ノートンブランドを展開するGen（NASDAQ：GEN）は2026年8月6日、2026年第1四半期に日本国内で政府機関になりすました偽サイトを使うフィッシング攻撃が急増したと発表した。同社が当四半期にブロックした政府機関を装う攻撃は1,418件で、前四半期比991%増。そのうち76%はiPhoneユーザーを標的としていた。国税庁や首相官邸、年金関連機関、自治体といった「疑いにくい名前」を借りる手口である。個人向けの注意喚起として読まれやすい内容だが、組織側にとっても無関係ではない。
何をかたり、何を取ろうとしていたか
Genの発表によると、攻撃者は国税庁や年金関連機関、自治体などを装った本物そっくりのWebサイトへ利用者を誘導し、マイナンバーや銀行口座情報などの入力を求めていた。加えて、架空の未納料金の支払いを要求するケースや、税金・手数料といった名目でコンビニ決済による支払いを求めるケースも確認されている。
つまり狙いは二段構えだ。ひとつは個人情報そのもの。もうひとつは、その場で完結する金銭の支払いである。コンビニ決済は、口座振込に比べて「振込先口座」という追跡の手がかりが残りにくく、被害者にとっても手続きの心理的ハードルが低い。行政手続きに慣れていない人ほど、「言われた通りに払えば終わる」という説明を受け入れやすい。
Genは、政府機関に対する人々の信頼を悪用する点と、「早急な対応が必要」という心理を突いて利用者を誘導する点を、この手口の特徴として挙げている。技術的な巧妙さではなく、相手の判断時間を奪う設計が本体だということだ。
なぜiPhoneユーザーが76%だったのか
「iPhoneが狙われている」という数字は、iOSが脆弱だという話ではない。Genが挙げている理由は、行政サービスや税金・年金の手続きをスマートフォンで行う機会が増え、攻撃者もモバイル環境を狙ったフィッシングを強化しているという環境側の変化である。
そこにモバイル特有の弱点が重なる。SMSやメールのリンクから偽サイトを開いた場合、スマートフォンではURL全体が表示されにくく、偽サイトを見分けることが難しい場合があるとGenは指摘している。PCのブラウザであれば、アドレスバーに表示されるドメイン名を確認して違和感に気づきやすい。画面幅の狭いスマートフォンでは、その手がかりが省略されてしまう。「ドメイン名を確認する」という定番の助言が、モバイル環境では実行しにくいという構造的な問題である。
なお、76%という比率がiPhoneユーザーの被害の多さそのものを意味するのか、Genの検知基盤の構成を反映した数字なのかは、発表からは判別できない。比率の大小より、「手続きの入口がスマートフォンに移った結果、フィッシングもそこへ移動した」という方向性を読むべきだろう。
対策として挙げられた5点
Genは、不審なSMSやメールを受け取った際の対策として次の5点を推奨している。
- SMSやメールに記載されたリンクから行政機関のサイトへアクセスしない
- 国税庁や自治体などのサービスは、公式サイトや公式アプリからアクセスする
- URLやドメイン名を確認し、公式サイトであることを確認する
- マイナンバーや銀行口座情報などの入力を求められた場合は、一度立ち止まって内容を確認する
- セキュリティソフトを導入し、不審なWebサイトへのアクセスを未然に防ぐ
内容自体は目新しいものではない。ただ、1点目の「リンクから行政機関のサイトへアクセスしない」は、行動として明確で、判断力に頼らない点で実効性が高い。偽サイトの見分け方を覚えるより、「リンクは踏まず、ブックマークか公式アプリから入る」という一本の経路を習慣にするほうが確実だ。
個人向けの話に見えて、企業が引き受ける部分がある
政府機関をかたるフィッシングは、一見すると従業員の私生活で起きる問題に見える。だが企業側にも接点は複数ある。
まず、年末調整や社会保険、住民税といった行政関連の連絡は、実際に会社経由で従業員に届く。「会社から回ってきた行政手続きの案内」という文脈が日常に存在するため、それを騙る偽メールやSMSは自然に紛れ込む。マイナンバーの提出依頼を装った手口は、業務メールとの区別がとりわけ難しい。
次に、私物スマートフォンで業務メールやSaaS（クラウド型の業務サービス）を扱う運用が広がっている点がある。行政をかたる偽サイトで一度入力してしまった人は、業務アカウントの認証情報を狙う次のフィッシングでも同じように反応してしまう懸念がある。攻撃者が取りたい情報が個人情報から業務用の認証情報へ差し替わるだけで、経路はそのまま使える。
そして、被害に気づいた従業員がまず相談する先は、多くの場合、社内の情報システム担当である。「私生活の話なので対象外」という線引きは、実務では成立しにくい。
対策そのものは重い投資を要しない。行政手続き関連の社内連絡では正式な入口（公式サイト・公式アプリ）を必ず明記する、SMS経由のリンクは踏まないという方針を明文化する、被害を疑ったときの相談窓口を周知しておく──この程度でも、慌てて入力してしまう人の数は減らせる。991%という増加率は、攻撃側がこの領域に手応えを感じていることの裏返しでもある。
同じ手口に、自社は備えられていますか？