この記事は2026年11月7日に、フィッシング対策協議会の月次報告（2026年9月分）、警察庁「フィッシング対策」と「令和7年におけるサイバー空間をめぐる脅威の情勢等について」、情報処理推進機構（IPA）、国税庁、総務省、出入国在留管理庁、日本郵便の公式ページで確かめて書いています。
先に結論
- フィッシングとは、実在する会社や役所を名乗る偽のメールやSMSで偽サイトに誘い、IDやカード番号などを盗む手口です。2026年9月の報告は94,661件でした。
- 見た目では見分けられない前提で動きます。差出人の名前、自然な日本語、鍵マークは、本物の証拠になりません。
- リンクは押さず、公式アプリかブックマークから確かめます。同じ通知が無ければ、自分で調べた公式の窓口に聞きます。入管のオンライン申請の決済メールだけは例外で、条件を確かめてから案内に従います。
- 何も入力せず、アプリも入れていなければ、IPAの案内では閉じて終わりです。入力したなら、入れた物の種類で今日の連絡先が決まります。
- 相談は#9110と188です。被害が出たら、警察署か都道府県警のサイバー窓口へ行きます。
これが分かると、知らない連絡が来ても「本物かどうか」で悩まず、同じ3手順で確かめられます。押してしまった日も、どこに連絡するかをすぐ決められます。
仕事の帰りの電車で、スマホにSMSが届きます。「お荷物をお届けしましたが、ご不在でした」。ちょうどネットで頼んだ物を待っているところです。日本語は半分くらいしか読めません。日本人の友達に「これ本物？」と画面を送ると、「怪しいのは無視すればいいよ」と返ってきます。どれが怪しいのか分からないから、聞いたのです。
- フィッシングとは？偽SMS・偽メールはどれくらい来ている？——2026年9月の報告は9万4,661件
- フィッシングの見分け方は？——見た目では分からないので、開く道を変える
- 押す前に何をする？——リンクを使わない3手順
- 宅配・銀行・カード・携帯を名乗る偽SMSはどう確かめる？
- 税金・年金・市役所を名乗るメールは本物？——国税庁はSMSにURLを書かない
- 入管を名乗るメールは本物？——本物の決済メールには条件がある
- URLのドメインはどう読む？——.go.jpとlg.jpは右端で見る
- 日本語が読めないときは？——翻訳アプリで確かめるときの注意
- 押してしまったら？——フィッシング詐欺は入れた物で手順が決まる
- Androidに偽アプリを入れてしまったら？——機内モードが先
- どこに相談・報告する？いくらかかる？——#9110・188・サイバー窓口
- お金は戻る？——銀行とカードは会社に相談、戻りにくい払い方もある
- 終わりの判断——自分はどれか
- よくある質問（FAQ）
- まとめ
- あわせて読みたい
フィッシングとは？偽SMS・偽メールはどれくらい来ている？——2026年9月の報告は9万4,661件
フィッシングは、警察庁の説明では、実在のサービスや企業をかたり、偽のメールやSMSで偽サイトへ誘導して、IDやパスワードを盗んだり、スマホを不正なプログラムに感染させたりする手口です。SMSから誘う型は、スミッシングとも呼ばれます。
フィッシング対策協議会の月次報告によると、2026年9月の報告は94,661件でした。8月の82,338件より12,323件増えています。名前を悪用されたブランドは105ありました。4月から7月にかけては、151,112件から66,119件へ下がっていました。2025年の1年間の報告は245万4,297件です（警察庁）。
数字の見方に注意があります。これは協議会に寄せられた報告の数で、被害にあった人の数ではありません。外国人に限った件数も見つかりませんでした。
被害の数字もあります。2025年のネットバンキングの不正送金は4,747件、被害額は約103億9,700万円で、手口の約9割がフィッシングでした。クレジットカードの不正利用全体の被害額は約510億円です（警察庁の報告書）。
フィッシングの見分け方は？——見た目では分からないので、開く道を変える
見分け方のコツを知りたい人は多いはずです。ところがフィッシング対策協議会は、判別は非常に困難だと書いています。差出人は本物と同じ表記に偽装できます。文章は本物のコピーか、AIが書いた自然な日本語です。鍵マークは偽サイトでも出ます。IPAも、https かどうかは通信が暗号化されているかの違いで、サイトの安全性は判別できないと説明しています。
不自然な日本語の偽メールも、まだたくさんあります（日本郵便）。だから、変な日本語は疑う材料になります。逆に、きれいな日本語は安心の材料になりません。
日本語が苦手でも、不利にはなりません。文面を読み解くのをやめて、確かめる道だけを変えればいいからです。
押す前に何をする？——リンクを使わない3手順
警察庁と協議会がそろってすすめているのは、この形です。公式アプリやマイページに同じ知らせが出ていれば、リンクを押さなくても用は足ります。出ていなければ、そのブランドのサポート窓口に聞きます。協議会は、届いたメールが本物かどうかの判定はしていません。
公式サイトをその場で検索するのは、少し危ない道です。検索サイトの広告から誘う手口が確認されているからです。銀行、カード、携帯会社、荷物の追跡は、落ち着いている今日のうちにブックマークするか、公式アプリを入れておいてください。
守りを足すなら、順番はこうです。ログインに多要素認証やパスキーがあれば設定します。パスワードマネージャーは、登録した正規サイトにだけIDとパスワードを入れるので、偽サイトでは反応しません。パスワードはサービスごとに変えます。
宅配・銀行・カード・携帯を名乗る偽SMSはどう確かめる？
宅配の不在通知は、警察庁の相談例にも出てくる形です。日本郵便は「〇時間以内に払わないと配送をキャンセルする」のような、不安をあおる文に注意するよう書いています。同じページでは、(株)郵便局物販サービス社が不在時に送るSMSだけを不審な例から除いています。そのSMSにリンクがあるかどうかは書かれていません。判断に迷うときは、リンクを押さず、ページ下の問い合わせ先に連絡するよう案内しています。このサイトとしては、紙の不在票の番号か公式の追跡で見るのが早いと考えます。番号の見方は不在票と再配達の記事にあります。
銀行については、金融機関がIDやパスワードをメールやSMSで問い合わせることはありません（警察庁）。聞かれた時点で、止まってください。カード会社を名乗る連絡は、9月の報告の約35.0%を占める分野です。「不正利用を検知」と言われたら、公式アプリで利用明細を見ます。
携帯会社は「高額請求」「利用停止」「未払い金」のような文で来ます（KDDI）。NTTドコモも、リンクを押さず、ふだんのブックマークやアプリから確かめるよう案内しています。電気と水道を名乗るSMSも9月に報告されています。
もう一つ、「Android限定」の連絡に気をつけてください。ポイント、アプリの更新、申請手続きを理由に、アプリを入れさせる手口です。促されたらブラウザーを閉じます。アプリは、スマホの公式ストアか正規のサイトから入れます。
税金・年金・市役所を名乗るメールは本物？——国税庁はSMSにURLを書かない
スマホに届いた役所の連絡から、そのままリンクを押して税金を払う。あなたの国では、それが普通かもしれません。日本では、国税庁はSMSにURLを書いて案内しません。国税の納付の求めや差押えを、SMS・メール・LINEで送ることもありません。e-Taxのメールには添付が無く、本文にも原則としてURLがありません。「e-Taxのアプリを入れて」という誘いも偽物です。2026年9月30日現在、スマートフォン用のe-Taxアプリは提供されていません。
市役所の名前も使われます。総務省は、市区町村の税務担当を装い、住民税をコード決済のリンクから払うよう催促する詐欺メールを確認しています。国民年金の差押えをほのめかすメールも同じ形です。日本年金機構は、メールで口座番号を尋ねません。
本当に滞納があるか心配なら、メールではなく、手元の通知書か、自分で調べた市役所・年金事務所の番号で確かめます。税金を払えないときの手順は別の記事にまとめています。
入管を名乗るメールは本物？——本物の決済メールには条件がある
入管だけは例外があります。2026年10月1日以降にオンラインで申請した分は、メールの決済案内に従って、コンビニか銀行で手数料を払います。つまり、本物のリンク付きメールがあります。9月30日までに受け付けた申請は、許可が10月以降でも収入印紙です。窓口の申請も収入印紙です。入管が示す条件はこうです。
- 審査完了メールのあと、後日届く
- 決済リンクのメールの差出人は @service-dgft.com、支払い方法の選択と完了のメールは @veritrans.jp
- 宛先に認証IDと利用者の氏名がある（氏名が長いと見切れることがある）。オーダーIDは在留カード番号か旅券番号と、申請受付番号などでできている
- 届くのはシステムに登録したメールアドレスだけ
- オンライン申請の手数料を、クレジットカードやQRコードで求めない。紙の納入通知書も送らない
- 入管が申請の許可手数料のほかにお金を求めることはない。決済代行事業者への決済手数料は別に要る（在留資格の変更・更新は許可期間により330円か550円）
ただし、入管は実在のアドレスを偽装した連絡もあると注意しています。迷ったら、メールのリンクから入らず、自分のブックマークからシステムにログインして処理状況を確かめます。審査が終わった表示なら、本物のメールの案内に従って払います。状況の見方は在留申請オンラインの記事にあります。電話で入管を名乗られたときの話は外国人が狙われる詐欺の記事へどうぞ。
URLのドメインはどう読む？——.go.jpとlg.jpは右端で見る
ドメインは、そのサイトの持ち主を示す部分です。いちばん右のラベルが最上位で、左へ行くほど下の階層になります。だから、最初の「/」の手前で止めて、右端から読みます。
JPRSの決まりでは、.go.jp を登録できるのは政府機関や独立行政法人など、.lg.jp は地方公共団体とその行政サービスです。.co.jp は日本で登記した会社が登録します。右端が本当にこの形なら、持ち主の種類が分かります。途中に go.jp の文字が入っているだけでは、意味がありません。
これで全部が判定できるわけではありません。理由は3つあります。
- 市役所が .lg.jp とは限りません。札幌市はcity.sapporo.jp、名古屋市はcity.nagoya.jp、西宮市はnishi.or.jpです。
- .com の本物はたくさんあります。一方で、9月の報告のURLの約83.3%も .comでした。有名なサービスのドメインの下に偽ページを置く例もあります。
- SMSは短縮URLが多く、メールは表示と飛び先を変えられます。IPAも、URLを見ただけの判別は一般に難しいとしています。
ドメインを読むのは、公式サイトをブックマークするときです。リンクに合格を出すための道具ではありません。
日本語が読めないときは？——翻訳アプリで確かめるときの注意
ここは公式の決まりではなく、このサイトの考えです。文字を選ぼうとしてリンクに触れないよう、画面を保存して、翻訳アプリの画像の翻訳で読むのが安全です。URLは翻訳サイトに貼らないでください。ウェブサイトごと翻訳する機能があるので、貼るとそのページを開くことになりかねません。
訳文がきれいでも、本物の証拠にはなりません。訳された「至急」「差押え」の強い言葉に急がされないことも大事です。切迫感をあおるのは、この手口の型です。文面を確かめたいなら、本文の一部を検索すると情報が見つかることがあります。友達に見てもらうときは、リンクを転送せず、画面の画像を送ります。
押してしまったら？——フィッシング詐欺は入れた物で手順が決まる
押してしまっても、自分を責めなくて大丈夫です。急いでいるとき、疲れているときは、誰でも起こしやすいと協議会も書いています。まず、何をしたかを思い出してください。
IPAの案内（2022年）では、偽サイトを開いただけで、操作も入力もしていなければ影響はありません。アプリが勝手に入ることもありません。2024年の別の手口の案内でも、アクセスしただけでは被害につながらないとしています。画面を閉じて終わりです。
Androidでアプリのファイルをダウンロードしただけなら、入れていないので被害は発生しません。念のため、ダウンロードフォルダのAPKファイルを消します。入れたかどうか分からないときは、SMSの大量送信やキャリア決済の不正使用が出ていないか、携帯会社に確かめます。
何か入力したなら、話は別です。入れた情報は取り返せないので、使えないように止めます。手順は協議会とIPAの案内のとおりです。カードの連絡先は紛失時連絡先一覧で探せます。銀行は公式アプリの連絡先か、全国銀行協会の一覧を見ます。夜でも、受付のある窓口には今日かけてください。
住所や生年月日、身分証の画像を入れた場合は、カードのように止める窓口が公式の案内に見当たりません。在留カードやパスポートの画像を入れたときの専用の手順も、入管の公式には見当たりませんでした。#9110か警察署に相談してください。そのあと、あなたの情報を知っているような文面の偽連絡が来ることがあります。同じ3手順で確かめます。
Androidに偽アプリを入れてしまったら？——機内モードが先
IPAの2022年の案内と2021年の案内の順番です。最初に通信を止めるのが大事です。放っておくと、あなたのスマホから同じ偽SMSが知らない人へ送られます。送信料が請求に乗ることもあります。不正アプリの影響の範囲は分からないため、IPAは消すだけでなく初期化を推奨しています。写真や動画は初期化で消えるので、先に別のメディアへ保存します。初期化のやり方は、携帯会社に聞けます。スマホを買い替える必要はありません。
どこに相談・報告する？いくらかかる？——#9110・188・サイバー窓口
| 窓口 | どんなとき | 知っておくこと |
|---|---|---|
| #9110 | 被害が心配。警察に相談したい | 平日8時30分〜17時15分（県警で違う）。通話料がかかる。ダイヤル回線と一部のIP電話からは使えない |
| 188 | お金のトラブル、補償の話がこじれた | 相談は無料、通話料はかかる。通話料定額プランの対象外 |
| 警察署・サイバー窓口 | 入力した情報が悪用された | 都道府県警の窓口の一覧と全国共通のオンライン受付がある。被害届は警察署へ |
| IPA安心相談窓口 | スマホの対処が分からない | 03-5978-7509。10時〜17時（土日祝・年末年始を除く）。相談は無料、通話料はかかる |
| フィッシング対策協議会 | 偽メール・偽SMSを知らせたい | Webフォームか info@antiphishing.jp。SMSは画面の画像を添付する |
協議会への報告は、被害を防ぐための情報提供です。迷惑メールフォルダーに入った物は報告しなくてかまいません。受け取りの返信も、個別の問い合わせを除いて省かれています。入力してしまった人の相談は、上の別の窓口へ進みます。偽サイトのURLは、警察庁が案内する「フィッシング110番」でも通報できます。
日本語で話すのが不安なら、外国語で相談できる窓口を相談窓口の早見表で探してください。いま目の前で危ないときの通報は110番の記事にあります。相談の前に、メッセージの画面とURL、請求の画面を残しておきます。
お金は戻る？——銀行とカードは会社に相談、戻りにくい払い方もある
警察庁は、不正送金は金融機関、カードの不正利用はカード会社に、補償制度や相談窓口がある場合を案内しています。条件をまとめた共通の公式の表は見当たりませんでした。身に覚えのない請求を見つけたら、今日その会社に相談してください。
戻りにくいのは、自分で操作して払ったお金です。住民税や年金を名乗るメールからPayPayで払った金額は、PayPayから補償されないと協議会は書いています。ギフトカードの番号を入れると、額面が相手に渡ります。発行元か消費生活センターに相談します。銀行に振り込んだ人の手順と、「お金を取り戻します」と言ってくる次の詐欺は、詐欺の記事の返金の章を読んでください。
終わりの判断——自分はどれか
- 届いただけで、まだ押していない——押さずに、公式アプリかブックマークで確かめる。今日、銀行・カード・携帯会社の入口をブックマークする。
- 押したが、何も入力せず、アプリも入れていない——画面を閉じる。今日、同じ通知が公式アプリにあるかだけ見る。
- アプリを入れたか分からない——今日、携帯会社にSMSの大量送信とキャリア決済の不正使用を確かめる。
- IDやカード番号、銀行の情報を入力した——今日、パスワードを変え、カード会社か銀行に電話する。
- アプリを入れた——今すぐ機内モードにして、アプリを消す。今日、写真を保存して初期化し、パスワードを変え、キャリア決済の請求を確かめる。
- お金を払った、知らない請求がある——画面を残す。今日、その会社に連絡し、#9110か188に相談する。
よくある質問（FAQ）
Q. URLを押してしまいました。何も入力していなければ大丈夫ですか？
IPAは、偽サイトを開いただけで、操作も入力もしていなければ影響はないと案内しています。アプリも勝手には入りません。画面を閉じて、公式アプリで同じ通知があるかだけ確かめてください。Androidでアプリのファイルを保存しただけなら、そのファイルを消します。
Q. SMSにリンクがあれば、全部偽物ですか？
全部とは言えません。2026年10月1日以降にオンラインで申請した入管の手数料は、審査完了メールのあとに本物の決済リンク付きメールで届きます。条件と処理状況を確かめたら、そのメールの案内で払います。日本郵便は、(株)郵便局物販サービス社が不在時に送るSMSを不審な例から除いていますが、リンクの有無は公式に書かれていません。国税庁はSMSにURLを書いて案内しません。入管の決済メールのほかは、リンクを使わず、公式アプリかブックマークで確かめます。
Q. .go.jpのURLなら安全ですか？
ドメインの右端が本当に .go.jp なら、政府機関などが登録したものです。途中に go.jp の文字があるだけでは意味がありません。短縮URLや表示と飛び先が違うリンクもあるので、メッセージのリンクは押さず、自分のブックマークから開いてください。
Q. フィッシングサイトにカード番号を入力したら、どうすればいいですか？
すぐにカード会社の紛失・盗難窓口へ連絡して、利用を止めます。必要ならカードを再発行します。身に覚えのない請求があれば、その会社に相談し、被害が出たら警察署か都道府県警のサイバー窓口へ連絡します。
Q. 偽SMSや偽メールはどこに報告しますか？
フィッシング対策協議会のWebフォームか info@antiphishing.jp に送れます。SMSは転送できないので、画面の画像をメールに添付します。迷惑メールフォルダーに入った物は報告しなくてかまいません。協議会は本物かどうかの判定はしていません。
Q. 友達の番号から変なSMSが来ました。友達が犯人ですか？
そうとは限りません。IPAによると、不正なアプリを入れられた被害者のスマホから送られている場合があります。リンクは押さず、別の連絡方法で友達に知らせてください。
まとめ
偽SMSも偽メールも、見た目で見分けることはできないと考えて動くのが安全です。リンクを押さず、公式アプリかブックマークから入り、同じ通知があるかを見ます。この手順なら、日本語が読めなくても使えます。
押してしまった日は、入れた物で動きます。入力もアプリも無ければ閉じる。パスワードは変える。カードと銀行は電話する。アプリは機内モードから。迷ったら#9110と188に相談してください。
出典（公式）：フィッシング対策協議会「2026/09 フィッシング報告状況」／同「フィッシングとは」／同「フィッシングの報告」／警察庁「フィッシング対策」／同「令和7年におけるサイバー空間をめぐる脅威の情勢等について」／同「サイバー事案に関する相談窓口」／IPA「国税庁をかたる偽SMSや偽メールに注意」／同「宅配便業者に加えて通信事業者をかたる偽SMSが増加中」／国税庁「不審なメール等」／総務省「個人住民税の納税を騙ったメールに対する注意喚起」／日本年金機構「不審なメール・SMS」／出入国在留管理庁「出入国在留管理庁を装った詐欺について」／同「オンライン申請における手数料額及び手数料納付方法について」／同「入管を名乗る不審な電話、メール等」／日本郵便「不審メール及び架空Webサイト」／JPRS「JPドメイン名の種類」。すべて2026年11月7日に確認しました。手口は変わるので、最新の例は協議会の緊急情報で確かめてください。
あわせて読みたい
役に立ったら、友達にも教えてください
Found this useful? Share it with a friend who lives in Japan.
この記事を書いた人
mori
日本人。省庁の告示・通達・Q&Aを原典のまま読み、在日ネパール・スリランカの友人から実際に聞いた困りごとを出発点にしています。確かめていないことは書きません。
このサイトが書けないことも、正直に書いています →ほかのことを探していますか
この記事の図は、出典としてリンクを付ければ、商用でも自由に使えます。図の使い方
