この記事の概要

• 受信メールの25%が悪性メールであり、依然として4通に1通が悪性メール
• 悪性メールの90%をフィッシングメールが占め、悪性メールの中心は引き続きフィッシング
• 証券会社を装うフィッシングメールは、前回調査の1%未満から今回調査では約8.5%へ増加
• 2026年4月から5月にかけて、決済アプリ（PayPay）送金詐欺に関連するメールが増加
• 業種別では「建設業」「教育・学習支援業」で悪性メール割合が高い傾向（ただし、同じ業種内でも組織ごとの差があるため、参考値として扱う必要がある）

本レポートのエグゼクティブサマリーをダウンロード

国内組織の受信メールを分析

デジタルアーツでは「国内組織」の「受信メール」を集計し、悪性メールがどれくらいの割合で、どのようなメールを受信しているのかを分析しました（※1）。

• 集計期間：6ヶ月（2025年12月～2026年5月）
• 組織数：国内950組織
• 受信メール数：約3億8,300万通

（※1）悪性メールの判定は、m-FILTER の Anti-Spam（アンチスパム）機能および偽装メール対策機能の判定結果を用いています。また、これらの機能を利用している組織のみに絞って集計しています。

正常メールと悪性メール

正常メールと悪性メールを分類すると、国内組織の受信メールの25％が悪性メールでした。

前回調査（※2）では受信メールのうち42%が悪性メールであったため、今回調査での悪性メールの割合は低下しています。

背景として、前回調査では年末年始の時期に悪性メール、主にAmazonを装うフィッシングメールが極端に多く観測されていました。この影響で、前回は期間全体の悪性メール割合も高くなっていました。一方、今回の調査期間では、前回ほどの極端な増加は見られませんでした。

ただし、今回も受信メールの4通に1通が悪性メールであり、国内組織の業務環境には依然として多くの悪性メールが届いています。

（※2）4.6億通の受信メールを分析 悪性メールは42%、うち91%はフィッシング

また、前回調査と同様に春節（※3）の時期には悪性メールの減少が見られました。春節時期の減少は、今回の調査でも確認された特徴的な動きのひとつです。ただし、本調査は悪性メールの増減と春節との直接的な因果関係を示すものではありません。

（※3）旧正月とも呼ばれます。2026年は2月17日が旧正月にあたります。一部アジア地域では、旧正月前後の一週間程度が大型連休となります。

悪性メールの内訳

次に、悪性メールの内訳を確認します。

内訳を見ると、悪性メールのうち90%がフィッシングメールでした。前回調査でも91%がフィッシングメールであり、割合としては大きな変化はありません。国内組織に届く悪性メールの中心は、引き続きフィッシングメールであることがわかります。

フィッシングで偽装されるブランドについては、前回調査ではAmazonを装うフィッシングメールが悪性メール全体の29%を占めていましたが、今回調査では10%に低下しました。これは、前回調査で観測された年末年始の極端な増加が、今回は見られなかったためです。

今回の調査では、フィッシングメールについて以下の2つの特徴的な動きが確認されました。

1. 証券会社を装うフィッシングメールの増加

前回調査ではほとんど確認されなかった証券会社を装うフィッシングメールが、今回調査では悪性メールの全体の約8.5%を占めるまでに増加しました。個別の証券会社名では上位にあまりランクインしていないものの、証券会社全体として集計するとこの増加が浮かび上がります。

調査	証券会社を装うフィッシングメールの割合
前回調査：2024年8月～2025年2月	1% 未満
今回調査：2025年12月～2026年5月	約 8.5%

【表1】証券会社を装うフィッシングメールは1%未満から約8.5%に増加

背景には、前回調査直後の2025年3月に、証券会社の不正取引が相次ぎ、証券会社各社で多要素認証の必須化など、ログイン時のセキュリティ強化が進んだことがあります。

• 2025年3月に不正取引が多発
• 2025年中に証券会社各社がログイン時の多要素認証を必須化
• 2026年に入り証券会社各社でパスキーの必須化が進む

証券会社各社は、多要素認証やパスキーの必須化の実施前後に、利用者に対してメールなどでアナウンスを行いました。

フィッシング攻撃者は、こうした証券会社各社のセキュリティ強化の動きに便乗しました。

実際に確認されたフィッシングメールでは、さまざまな証券会社を装い「多要素認証の設定のお願い」「セキュリティ強化に伴うパスキー設定のご依頼」といった、設定を促す内容が多く見られました。

証券会社各社による多要素認証やパスキーの必須化は、利用者保護のために有効な取り組みです。一方で、攻撃者はその周知や設定作業に便乗し、利用者をフィッシングサイトへ誘導しようとしています。利用者は認証設定を求めるメールを受け取っても、メール内のリンクからはアクセスせず、ブックマーク済みの公式サイトや公式アプリから確認することが重要です。

2. 決済アプリ（PayPay）送金詐欺に関連するメールが増加

デジタルアーツでは、2026年4月ごろから決済アプリ（PayPay）送金詐欺の急増を確認しています。今回の受信メール分析でも、同攻撃キャンペーンに関連するとみられるメールの増加が確認されました。

この攻撃キャンペーンでは、楽天やPayPayを装ったフィッシングメールを送りつけ、「支払いが必要」などとリンクに誘導します。誘導先にはPayPayの正規URLが使われ、受信者が疑わずに操作を進めると、正規の送金機能を使って攻撃者のアカウントへ送金してしまうおそれがあります。

詳細については、下記のレポートで解説しています。
決済アプリ送金詐欺が140倍に急拡大、2026年4月の攻撃メールから4つの事例を分析

PhaaSや生成AIの悪用が今後の懸念事項

証券会社を装うフィッシングメールや、決済アプリ（PayPay）送金詐欺に関連するメールはいずれも、社会的な動きや利用者が実際に使うサービスに便乗している点が特徴です。

こうした攻撃を支える背景のひとつとして、PhaaS（Phishing as a Service）や生成AIの悪用により、フィッシングサイトやメール文面の作成工程のハードルが下がっていることがあります。

PhaaSとは、攻撃者が自ら高度な攻撃技術やインフラを持たなくても、フィッシングサイトを作成するキットや攻撃基盤を利用できる犯罪サービスです。PhaaS自体は以前から存在していましたが、近年では生成AIを組み込んだフィッシングキットや、AIを利用してフィッシングサイトやメールを作成しやすくする動きが報告されています。

参考

• Darcula-Suite Adds AI: Phishing Kits Now More Accessible (netcraft.com)
• 2 PhaaS 2 Furious：中国語圏のフィッシングサービスの進化 | Google Cloud 公式ブログ
• Google、「Gemini」悪用の中国系サイバー犯罪組織を提訴――2週間で250万通の詐欺メッセージ - ITmedia NEWS

PhaaSや生成AIの悪用により、攻撃者はフィッシングサイトやメール文面の作成、ブランド模倣、ローカライズにかかる手間や時間を減らしやすくなっています。

そのため、攻撃者は日本の制度変更、セキュリティ対策の周知、季節イベント、特定サービスの仕様に合わせて、フィッシングサイトやメールを短期間で用意しやすくなっています。今後も、社会的な動きや利用者行動に便乗したフィッシングが展開される可能性があります。

フィッシングメール以外にも注意

ここまで、フィッシングメールを中心に取り上げました。
一方で、悪性メールのうち約10%はフィッシング以外のメールでした。次のようなものがあります。

• アカウントや支払い情報の確認を要求するようなもの。ブランドが判断できなかったフィッシングメールも含まれます。
• バウンスメール（メールが送信できなかったと装うもの）
• ブランドコピー品や男性用の薬等の販売・宣伝
• 懸賞品やポイントを入手できると称するもの
• セクストーションメール（性的な写真や動画を手に入れたと嘘をつき、公開されたくなければ金銭を支払えと脅迫するもの）
• マルウェアに感染させる目的のメール

など。

特に注意したいのが下記の3つです。

• サポート詐欺に誘導するメール
• CEO詐欺（ニセ社長詐欺）メール
• 日本の組織を狙ったマルウェアメール

それぞれの詳細についてはこちらのレポートを参照ください。
決済アプリ送金詐欺が140倍に急拡大、2026年4月の攻撃メールから4つの事例を分析

フィッシング以外の攻撃も継続して観測されており、企業・団体では、これらの悪性メールにも注意が必要です。

業種別の悪性メールの受信割合

受信メールに占める悪性メールの割合が、業種によって異なるのかについても集計しました。

業種別に見ると、「建設業」「教育・学習支援業」では悪性メール割合が高く、「情報通信業」「金融業、保険業」では比較的低い傾向が見られました。

【図6】では、業種ごとの悪性メール割合と中央値を示しています。悪性メール割合と中央値が近い業種は、一部の組織だけが値を押し上げているのではなく、業種内で比較的近い傾向が見られる可能性があります。

ただし、同じ業種内でも組織ごとにメールの利用状況は異なるため、今回の結果は参考値として扱う必要があります。

（※4）

• サンプル数が少ない業種は除外しています。
• 業種ごとの組織数は開示していません。図に掲載した各業種は、いずれも20組織以上を対象としています。
• 業種の分類に関しては、日本標準産業分類を参考にしながら、業態にあわせて独自に分類しました。

まとめ

今回の調査では、国内950組織に実際に届いた受信メール約3億8,300万通を分析しました。その結果、受信メールの25%が悪性メールであり、その90%をフィッシングメールが占めていました。

前回調査と比較すると悪性メールの割合は低下しましたが、依然として受信メールの4通に1通が悪性メールであり、国内組織の業務環境には多くの悪性メールが届いています。

今回特に目立ったのは、証券会社を装うフィッシングメールの増加と、決済アプリ（PayPay）送金詐欺に関連するメールの増加です。いずれも、利用者が対応を迫られる手続きや、正規サービスの機能を攻撃に組み込んでいる点が特徴です。

PhaaSや生成AIの悪用により、攻撃者はフィッシングサイトやメール文面の作成、ブランド模倣、ローカライズにかかる手間や時間を減らしやすくなっています。企業・団体では、過去に多かったブランドや手口だけを警戒するのではなく、社会的な動きや利用者行動に合わせて変化する攻撃を前提に、フィッシングに限らずメールセキュリティ対策と従業員への注意喚起を継続することが重要です。