1. フィッシング攻撃とは
フィッシング攻撃とは、銀行、通販サイト、勤務先のサービスなど、正規の相手になりすました偽のメールやSMS、Webサイトを使って、ID・パスワード、クレジットカード番号などの重要な情報をだまし取る攻撃です。「アカウントがロックされました」「不正利用の確認が必要です」といった、不安をあおるメッセージで偽サイトへ誘導し、情報を入力させるのが典型的な手口です。
フィッシングは、サイバー攻撃の中でも最も件数が多く、被害の入口として広く悪用されています。情報漏えい、不正送金、ランサムウェア、ビジネスメール詐欺（BEC）——その多くが、フィッシングによる認証情報の窃取から始まります。攻撃者にとって、フィッシングは「人をだまして、正規の鍵を手に入れる」効率的な手段なのです。だからこそ、フィッシング対策は、あらゆる組織にとって最重要の課題となっています。
2. 手口の種類と進化
| 手口 | 内容 |
|---|---|
| メールフィッシング | 正規を装ったメールで偽サイトへ誘導する、最も一般的な手口 |
| スミッシング（SMS） | SMSを使ったフィッシング。宅配便の不在通知などを装う |
| スピアフィッシング | 特定の個人・組織を狙い、その相手に合わせて精巧に作り込む標的型 |
| 中間者型（AiTM） | 偽サイトが本物との通信を中継し、多要素認証まで突破する最新手口 |
かつてのフィッシングは、日本語が不自然だったり、見た目が粗かったりして、「よく見れば分かる」ものが多くありました。しかし、手口は年々進化しています。AIの悪用により、自然な文面のメールが大量に作られ、偽サイトも本物と見分けがつかないほど精巧になっています。さらに、特定の相手を狙い撃つスピアフィッシングや、後述する中間者型（AiTM）といった高度な手口が広がり、「注意していれば見抜ける」という前提が、もはや成り立たなくなっているのです。AIを悪用したフィッシングの脅威はAIを悪用したフィッシングもご覧ください。
フィッシング対策、人の注意だけに頼っていませんか？
人の注意に頼らず、仕組みで防ぐ。Net Peaceが、フィッシングに強い認証への移行を支援します。
3. 多要素認証すら突破する「中間者型」
フィッシングの進化の中でも、特に警戒すべきなのが中間者型（AiTM：Adversary-in-the-Middle）フィッシングです。これは、多要素認証（MFA）を設定していても突破されてしまう、深刻な手口です。
仕組みはこうです。攻撃者は、本物のログイン画面をそっくり中継する偽サイトを用意します。被害者が偽サイトにパスワードとMFAの確認コードを入力すると、その情報はリアルタイムで本物のサイトへ転送され、攻撃者がログインしてしまいます。さらに、ログイン後の「セッション情報」まで盗まれると、以降はMFAすら不要で侵入され続けます。「MFAを入れたのに、アカウントを乗っ取られた」という事例の多くは、この中間者型が原因です。つまり、パスワードやコードという「人が入力する、盗めるもの」を使う限り、MFAを設定していてもフィッシングで突破される余地が残るのです。この手口の詳細はワンタイムパスワードは危険？でも解説しています。
4. 人の注意だけでは、もう防げない
フィッシング対策として、まず思い浮かぶのは「従業員教育」でしょう。「怪しいメールを開かない」「URLをよく確認する」——確かに、こうした教育は重要で、基本的な備えとして欠かせません。
しかし、ここまで見てきたように、フィッシングの手口は、人が見抜くのが不可能なレベルにまで進化しています。AIが作る自然な文面、本物と見分けがつかない偽サイト、MFAすら突破する中間者型——これらを、多忙な業務の中で、すべての従業員が100%見抜き続けるのは、現実的ではありません。人は必ずミスをします。たった一人が、たった一度だまされるだけで、組織全体が危険にさらされるのです。「人の注意」だけに頼るフィッシング対策には、限界がある——これが、直視すべき現実です。では、どうすればよいのか。答えは、「人がだまされても、被害が出ない仕組み」を作ることです。
5. 根本的に防ぐ方法——パスワードレス
「人がだまされても、被害が出ない仕組み」——それが、パスワードそのものをなくす「パスワードレス認証」です。
その中核技術であるFIDO2は、フィッシングを「原理的に」防ぐように設計されています。FIDO2の認証は、パスワードも、盗めるコードも使いません。そして決定的なのは、FIDO2は「今アクセスしているサイトが、本物かどうか」を技術的に確認する点です。偽サイトに対しては、そもそも認証情報を返しません。だから、たとえ利用者が偽サイトにだまされてアクセスしてしまっても、認証情報は偽サイトに渡らず、フィッシングは成立しないのです。前述の中間者型（AiTM）も、FIDO2の前では無力化されます。
これこそが、「人がだまされても、被害が出ない仕組み」です。人の注意力に頼るのではなく、認証の仕組みそのものでフィッシングを防ぐ。だからこそ、米国NISTやCISAをはじめ世界のセキュリティ機関は、フィッシング対策の最終的な答えとして、FIDO2によるフィッシング耐性の高いパスワードレス認証を明確に推奨しています。従業員教育は基本として続けつつ、その先の根本対策として、パスワードレスを目指す——それが、進化し続けるフィッシングに打ち勝つ、唯一確実な道なのです。
6. まとめ
フィッシング攻撃とは、正規になりすました偽のメールやサイトで、ID・パスワードなどをだまし取る攻撃です。手口はAIの悪用などで年々巧妙化し、多要素認証すら突破する中間者型（AiTM）も登場しています。もはや「注意していれば見抜ける」という前提は成り立たず、人の注意だけに頼るフィッシング対策には限界があります。
この限界を超える根本的な答えが、フィッシングを原理的に防ぐパスワードレス認証（FIDO2/パスキー）です。アクセス先が本物かを技術的に確認するため、人がだまされても認証情報が偽サイトに渡らず、フィッシングが成立しません。NISTやCISAをはじめ世界のセキュリティ機関が、フィッシング対策の最終的な答えとして、このパスワードレスを推奨しています。従業員教育を基本としつつ、根本対策としてパスワードレスを目指しましょう。進め方でお困りなら、専門家にご相談ください。