EC事業者を装うフィッシングは継続的に多く報告されており、EC事業者にはなりすまし対策が求められます。手口とリスク、具体的な対策を解説します。
フィッシング詐欺とは
フィッシング詐欺とは、実在する企業やサービスになりすまし、利用者を偽サイトへ誘導したり、メールやSMS、SNS上のやり取りの中で直接ID・パスワードやカード情報を入力させたりして、情報を盗み取る手口です。
偽サイトへの誘導が典型的なパターンですが、それ以外にもSNSのDMでの直接的な聞き出しなど、複数の経路が存在します。ECサイトの利用者だけでなく、ECサイトを運営する事業者自身も「なりすまされる側」として被害に遭います。
攻撃者は正規のECサイトのロゴやデザイン、ドメイン名を模倣し、注文確認や会員登録などを装ったメールで利用者を誘導します。利用者が被害に気づかないまま個人情報が盗まれ、後日不正利用や別サービスへの不正ログインなど、二次被害に発展することも少なくありません。
EC事業者が標的にされる理由
EC事業者は、フィッシング詐欺の標的として特に狙われやすい業種のひとつです。
フィッシング対策協議会の月次報告では、EC系はなりすまし対象の大きな割合を占める分野の一つです。たとえば2026年4月の報告では、報告全体に占めるEC系の割合は約31.3％でした。理由として、注文確認・発送通知・会員登録といったEC由来のメールは利用者の開封率が高く、詐欺師にとって偽装しやすい特徴があることが挙げられます。
※出典：フィッシング対策協議会「2026/04 フィッシング報告状況」 https://www.antiphishing.jp/report/monthly/202604.html
また、ECサイトは利用者がクレジットカード番号や住所などの個人情報を日常的に入力する場であるため、盗み取られた認証情報や決済情報は、不正利用や他サービスへの不正ログインに悪用されるおそれがあります。加えて、中小のEC事業者はセキュリティ対応のリソースが限られていることが多く、なりすましサイトが作成されても検知や対応が遅れやすいという事情も、標的にされやすい要因のひとつです。
フィッシング詐欺の主な手口
フィッシング詐欺の手口は年々多様化しています。EC事業者が押さえておくべき代表的な手口は次の通りです。
メール・SMSによる偽サイト誘導
注文確認、支払い失敗、ポイント期限切れなどを装ったメールやSMSに、フィッシングサイトへのURLを埋め込む手口です。特にSMSを使った手口は「スミッシング」と呼ばれ、不在通知を装うなど利用者の心理的焦りを煽る文面が多く見られます。本物のドメインに似せた文字列を使い、精巧な偽のログイン画面へ誘導します。
SNSを悪用した偽リンク
X（旧Twitter）やInstagramのDMや投稿で短縮URLを使い、偽ECサイトへ誘導する手口です。誘導先でIDやパスワードを入力させてアカウントを乗っ取り、乗っ取ったアカウントから本人のフォロワーへ二次拡散させることで、被害が連鎖的に広がっていく点が特徴です。
検索結果や広告の悪用
検索結果を悪用する手口もあります。攻撃者が検索順位の操作を試みて偽サイトへの導線を作るSEOポイズニングのほか、検索連動型広告を悪用し、正規ブランドを検索した利用者を偽サイトへ誘導する事例もあります。検索結果や広告枠に表示されていても、正規サイトであるとは限りません。消費者庁も、正規ECサイトの商号・デザイン・商品写真等を無断でコピーしたなりすましECサイトによる被害を注意喚起しています。
※出典：消費者庁「有名なブランドのロゴを盗用した偽の通信販売サイトなどに関する注意喚起」（2021年4月30日）https://www.caa.go.jp/notice/entry/024014/
消費者庁「『偽サイト』にご注意ください！」https://www.caa.go.jp/policies/policy/consumer_policy/caution/caution_033/
生成AIによる巧妙化
生成AIは、自然な文章や多言語の文面を短時間で作るために悪用されるおそれがあります。そのため、誤字脱字の有無だけで不審なメールを見分けることは、以前より難しくなっています。今後さらに目視での見分けが困難になっていく可能性があります。
EC事業者が受けるリスク
フィッシング詐欺の被害は、EC事業者に次のようなリスクをもたらします。
ブランド毀損と信頼低下
偽サイトの被害がSNSなどで拡散すると、「あのECサイトは危ない」という認識が広がるリスクがあります。ブランドの信頼を築くには長い時間がかかりますが、失うのは一瞬です。
メール不達リスクと通常業務の圧迫
なりすましメールが大量にばらまかれると、自社の正規ドメインの評価が低下し、メールプロバイダ側で正規のメルマガや注文完了メールの到達率が下がるおそれがあります。また、なりすまし被害の報道や口コミによって、正規サイトへの流入自体が減少することがあります。被害についての問い合わせやクレーム対応が急増し、カスタマーサポートなどの通常業務が圧迫されることも少なくありません。
法的対応コストの発生
従業員がフィッシングに引っかかり、顧客情報が漏洩した場合、損害賠償の対象になる可能性があります。偽サイトのテイクダウン費用や弁護士費用、システム改修費用など、直接的なコストが発生することもあります。
EC事業者が取るべきフィッシング詐欺対策
フィッシング詐欺への対策は、なりすまされる被害そのものを未然に防ぐための取り組みと、被害の拡大を防ぐための取り組みの両方が必要です。単一の対策に依存せず、複数の対策を組み合わせて多層的に防御することが重要です。
| 対策 | フェーズ | 概要 |
|---|---|---|
| 送信ドメイン認証（SPF/DKIM/DMARC） | 未然防止 | なりすましメールの到達率を下げる |
| BIMIの導入 | 未然防止（補助） | DMARC運用を前提に、正規メールにブランドロゴを表示 |
| 偽サイト監視と削除要請 | 未然防止 | 類似ドメインの早期発見・削除要請 |
| 顧客への注意喚起と正規チャネル周知 | 未然防止 | 利用者自身がなりすましを見分けられるようにする |
| パスキー・不正ログイン検知 | 拡大防止 | 認証情報が盗まれた後の悪用を防ぐ |
| 従業員セキュリティ教育 | 拡大防止 | 社内での被害拡大・二次被害を防ぐ |
送信ドメイン認証（SPF/DKIM/DMARC）の導入
SPF・DKIM・DMARCは、自社ドメインを詐称するメールへの対策として重要です。とくにDMARCでは、SPFまたはDKIMの認証結果に加え、表示上の送信元ドメインとの整合性を確認できます。運用状況を確認したうえでp=quarantineやp=rejectを設定すれば、DMARC認証に失敗したなりすましメールが受信者に届く可能性を下げられます。ただし、類似ドメインや表示名だけを悪用するメール、外部サービスから送信される正規メールの設定漏れまでは自動的に解決しないため、DMARCレポートを分析しながら段階的にポリシーを強化することが重要です。
BIMIの導入
DMARCの運用が整った段階で、BIMIの導入も検討できます。BIMIは、一定のDMARC運用要件などを満たした送信元について、対応するメールサービス上でブランドロゴを表示できる仕組みです。正規メールを利用者が識別する際の補助にはなりますが、すべての受信環境で表示されるわけではなく（Microsoft Outlook系は現時点で非対応）、BIMIだけでフィッシングを防げるものではありません。ロゴの第三者認証（VMCまたはCMC）が必要で、VMC取得には商標登録が前提となり、証明書には年間数十万円規模のコストもかかるため、中長期的な取り組みとして検討するのが現実的です。
偽サイト監視と即時対応
自社のブランド名やドメインに似せた不審なサイトが新規に登録されていないかを、監視サービスなどを使って定期的に確認します。発見した際は、証拠（URL・スクリーンショット）を保存した上で、速やかに削除要請に着手します。自社の目視だけでは限界があるため、監視の自動化は早期発見の観点で優先度の高い対策です。
パスキーや不正ログイン検知の導入
パスキー（FIDO認証）を導入すると、利用者がパスワードを入力する認証フローへの依存を減らせます。パスキーは公開鍵暗号方式を用いるフィッシング耐性の高い認証方式であり、認証情報の使い回しや、偽サイトにパスワードを入力してしまうリスクの低減に有効です。特に管理画面・管理者アカウントには、パスキーまたはフィッシング耐性の高い多要素認証を優先的に適用することが望まれます。また、パスワードリセットや配送先変更、高額注文といった高リスク操作には追加認証を設定し、不正ログイン検知は検知後の追加認証・一時ロック・本人確認・カスタマーサポート連携まで含めて設計することが重要です。
顧客への注意喚起の発信と正規チャネルの周知
公式サイトやメール、SNSで、正規のドメインや送信元アドレスを周知し、「当社は電話やメールでパスワードやセキュリティコードを聞くことはありません」といった注意喚起を発信します。あわせて、公式URL・送信元メールアドレス・公式SNSアカウント・自社が依頼しない情報の種類・通報窓口を特設ページに常設しておくと、利用者が自衛しやすくなります。
従業員セキュリティ教育
従業員向けにフィッシングメールの見分け方や報告手順について教育を行います。標的型のフィッシング訓練を定期的に実施することで、実践的な対応力を養うことができます。
フィッシング詐欺被害発生時の対処法
フィッシング詐欺の被害が発生した、または発覚した場合は、次の対応を速やかに行う必要があります。
偽サイトの通報と削除要請
偽サイトを発見した場合は、Google Safe Browsingなどの報告窓口への通報を検討します。報告内容が確認・反映されれば、対応ブラウザや検索サービスで警告表示や可視性低下につながる可能性がありますが、これは偽サイトの閉鎖手続きとは別です。並行して、偽サイトのホスティング事業者やドメイン登録事業者に削除要請を行います。対応方針や連絡先の特定が難しい場合は、JPCERT/CCなどのインシデント対応機関、またはフィッシング対策・テイクダウン支援事業者への相談を検討します。
関係機関への報告・相談
フィッシング対策協議会へ報告します。被害が金銭的な損害に及んでいる場合は、警察への相談・被害申告も検討します。東京都も、なりすましECサイトを発見した事業者に対し、来訪者への注意喚起、プロバイダへの削除要請、警察への情報提供を案内しています。
顧客・取引先への連絡
自社サイトやSNS、メルマガで注意喚起文を速やかに公開します。被害規模が大きい場合は、特設バナーや専用のQ&Aページを設けることで顧客の不安を和らげます。偽サイトへの情報入力が疑われる利用者には、公式サイト上の案内を通じて、パスワード変更、同一パスワードを利用している他サービスでの変更、カード発行会社への相談・利用停止手続きの確認を促します。
インシデント対応の事前整備
発覚後にすぐ動けるよう、検知担当と一次判断者、証拠保全の形式（URL・取得日時・画面・メールヘッダー等）、法務・広報・カスタマーサポート・情報システム部門への連絡基準、削除要請の担当者、告知文やFAQのテンプレートを平時から準備しておくことが望まれます。
まとめ
フィッシング詐欺は、EC事業者が「なりすまされる側」として直面する重要なリスクです。メールやSMSに加え、SNS、検索結果、偽サイトなど複数の経路で利用者が狙われます。
被害を完全に防ぐことは難しいため、DMARCを含む送信ドメイン認証、偽サイトの継続監視、正規チャネルの周知、顧客向け注意喚起、不正ログイン対策を組み合わせることが重要です。万一に備え、削除要請、関係機関への相談、顧客対応まで含むインシデント対応手順を平時から整備しておきましょう。