仕組みは単純です。短縮URLサービスは「短い記号」と「本当のURL」の対応表を持っていて、短いほうにアクセスが来たら、本当のほうへ転送する。この転送は、HTTPという通信の規格で決められた標準の動きです。

4の「3xxの応答」は、HTTPの規格 RFC 9110 の15.4節で定義されている転送用の応答です。301（恒久的な移動）、302（一時的な移動）、307、308などがあり、応答に含まれるLocationという項目に次の行き先が書かれています。

ここで押さえておきたいのは、3の段階です。あなたのクリックは、目的のサイトへ直接届いていません。いったん短縮URLサービスを経由します。だから、短縮URLは「行き先を隠す道具」であると同時に「誰がいつ押したかを数える道具」でもあります。マーケティングで使われるのは、まさにこの計測ができるからです。

この3つは同時に使えます。QRコードの中身が短縮URLという形が、いちばん行き先が見えません。読み取っても短いアドレスが出るだけで、その先は開くまで分からないからです。

第1章 おわり — 次は第2章

「怪しいURLは見れば分かる」という前提が、2026年にはかなり崩れています。フィッシング対策協議会が毎月出している報告書の数字を見ると、それがはっきりします。

正規サービスのドメインが使われている

出典：フィッシング対策協議会 月次報告書（2026年5月〜7月分）。短縮URL単独の数字ではありません。月によって数え方の区切りが違うため、月をまたいだ単純比較はできません。

この数字が意味しているのは、「フィルターで弾けない」ということです。協議会の報告書自身が、これらを「フィルター等で不正なURLとして検知されにくい正規サービスのドメイン名を使用するケース」と説明しています。短縮URLサービスのドメインは正規のものなので、ドメイン名だけを見て遮断すると、正規の利用まで巻き添えになります。

「見慣れないTLDに注意」も、もう効きません

出典：同上（報告全体のURL・重複あり）。2026年7月のフィッシング報告件数は66,119件、フィッシングサイトのURL件数は43,267件、悪用されたブランドは101件でした。

フィッシングサイトのURLの8割が .com です。「.xyz や .cfd のような珍しいTLDに気をつけましょう」という説明は、残りの2割の話をしていることになります。そして短縮URLになれば、TLDすら攻撃者のものではなくなります。

預けた先が終わると、リンクは切れる

もうひとつ、セキュリティの本には書かれない、しかし実務で困る話をします。短縮URLの寿命は、自分では決められません。実例として、Googleの短縮URLサービス（goo.gl）の顛末を並べます。

出典：Google Developers Blog「Google URL Shortener links will no longer be available 2026/08/20」（2024年7月18日公開／2025年8月1日更新）。

第2章 おわり — 次は第3章

短縮URLが使われたフィッシングを、届いてから被害までの段階に並べます。「押した＝終わり」ではありません。どこで止まれるかが分かると、慌てずに済みます。

段階3が分かれ目です。押したこと自体を責める必要はありません。短縮URLは押すまで判断できない仕組みなので、押してから確認するしかない場面が現実にあります。

攻撃側にとっての「使いやすさ」

なぜ短縮URLが選ばれるのか。理由は4つあり、どれも技術的に高度なものではありません。

3つ目は仕組み上の必然です。短縮URLは「短い記号と本当のURLの対応表」なので、表を書き換えれば行き先が変わります。この性質は正規の利用（キャンペーン先の差し替えなど）でも使われている、便利な機能でもあります。

とくにSMSとの相性が悪いのがこの手口です。SMSは本文が短く、送信元の表示も番号だけのことが多いため、もともと判断材料が少ない。そこに行き先の見えないURLが1本入ると、判断できる要素がほぼゼロになります。宅配便の不在通知をよそおう文面が典型で、フィッシング対策協議会の2026年7月の報告でも、クレジットカードブランドや電力会社、宅配便の不在通知をよそおう文面の報告が続いていると書かれています。

第3章 おわり — 次は第4章

第4章 おわり — 次は第5章

短縮URLに対して、見分ける努力を積み上げる方向は分が悪いです。行き先が見えないものを見分けることはできません。だから発想を変えます。届いたリンクから入るのをやめて、入り口を自分で固定してしまう。これが唯一、確実に効く方法です。

1番目が効くのは、相手の手口に関係なく成立するからです。行き先が見えようが見えまいが、そもそも届いたリンクを使わなければ、どこへ飛ばそうとしていたかは関係なくなります。「本物かどうか判断する」より「判断しなくて済む形にする」ほうが、はるかに簡単で確実です。

第5章 おわり — 次は第6章

この章は、お客様にメールやSMSを送っている組織に向けて書きます。短縮URLを業務で使っているなら、いちど立ち止まる価値があります。公的なガイドラインが求めていることと、逆の方向を向いているからです。

同じガイドラインは、利用者への伝え方の項でも「不審なリンクが拡散されるリスクを考慮して、あえてURLを記載しない手法も有効である」と書いています。求められているのは「利用者による識別を容易にする」ことです。短縮URLは、その識別を構造的に不可能にします。

「実装の重さ」は筆者の目安です。ガイドラインが推奨しているのは上の2つの方向で、外部の短縮URLサービスの利用を明示的に禁じているわけではありません。

実務としては、お客様に「本物かどうか判断してほしい」場面で外部の短縮URLを使わない、という線引きが現実的です。社内の連絡や、すでにログインした人だけが見る画面での利用は、話が別になります。

受け取る側としての対策

第6章 おわり — 次は第7章

押しただけ（何も入力していない）

入力してしまった

証拠は消さないでください。押してしまったこと自体は落ち度ではありません。短縮URLは押すまで判断できない仕組みで、そう作られています。

第7章 おわり — 次は第8章

この用語とセットで覚えると理解が早くなる語です。

第8章 おわり — 最後にFAQ