AIで作られたフィッシングメールの見分け方

AIで作られたフィッシングメールは、宅配・通販・カード会社を名乗るものから、取引先や社長を装って経理担当者を狙うものまで、さまざまな形で届いています。生成AIのおかげで、攻撃者は自然な日本語の文面を、いくらでも作れるようになりました。

AIの時代の見分け方を知ると、文面がどれだけ自然でも、1通ごとに「開いてよいか」「答えてよいか」を自分で判断できます。社員への注意喚起も、古い目印のままでは役に立たなくなっているためです。

本記事では、AIで作られたフィッシングメールの特徴・最新の状況・だまされる理由・見分け方3つをまとめています。さらに、自社がだまされやすい状態かのチェック表と、会社でやる対策5つも紹介します。

AIで作られたフィッシングメールとは【見分け方の早見表】

AIで作られたフィッシングメールとは、生成AI（文章などを自動で作るAI）を使って文面を作った、偽のサイトでIDやパスワード、カード番号を入力させるメールです。文面は自然になりましたが、だまし取ろうとするものは変わっていません。

AIで作られたかどうかを見抜くより、詐欺かどうかを見抜くことが重要です。ここでは、見分け方の早見表を示したうえで、AIで何が変わったかと、最新の状況を解説します。

確認するところ	見るポイント	怪しいときの行動
送信元	表示名ではなく、@より後ろのドメインのつづり	公式サイトの連絡先と見比べる
リンク先	リンクの行き先が公式のドメインか	メールのリンクは使わず、公式アプリやブックマークから開く
頼まれている中身	パスワード・認証コード・カード番号・振込・ソフトのインストール	一度止まり、メール以外の手段で確かめる
急がせ方	「本日中」「アカウント停止」「内密に」	期限を理由に急がない

上記の4点は、文面の出来に関係なく使える見分け方です。くわしい見方は、後半の「見分け方3つ」で説明します。

生成AIでフィッシングメールの何が変わったか

生成AIで変わったのは、文面の質と、作れる量と、相手に合わせる手間です。攻撃者が言葉や文章に慣れていなくても、AIに頼めば自然なメールを短時間で作れるためです。

生成AIで攻撃者ができるようになったことは、以下のとおりです。

• 自然な日本語の文面を、いくらでも作る
• 文面や名乗る会社を、数日おきに切り替える
• 狙う会社の組織や取引先を調べ、相手に合わせた文面を作る

たとえば、Google の脅威分析チームは2026年5月の報告で、生成AIが狙う会社の組織や取引先の関係を調べるのに使われ、管理者や経理・人事の担当者を狙った、より本物らしいだましに役立っていると書いています。

フィッシングメールの最新の状況（2026年9月）

フィッシングメールは、2026年9月も増え続けています。フィッシング対策協議会の月次の報告で、件数と傾向を確かめられます。

項目	2026年9月
報告件数	94,661件（前月より12,323件増）
偽サイトのURL（重複なし）	49,032件
名乗られた主な会社	Amazon（約33.2%）・Apple（約11.1%）・セゾンカード・アメリカン・エキスプレス・国税庁
実在するサービスのドメインを差出人にしたなりすましメール	約37.8%

※2026年10月時点・フィッシング対策協議会「2026/09 フィッシング報告状況」より

同じ報告では、AIへの指示文が本文に残った雑なメールがある一方で、見えない文字を混ぜて迷惑メールの判定をすり抜け、画面上は整って見えるメールも確認されています。受信者の氏名が入ったメールや、経理担当者に書類の確認を求めるメール、偽のサポート窓口へ誘導するメールも増えています。

AIで作られたフィッシングメールに人がだまされる理由

AIで作られたフィッシングメールにだまされるのは、文面から違和感が消え、残った心理の手口だけで判断を急がされるためです。忙しい業務の中では、1通ずつ丁寧に疑う余裕がありません。

ここでは、だまされる理由を2つ解説します。

「日本語が不自然なら詐欺」という目印が使えなくなった

1つ目の理由は、「日本語が不自然なら詐欺」という古い目印が使えなくなったことです。生成AIを使えば、敬語や言い回しの整った文面を誰でも作れるからです。

たとえば、フィッシング対策協議会の報告のとおり、雑なメールはまだ多く届きます。雑なメールだけを見て「不自然なら詐欺」と覚えていると、整ったメールを本物と思い込みやすくなります。

ただし、文面の違和感は今でも判断材料の1つです。違和感がないことを「安全」の根拠にしないことが重要です。

急がせる・権威を借りる心理の手口は変わっていない

2つ目の理由は、急がせる・権威を借りるという心理の手口が、AIで磨かれて残っていることです。人は急かされると、確認の手順を飛ばして反射的に動きやすいためです。

AIで作られたメールにも残る心理の手口は、以下のとおりです。

• 期限で急がせる：「本日中」「24時間以内に手続きしないと停止」
• 権威を借りる：社長・取引先・国税庁・銀行を名乗る
• 秘密にさせる：「ほかの人には内密に」
• 個人に向けて見せる：受信者の氏名や、実在の取引の話を入れる

上記の手口に気づいた時点で、一度止まる理由になります。AIは文面を変えられても、相手を急がせる必要は変えられません。

AIで作られたフィッシングメールの見分け方3つ

AIで作られたフィッシングメールの見分け方は、文面ではなく、送信元・リンク先・頼まれている中身の3点を見ることです。3点は、AIで文面を整えても隠しにくいためです。

ここでは、3つの見分け方を順に紹介します。

【1】送信元：表示名ではなくドメインを見る

1つ目は、送信元の表示名ではなく、アドレスの@より後ろ（ドメイン）を見ることです。表示名は、誰でも好きな会社名にできるからです。

送信元で怪しいサインは、以下のとおりです。

見るところ	怪しいサイン
表示名とアドレス	表示名は正しい会社名だが、ドメインが違う
ドメインのつづり	1文字違い、余計な単語やハイフンが付いている
取引先からのメール	いつもと違うアドレス、フリーメールから届いた

ただし、送信元が正しく見えても本物とは限りません。2026年9月の報告でも、実在するドメインを差出人にしたなりすましが約37.8%ありました。

【2】リンク先：メールの中のリンクを使わない

2つ目は、メールの中のリンクを使わないことです。リンクの文字と実際の行き先は別にでき、偽サイトは本物そっくりに作られているからです。

たとえば、パソコンならリンクにマウスを重ねると行き先が表示されます。行き先がその会社の公式ドメインと違えば、偽物です。添付ファイルを開いたら、マクロの有効化やパスワードの入力を求められる場合も危険です。

ただし、行き先の確認は見落としが起きます。いちばん確実なのは、ふだん使う公式アプリやブックマークから開き直して確かめることです。

【3】頼まれている中身：お金・パスワード・認証コードなら止まる

3つ目は、頼まれている中身を見ることです。文面がどれだけ自然でも、詐欺の最後には必ず何かを入力させるか、お金を動かさせる依頼があるからです。

次のどれかを頼まれたら、一度止まります。

• IDやパスワード、カード番号の入力
• SMSなどで届いた認証コード（ワンタイムパスワード）を教える
• 振込先の変更、急ぎの支払い
• アプリやソフトを入れる、遠隔操作を許す

フィッシング対策協議会も、カード情報や認証コードなどの入力を求められたら、入力する前に一度立ち止まり、本当に必要な手続きかを確かめるよう呼びかけています。

自社がAIのフィッシングメールにだまされやすい状態か確かめる方法

AIで作られたフィッシングメールは、会社の大きさに関係なく届きます。個人の注意だけに頼らず、会社のルールや設定でだまされにくくしておくことが重要です。

ここでは、自社がだまされやすい状態かを6項目で確かめるチェック表を紹介します。

確認すること	だまされやすい状態
支払い・振込先の変更	メールだけで手続きできる。電話などで確かめるルールがない
メール・クラウドのログイン	パスワードだけで入れる。多要素認証やパスキーを使っていない
報告の窓口	怪しいメールを誰に知らせればよいか決まっていない
自社ドメインの設定	SPF・DKIM・DMARC（自社を名乗るなりすましを防ぐ設定）を入れていない
社員への説明	「日本語が不自然なら詐欺」という古い見分け方のまま
経理・総務の担当者	請求書や書類のメールを開く機会が多いのに、特別な注意をしていない

1つでも当てはまれば、次の章の対策から手をつけます。IPA の「情報セキュリティ10大脅威 2026」の組織編でも、取引先や社長になりすましてお金をだまし取るビジネスメール詐欺が10位に入っています。手口は 取引先を名乗る「振込先が変わりました」メール（ビジネスメール詐欺） をご覧ください。

会社でやるAIフィッシングメール対策【5つ】

会社でやる対策は、だまされる前提で、だまされても被害が出ない仕組みを作ることです。AIで文面がうまくなるほど、1人ひとりの見分ける力だけでは防ぎきれなくなるためです。

ここでは、会社でやる対策を5つ紹介します。

お金とパスワードの話は、メール以外で確かめるルールを決める

1つ目の対策は、お金とパスワードに関わる依頼を、メール以外の手段で確かめるルールにすることです。メールの文面や差出人は偽れても、もともと知っている電話番号の相手までは偽りにくいからです。

たとえば、振込先の変更や急ぎの支払いは、メールに書かれた番号ではなく、名刺や契約書の番号にかけ直して確かめます。社長や上司を名乗る依頼も同じです。

ただし、ルールは例外を作ると崩れます。「社長の依頼でも確認する」と社長自身が社内に伝えておくと、守られやすくなります。

メール・クラウドに多要素認証かパスキーを設定する

2つ目の対策は、メールやクラウドのログインに、多要素認証かパスキーを設定することです。パスワードを偽サイトに入力してしまっても、パスワードだけでは入られにくくなるからです。

多要素認証は、パスワードに加えてスマホなどで本人確認する仕組みです。パスキーは、パスワードの代わりにスマホやパソコンの生体認証などでログインする仕組みで、偽サイトに入力させる手口に強いとされています。

ただし、認証コードを聞き出す詐欺もあるため、認証コードは誰にも教えないと社内で共有してください。

怪しいメールの報告先を1つ決める

3つ目の対策は、「迷ったらここに転送」という報告先を1つ決めることです。1人が気づいて報告すれば、同じメールを受け取ったほかの社員への注意喚起につなげられるからです。

たとえば、総務の担当者のアドレスや、社内チャットの専用の部屋を報告先にします。

ただし、報告した人や、開いてしまった人を責めると、次から隠されます。早く知らせたことを評価する雰囲気をつくることが大切です。

自社ドメインのなりすまし対策（SPF・DKIM・DMARC）を入れる

4つ目の対策は、自社のドメインに SPF・DKIM・DMARC を設定することです。自社を名乗る偽メールが、取引先や顧客に届きにくくなるからです。

設定のしかたは SPF・DKIM・DMARC とは？ 中小企業向けの設定ガイド にまとめています。

ただし、SPF・DKIM・DMARC は自社を名乗る偽メールを減らす設定で、他社を名乗って自社に届く偽メールは防げません。受け取る側の見分け方とあわせて進めます。

見分け方の説明と訓練を更新する

5つ目の対策は、社員向けの説明から「日本語が不自然なら詐欺」を外し、送信元・リンク先・頼まれている中身の3点に置き換えることです。説明を一度聞いただけでは、忙しい業務の中で思い出せないため、訓練で繰り返すことが必要です。

たとえば、年に数回、実際に届いた怪しいメールを社内で共有し、どこで見分けられたかを話し合うだけでも練習になります。

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。自社ドメインのメールの設定も、外から見える範囲で確かめられます。

AIフィッシングメールでよくある誤解と、開いてしまったときの動き方

AIフィッシングメールでは、古い常識や便利な道具への思い込みが、だまされるきっかけになります。誤解を正しておくと、受け取ったときに迷わず動けます。

ここでは、よくある誤解と、開いてしまったときの動き方を紹介します。

よくある誤解は、以下のとおりです。

• 「メールさえ気をつければよい」：SMS・LINE・SNSのメッセージでも同じ手口が来る。ビデオ会議で上司の顔と声をまねる手口もある（社長の声や顔をまねた詐欺（ディープフェイク）の手口と対策）
• 「AIの判定ツールで見分けられる」：文章がAIで作られたかを確実に判定する方法はない
• 「メールに書かれた連絡先に確認すればよい」：確認先の電話番号やURLも偽物の場合がある
• 「開いただけなら黙っていればよい」：早く分かれば、パスワードの変更やカードの停止で被害を小さくできる

開いてしまった・入力してしまったときは、次の順に動きます。

1. 入力したパスワードを、公式サイトから変更する（同じパスワードを使っているほかのサービスも）
2. カード番号を入力したなら、カード会社に連絡する
3. 社内の担当者に知らせる

くわしい動き方は フィッシングメールを開いてしまった・入力してしまったら にまとめています。AIで攻撃がどう変わるのか、全体像は AIで、サイバー攻撃はどう変わる？ 中小企業がいまやること をご覧ください。

まとめ

• AIで作られたフィッシングメールは日本語が自然で、文面の不自然さだけでは見分けられない
• 2026年9月の報告件数は94,661件で、実在するドメインを差出人にしたなりすましが約37.8%
• 見分け方は、送信元のドメイン・リンク先・頼まれている中身の3点。メールの中のリンクは使わない
• 会社では、お金とパスワードの話をメール以外で確かめるルール、多要素認証・パスキー、報告窓口を決める

まずは社員向けの説明を見直し、上のチェック表で自社がだまされやすい状態かを確かめてください。