自分の段階をタップすると、その段階のやることに進めます。

• ① 開いただけ本文を読んだ。画像が表示された。リンクも添付も触っていない。
• ② リンクを押した偽サイトが開いた。でも何も入力していない。何もインストールしていない。
• ③ 入力したパスワード・カード番号・認証コード・住所などを入れた。電話で伝えた。
• ④ アプリ・設定を入れたアプリ・「構成プロファイル」・遠隔操作ソフトを入れた。添付ファイルを実行した。

怪しいメールやSMSを、ポストに入っていた怪しい店のチラシだと考えてみましょう。

• チラシを読んだ（開いただけ）
  読んだだけでは、財布は盗まれません。店の人は、あなたが読んだかどうかすら、ほとんど分かりません。
• 店をのぞいた（リンクを押した）
  ドアを開けて中を見ただけ。何も書かず、何も買わずに帰れば、ほぼ何も起きません。ただし店の中では「この用紙に書いて」「これを持ち帰って」と強くすすめられます。
• 申込書を書いて渡した（入力した）
  ここで初めて、あなたの情報が相手の手に渡ります。合鍵の番号や財布の中身を渡したなら、鍵を替え、財布を止める必要があります。
• 店員を家に上げた（アプリを入れた）
  一番危ないのはここです。家の中にいる店員は、届いた郵便を読み、あなたの名前で手紙を出すこともできます。まず家から追い出し、家の中を点検します。

※厳密には、開いただけで問題が起きる例外もあります（専門家向け詳細）。まずは全体像をつかむためのたとえです。

警察庁によると、2025年にフィッシング対策協議会へ寄せられた報告は245万4,297件。1分に4〜5件のペースです。報告されない分を含めれば、怪しいメールが届くのは「当たり前」と考えたほうが現実的です。

一方、実際にお金が盗まれるのは、偽サイトにIDやパスワード、認証コードを入力したあとです。インターネットバンキングの不正送金4,747件のうち、手口の約9割がフィッシングでした。つまり、多くの被害は段階③から先で起きています。

出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」本文27頁、統計編143頁。1日あたりと1件あたりの金額は筆者が割り算した概算です。

本文を読んだ、画像が表示された。そこまでなら、基本的に被害はありません。パスワードを変えたり、スマホを初期化したりする必要もありません。

起きうることは2つだけ

「配信停止」リンクも、押せば段階②です。本物のメールマガジン以外では押さないでください。

リンクを押して偽サイトが開いても、何も入力せず、何もインストールしていなければ、たいてい大丈夫です。画面を閉じてください。

ただし、偽サイトはあなたを段階③や④に進ませようと、いろいろな画面を出してきます。押したあとに何が表示されたかで、やることが少し変わります。

ここからは、あなたの情報が犯人の手に渡っています。今は偽サイトに入力した情報を、犯人がその場で本物のサイトに入れ直す手口が主流です（リアルタイム型フィッシング）。2段階認証のコードまで、数分で使われることがあります。勝負は時間です。

入力したもの別：最初の1手と連絡先

• 上の表で連絡する（お金に関わるものから先に）
• パスワードを替える：メールのリンクは使わず、公式アプリやブックマークから。替えたら「ほかの端末からログアウト」も押す
• 明細とログイン履歴を見る：身に覚えのない利用・ログインがないか。数週間は続けて見る
• 相談・届け出：お金の被害が出たら警察へ（都道府県警察のサイバー犯罪相談窓口）。フィッシング対策協議会への報告は、次の被害者を減らす

くわしい手順は、クレジットカード情報が漏れた時の対処法、不正ログインされたらどうする？にもまとめています。

段階③より段階④が重いのは、犯人の道具がスマホの中に住みつくからです。偽アプリは、届いたSMSの認証コードを読んだり、あなたのスマホから偽SMSを送ったりできます。パスワードを替えても、その新しいパスワードまで盗まれるおそれがあります。

Androidで偽アプリを入れた（IPAの推奨手順）

• 機内モードにする：偽SMSの送信と、情報の送信を止める
• 偽アプリを削除する：ホーム画面にアイコンが出ないことが多いので、設定アプリの「アプリ一覧」から探す。消せないときは「デバイス管理アプリ」の許可を外してから消す（場所は機種によって違う）
• できれば初期化する：スマホ全体への影響が分からないため、IPAは初期化を推奨している
• パスワードを替える：Googleアカウントと各サービス。できれば別の安全な端末から
• 請求を確かめる：携帯料金に身に覚えのないキャリア決済がないか

iPhoneで「構成プロファイル」を入れた

設定を書き換えられたり、端末の情報を送られたりする可能性があります。まず機内モードにして、「設定」→「一般」→「VPNとデバイス管理」から、見覚えのないプロファイルを削除してください。IPAは、機内モードにしたうえで初期化することを強く推奨しています。Apple IDのパスワードを入力していたら、それも替えます。

パソコンに遠隔操作ソフトを入れた（サポート詐欺）

偽警告の番号に電話して、言われるままにソフトを入れた場合です。ネットから切り離し、遠隔操作ソフトを削除します。IPAは、そのうえでWindowsの「システムの復元」、できなければ初期化を推奨しています。お金を払った・契約したなら、クレジットカード会社と消費者ホットライン（188）にも連絡します。くわしくはサポート詐欺とClickFix攻撃とは？へ。

添付ファイルを開いて、中身を実行した

「請求書.zip」の中のファイルをダブルクリックした、Wordで「コンテンツの有効化」を押した、などは段階④です。個人のパソコンならネットから切り離して、ウイルス対策ソフトで全体をスキャンし、不安なら初期化します。会社のパソコンなら、自分で消さずにすぐ情報システム担当へ（下の囲み）。種類ごとの危険度はメール添付ファイルの危険な種類にまとめています。

段階①②でパスワード変更は「不要」ですが、使い回しをやめるきっかけにするのは良いことです。

怪しいメールは、これからも届きます。「開いても段階①で止まれる」準備をしておけば、次は慌てずに済みます。

1. 確認は「メールの外」からする習慣をつける
   銀行・通販・携帯会社のお知らせは、公式アプリかブックマークから開く。これだけで段階②に進まなくなります。
2. 大事なアカウントを2段階認証かパスキーにする
   段階③まで進んでも、被害を止められる可能性が上がります。パスワードの使い回しもやめましょう（2段階認証とパスキー）。
3. カードと銀行の利用通知をオンにする
   身に覚えのない利用に、その日のうちに気づけます。気づくのが早いほど、補償も受けやすくなります。

段階①の例外：ウェブビーコンとゼロクリック

• ウェブビーコン（トラッキング画像）：HTMLメール内の外部画像を読み込むと、送信者のサーバーにアクセスが記録され、開封が推定される。GmailやAppleのメールアプリには、画像を中継したり事前に読み込んだりして、開封の判定をしにくくする仕組みがある。
• ゼロクリック脆弱性：表示・受信だけで攻撃が成立する欠陥。例として、Microsoft Outlook（Windows版）の CVE-2023-23397 は、細工したメールを受信・処理しただけで認証情報（Net-NTLMv2ハッシュ）が外部に送られるもので、悪用が確認されたうえで2023年3月の更新で修正された。一般の利用者にとっての対策は、OSとメールアプリの更新に尽きる。

段階②：ドライブバイダウンロードと「その先」への誘導

• ページ閲覧だけでブラウザの脆弱性を突く攻撃は存在するが、未修正の脆弱性が必要。更新済みのブラウザで成功するのは、修正前のゼロデイを使う場合に限られる。
• 実際に多いのは、偽警告・通知許可・APKダウンロード・構成プロファイルなどで、利用者自身に次の操作をさせる誘導。Androidでは、ブラウザに「不明なアプリのインストール」を許可しない限りAPKは入らない。

段階③：リアルタイム型フィッシング

警察庁は、令和元年頃からリアルタイム型フィッシングで二段階認証を突破する手口が横行していると指摘している。偽サイトが入力内容を即座に正規サイトへ中継し、ワンタイムパスワードの有効期間内にログイン・送金まで行う。対策はフィッシングに強い認証（パスキー）と、入力に気づいた時点での即時連絡。詳しくは多要素認証突破を防ぐ方法。

段階④：モバイルマルウェアの典型的な権限

• SMSの送受信（認証コードの窃取、偽SMSの拡散）、通知の読み取り、アクセシビリティ機能（画面の読み取り・自動操作）、デバイス管理権限（削除の妨害）。
• IPAは2021年12月の注意喚起で、不正アプリの被害として「同じ内容の偽SMSを見知らぬ宛先に多数送信」「データやSMSの窃取」「キャリア決済での身に覚えのない請求」などを挙げ、機内モード→削除→初期化→パスワード変更→多要素認証→請求確認の順を示している。

使った統計（警察庁 令和7年版）

フィッシング報告件数は「届いた怪しいメールの報告数」で、被害者数ではありません。