詐欺メールに「AIへの指示文」が残ったまま 8月のフィッシング報告は8万件超

実在する会社を名乗って、パスワードやクレジットカードの番号をだまし取る「フィッシング」。フィッシング対策協議会が9月18日に公表した2026年8月の報告状況によると、寄せられた報告は8万2,338件で、7月より1万6,219件(約24.5%)増えた。

何が分かったのか

名乗られた会社(ブランド)では、Amazonが報告全体の約26.1%を占めた。Amazonは減る傾向だが、Appleは約16.1%、ANAは約12.5%と、どちらも増えている。これにセゾンカードと統計局を加えた上位5ブランドで、全体の約69.9%になる。

分野別では、通販などのEC系が約43.3%、クレジット・信販系が約29.0%、航空系が約13.3%、官公庁系が約5.2%、銀行系が約2.4%。メールの文面は、注文や配達、返金のお知らせ、決済情報や契約の更新、不正利用の検知、ポイントやマイルの有効期限、会員特典などを装うものが多かった。

かんたんに言うと

目を引くのは、AIで作ったとみられる「詰めの甘い」メールだ。協議会によると、AIにメールの文面を書かせたと思われる指示文(プロンプト)が、本文に残ったまま届いた例があった。差出人のブランドや連絡先が書かれていない、利用者向けのメールでは使わない言い回しになっている、件名や差出人の文字が左右逆さまになっている、といった「不自然すぎる」メールも多かったという。

一方で油断はできない。単語の間に目に見えない文字を埋め込んで迷惑メールの判定をすり抜けつつ、画面ではきれいに見えるメールも確認されている。攻撃する側は、受け取った人の反応や対策のすり抜け具合を見ながら、文面や名乗る会社を数日単位で変えているという。

Androidのスマホ向けには、アプリの更新やAndroid版だけのポイント付与をうたって、不正なアプリを入れさせようとするメールも大量に出回っている。

だまされないためにできること

協議会は、スマホのアプリやブラウザーにある「パスワードマネージャー」を使うよう勧めている。自分で登録した本物のサイトにだけIDとパスワードを自動で入れるため、偽のサイトには反応しない。パスワードの代わりに、スマホの指紋や顔の認証でログインする「パスキー」も、使えるサービスでは設定するよう呼びかけている。

ログインを促すメールやSMSが届いたら、そのリンクからではなく、正規のアプリやパスワードマネージャーを使って本物のサイトにログインし、内容を確かめる。カード番号や認証コードを求められたら、入力する前にいったん立ち止まりたい。

まとめ

AIで作られた詐欺メールには、まだ不自然なものも多い。ただ、見た目だけで見分けようとせず、「メールのリンクから入らない」習慣で身を守るのが確実だ。