フィッシング報告件数（2021年7月～2022年6月）
フィッシング対策協議会は、2022年6月のフィッシング報告状況を発表した。6月のフィッシング報告件数は8万8250件で、前月より118件増加した。
フィッシングサイトのURL件数は2万7217件で、前月より8626件増加。悪用されたブランド件数は100件で、前月より10件減少した。
フィッシングサイトのURL件数（2021年7月～2022年6月）
フィッシングに悪用されたブランド件数（2021年7月～2022年6月）
Amazonをかたるフィッシングが最多の約18.5％に
報告数全体のうち、Amazonをかたるフィッシングが約18.5％を占め、最も多く悪用されたブランドとなった。次いでイオンカード、えきねっと（JR東日本）、au/au PAYを加えた上位4ブランドで、全体の約40.2％を占めた。なお、1000件以上の報告を受領したブランドは19件あり、これらで全体の約90.6％を占めた。
また、フィッシングサイトのURL件数が急増し、前月の約1.5倍となった（なお、前月のURL件数も前々月の1.7倍と急増していた）。特にブランド名を変えたメール文面を使い回し、大量のドメインとサブドメインでURLを生成しているフィッシングの報告が増えたが、URLが異なってもIPアドレスは同一のものが多いという。
フィッシングに悪用された100件のブランドを業種別に見ると、クレジット・信販系が25件と最も多い。そのほかでは、ISPやホスティング事業者、メールサービスが15件、都市銀行やネット銀行など金融系ブランドは9件となっている。
SMSのフィッシングは宅配便の不在通知やモバイルキャリアなどが多い
SMSから誘導されるフィッシングでは、宅配便関連の通知（配達完了、不在通知、商品の発送など）を装う文面からAppleをかたるフィッシングサイトへ誘導されるタイプのほか、モバイルキャリア、Amazon、Yahoo! JAPANをかたる文面のものが報告されている。
不正なアプリ（マルウェアなど）のインストールへ誘導するタイプでは、auや日本郵便（宅配便関連の通知）を装うものが確認されている。Androidスマートフォンでは、Google Playプロテクトや正規のウイルス対策アプリなどで不正なアプリをインストールしていないか確認するようにと呼び掛けている。
Emotetに加え、セクストーションメールにも注意を呼び掛け
フィッシング以外では、マルウェア「Emotet」の感染につながる添付ファイル付きメールの報告も前月に引き続いて確認されている。不審なメールの添付ファイルは開かず、メールを削除するようにとしている。
また、ビットコインを要求する脅迫メール（セクストーションメール）の報告が増えているという。このようなメールは、過去に漏えいした情報をもとに送られているケースも確認されているため、長らくパスワードを変更していないサービスがある場合は、パスワード変更を行い、パスワードを使い回さないようにと注意を呼び掛けている。
調査用アドレスに届いたフィッシングメールの約6割が「なりすまし」
同協議会の調査用メールアドレス宛に6月に届いたフィッシングメールのうち、約60.4％がメール差出人に正規のメールアドレス（ドメイン名）を使用した「なりすまし」フィッシングメールだったという。
配信されたフィッシングメールの送信元IPアドレスの調査では、CN（中国）の通信事業者からの大量配信が約96.4％、次いで日本国内からの配信が約3.0％。関連し、前月に1億通以上のdmarc=fail（検証失敗）するメールを発信していた国内ホスティングサービスからの配信は減少したが、ほかの国内ホスティングサービスからの配信が増えており、同規模での国内事業者からの配信が続いている可能性があるとしている。
大量のフィッシングメールを受信している利用者にはサービス変更を推奨
フィッシング対策協議会では月次報告の最後に、事業者向け、利用者のそれぞれに向けてフィッシング対策を挙げている。
事業者向けには、次の対策を検討するよう促している。
- 最低限、SPFとDMARCでドメインを保護し、DMARCレポートで本物のメールが届いていることを確認したり、なりすまし送信を検知したりすること
- メールサービスを提供している事業者は、DMARC検証＋迷惑メールフィルターを利用者へ提供し、利用を促すこと
なお、DMARCのモニタリングモード「p=none」では、なりすましメールは受信側で素通しされるため、長らくこのモードで運用している組織は、「p=quarantine」または「reject」に変更する準備をするようにと呼び掛けている。
また、DMARCで検証済みの正規メールにブランドアイコンを表示するBIMI（Brand Indicators for Message Identification）や、Yahoo!メールブランドアイコン、ドコモメール公式アカウントなどの、正規メールを視認しやすくする技術およびサービス導入の検討も推奨している。独自ドメインのメールアドレスを利用して、SPF/DKIM/DMARCの送信ドメイン認証に対応したフィッシングメールも確認されており、この対策としても正規メールを視認しやすくすることが効果的であるという。
利用者向けには、次の対策を実施するよう呼び掛けている。
- 現時点で大量のフィッシングメールを受信している利用者は、フィッシング対策機能が強化されているメールサービスで新たにメールアドレスを作成し、オンラインサービスに登録するメールアドレスを切り替えることを検討すること
- 身に覚えがないタイミングで認証コード通知SMSなどが届いたときは、パスワードを変更したり、決済サービスの使用履歴を確認したりすること
- 普段からログインを促すようなメールやSMSを受信した際は、正規のアプリやブックマークした正規のURLからサービスへログインして情報を確認するようにすること
- クレジットカード情報や携帯電話番号、認証コード、口座情報、ワンタイムパスワードなどの入力を要求された場合は、入力先のウェブサイトが本物かを確認すること
