フィッシング対策ガイドライン2025解説｜事業者・利用者が取るべき対策

ガイドラインの概要

フィッシング対策協議会が公開する「フィッシング対策ガイドライン」は、フィッシング詐欺の被害を防止するための対策を事業者（サービス提供者）と利用者（消費者）の双方に向けてまとめたガイドラインです。毎年改訂されており、2025年版が最新です。

フィッシング対策協議会への報告件数は年間100万件を超えており、手口の巧妙化が進んでいます。

フィッシングの最新動向

• SMSフィッシング（スミッシング）：宅配業者や通信事業者を装ったSMSの急増
• QRコードフィッシング（クイッシング）：不正なQRコードによる偽サイトへの誘導
• ブランドなりすまし：大手ECサイト、金融機関、行政機関を精巧に模倣したサイト
• AI生成コンテンツ：AIを用いた自然な日本語のフィッシングメールの増加
• リアルタイムフィッシング：MFAのワンタイムコードをリアルタイムで中継する攻撃

事業者向け対策

メール認証の実装

• SPF（Sender Policy Framework）：送信元IPアドレスの検証
• DKIM（DomainKeys Identified Mail）：メールの電子署名による改ざん検知
• DMARC（Domain-based Message Authentication, Reporting and Conformance）：SPF/DKIMの認証結果に基づくポリシー制御（reject推奨）
• BIMI（Brand Indicators for Message Identification）：認証済みメールにブランドロゴを表示

Webサイトの保護

• 正規サイトのURLを利用者に周知し、偽サイトとの識別を容易にする
• EV証明書またはOV証明書の使用により、サイトの信頼性を示す
• フィッシングサイトのテイクダウン（閉鎖要求）の体制を整備

利用者向け対策

• メールやSMSのリンクを安易にクリックしない。公式アプリやブックマークからアクセスする
• URLを目視で確認する（ドメイン名の微妙な違いに注意）
• 個人情報やパスワードの入力を求めるメールは疑う
• フィッシング対応のMFA（FIDO2セキュリティキー等）を利用する
• 不審なメールを受信した場合は、フィッシング対策協議会に報告する

DMARC対応の重要性

DMARCは自社ドメインがフィッシングメールに悪用されることを防ぐ最も効果的な対策です。2023年10月にはGoogleとYahooが送信者向けのメール認証要件を強化し、DMARCの設定が大量メール送信者に必須となりました。

よくある質問

フィッシング対策ガイドラインとは何ですか？

フィッシング対策協議会が公開する、フィッシング詐欺の被害を防ぐための対策を事業者（サービス提供者）と利用者（消費者）の双方に向けてまとめたガイドラインです。毎年改訂されており、2025年版が最新です。

最近のフィッシングの手口には何がありますか？

宅配業者や通信事業者を装ったSMSフィッシング（スミッシング）、不正なQRコードで偽サイトへ誘導するQRコードフィッシング（クイッシング）、大手ECサイト・金融機関・行政機関を精巧に模倣したブランドなりすましが増えています。

事業者はまず何をすべきですか？

SPF・DKIM・DMARCのメール認証を実装することです。あわせて正規サイトのURLを利用者に周知し、EV証明書またはOV証明書でサイトの信頼性を示し、フィッシングサイトのテイクダウン体制を整備します。

DMARCはなぜ重要なのですか？

自社ドメインがフィッシングメールに悪用されることを防ぐ最も効果的な対策だからです。2023年10月にGoogleとYahooが送信者向けのメール認証要件を強化し、大量メール送信者にはDMARCの設定が必須となりました。

まとめ

フィッシング対策ガイドライン2025年版は、事業者にはSPF/DKIM/DMARCの実装、利用者にはリンクの安易なクリックを避けることを求めています。DMARC rejectの設定とフィッシング耐性のあるMFA（FIDO2）の導入が最も効果的な対策です。