのでしょうか？

注意喚起や教育は、社員が不審なメールやURLに気づくための対策として必要です。ただし、協議会の報告では、迷惑メールフィルターを回避するように配信されている可能性や、メール文面やかたるブランドが数日単位で変更されていることが示されています。社員の判断だけに頼らず、クリック後にも通信を確認できる仕組みを組み合わせる考え方が多層防御です。

DNSフィルタリングを導入すれば、メール側の対策は不要になりますか？

メール側の対策も引き続き必要です。迷惑メールフィルターや送信ドメイン認証は、社員に不審なメールが届く機会やクリックする機会を減らす役割があります。DNSフィルタリングなどは、それでも入口を通過した場合に別の段階で通信を確認するための層として整理できます。

まとめ

フィッシング対策協議会の月次報告（2026年7月分）では、フィッシング報告件数が前月より約8.6％減少する一方、確認されたURL件数は約2.4％増加しました。

正規クラウドのホスト名、短縮URLや配信サービス、実在するサービスのドメイン名などを利用するケースも増えています。迷惑メールフィルターを回避するように配信されている可能性や、モバイル回線でのみ表示されるサイトについても報告されています。

メールフィルターや送信ドメイン認証によって入口で止める対策は、フィッシング対策の一部として引き続き必要です。同時に、そこを通過したメールがクリックされた場合を想定し、DNSフィルタリングや外向き通信の制御によって社外への接続を確認する層を加えることも検討対象になります。

「社員がクリックしないこと」に依存する範囲を減らし、「クリック後の空白」を残さないように通信を確認できる場所を設ける。2026年7月の報告は、その必要性を検討する材料の一つといえます。

既存の構成を変えずに、まず外向き通信の観測から始める方法は透過型ファイアウォールとはで、検知と遮断をどう使い分けるかは検知と遮断の違いで整理しています。

出典

• フィッシング対策協議会「2026/07 フィッシング報告状況」（2026年8月17日公開） 月次報告本文