金融サービス業界におけるフィッシング：2026年の攻撃動向、コスト、および対策

主なポイント

この業界における情報漏洩の90％は金銭的な動機によるものであり、金融サービス業界は、世界的に追跡されているフィッシング攻撃の総件数の約3分の1を占めています。
BEC（ビジネスメール詐欺）と電信詐欺は依然として最も被害額が大きい攻撃手法であり、2024年の米国における確認済みの被害額は27億7000万ドルに達している。また、ベンダーを装う詐欺が、従来のCEO詐欺を追い抜きつつある。
AIによるフィッシングは、最も顕著な新たな脅威であり、最近の分析によると、フィッシングメールの80％以上がAIを利用している。
DMARCの導入率は高いものの、その適用が徹底されていないことがこの業界の根本的な矛盾であり、MTA-STSの暗号化に関する別の課題を解決した機関はほとんど存在しない。
アウト・オブ・バンドによる支払い確認やDMARCの適用といった運用上の防御策は、一般的な意識向上トレーニングよりも、実際の損失をより多く防ぐことができます。
PowerDMARCは、p=rejectへのガイド付き移行、SPFレコードの最適化、およびホスト型MTA-STSを通じて、金融機関が施行面や暗号化面での課題を解消できるよう支援します。

金融サービス業界は、世界で最も規制が厳しく、監査が頻繁に行われ、セキュリティ対策が成熟している業界の一つです。それにもかかわらず、四半期ごとに、世界全体のフィッシング攻撃件数に占める割合は、依然としてあらゆる業界の中でも最大級となっています。

銀行、保険会社、フィンテック企業は、政府や防衛機関を除けばほぼどの組織よりもセキュリティ対策に多額の費用を投じているにもかかわらず、金融サービス業界ではフィッシング攻撃による巨額の損失、規制当局からの是正勧告、顧客アカウントの不正利用が後を絶たない。2025年および2026年の金融サービス業界におけるサイバーセキュリティ統計は、一貫した事実を物語っている。すなわち、この業界が標的とされるのは、防御体制が脆弱だからではない。金銭に最も近い位置にあるためであり、攻撃者たちはほとんどの機関のセキュリティ対策よりも迅速に適応してきたからである。

本記事では、金融業界がこれほど注目を集めている理由、実際に金融業界に対して有効な具体的な攻撃手法、それらの攻撃がもたらした実証済みの損害額や実際の事例、そして2026年に向けて現代の防御体制がどのようなものになるかについて解説します。

なぜ金融サービスがフィッシングの最大の標的となっているのか

金融・保険セクターにおける3,336件のセキュリティインシデントと927件の確認済み情報漏洩を分析したベライゾンの「2025年データ漏洩調査報告書」によると、情報漏洩の90％において、金銭的利益が主な動機であった。また、この業界ではスパイ活動を目的とした攻撃も増加傾向にあり、前年比で5％から12％へと上昇している。これは、金銭的動機を持つ犯罪者に加え、国家と関連する攻撃者も関心を寄せていることを示唆している。情報漏洩の78％は外部の攻撃者によるものであり、システム侵入、ソーシャルエンジニアリング、および基本的なWebアプリケーション攻撃を合わせると、同業界における全情報漏洩の74％を占めた。

アンチフィッシング・ワーキング・グループ（APWG）の2025年第1四半期報告書によると、同四半期には1,003,924件のフィッシング攻撃が記録され、これは2023年後半以来の最多件数となった。また、オンライン決済および金融（銀行）セクターが、全攻撃の30.9％を占めていることが判明した。

標的となるのは電子メールだけにとどまりません。同じDBIRのデータセットによると、レイヤー3および4のサービス拒否（DoS）攻撃において、金融業界が最も標的とされた業界であり、その35％を占め、製造業や専門サービス業を上回りました。攻撃者は、金銭やデータにつながるあらゆる経路を駆使しており、フィッシングはたまたま最も安価で信頼性の高い手段となっているのです。

金融機関に対するフィッシング攻撃は実際にはどのように行われるのか

一般的なフィッシング対策のアドバイスは、金融業界が実際に受ける攻撃の実態には必ずしも当てはまりません。以下に挙げる攻撃の手口は、最新のデータや実際のインシデントで確認されているものです。

オンラインバンキングを標的とした認証情報フィッシング

偽のログインページは、顧客と従業員の両方を標的とした、依然として定番の手口です。なりすましドメインや類似ドメインを通じて送信される、オンラインバンキングポータルを巧妙に模倣したページでは、受信者のごく一部が認証情報を入力するだけで、攻撃者はアカウントへのアクセス権を取得できてしまいます。こうしたページは低コストで構築でき、容易に改良を加えることができるため、より洗練された攻撃手法が注目を集める中でも、常に背景に潜む脅威として存在し続けています。

ビジネスメール詐欺と電信送金詐欺

Truistが後援した「2025年AFP決済詐欺・管理調査」によると、2024年には63％の組織が「ビジネスメール詐欺（BEC）」を最も多い詐欺の手口として挙げ、また、BEC詐欺師が最も頻繁に標的とする決済手段として、電信送金が再び首位に返り咲きました。手口も変化している。詐欺師が経営幹部を装って緊急の送金を指示する「従来のCEOなりすまし詐欺」は、報告されたBECインシデントに占める割合が57％から49％に減少した一方で、攻撃者が正規のサプライヤーを装って支払いを転送させる「ベンダーなりすまし」は60％に増加した。攻撃者は、権威を悪用する手法から、既存のビジネス関係における信頼を悪用する手法へと移行しつつある。

FBIの「2024年インターネット犯罪報告書」によると、21,442件の被害申告において、BECによる被害額は27億7,000万ドルと記録された。これは2023年の29億ドルからわずかに減少しており、2022年から2024年までのBECによる累積被害額は85億ドル近くに達した。

この攻撃手法の仕組みについて詳しくは、ビジネスメール詐欺とは何か、また通常のフィッシングとの違いについて解説したガイドをご覧ください。

金融ブランドを装った「ヴィッシング」および「コールバック・フィッシング」

「コールバック型フィッシング」とは、詐欺メールやSMSによって被害者を誘導し、攻撃者が対応する電話番号へかけさせる手口であり、金融口座への不正アクセス手段として広く利用されるようになっている。

Hoxhunt社のフィッシング動向調査によると、2025年後半から2026年初頭にかけて追跡されたコールバック型フィッシングキャンペーンの27.1％が、特に金融サービスブランドを装っており、これは他のどのカテゴリーよりも高い割合でした。中でも、PayPal、Venmo、および大手小売銀行が、最も頻繁になりすましの対象となったブランドとして挙げられています。こうしたキャンペーンでは通常、架空の請求や口座の問題を口実に脅し、被害者に直ちに電話をかけるよう迫ります。電話に出ると、オペレーターが指示を出し、認証情報やワンタイムパスワードの開示を誘導します。

AI生成およびディープフェイクを用いたフィッシング

これが、現在の脅威情勢における最も明確な差別化要因です。CybelAngelの2026年の分析によると、2024年9月から2025年2月の間に検出されたフィッシングメールの82.6％がAI生成を利用しており、これは前年比で53.5％の急増となりました。これとは別に、Darktraceが金融セクターの顧客基盤全体で収集したテレメトリデータによると、2025年上半期に240万通のフィッシングメールが記録され、そのうち30％近くは、一般の従業員ではなく、経営幹部や支払権限を持つ財務担当者などのVIPユーザーを標的としたものでした。

この傾向は重要だ。攻撃者は、単に件数を増やすことよりも、標的の質を重視するようになってきている。音声クローン技術によって、脅威はさらに複雑化しており、2025年には、銀行の従業員が、幹部の声を巧妙に模倣した電話を受け、送金を承認させられたという事例が2025件報告されている。

盗み出された認証情報によるアカウント乗っ取り

アカウント乗っ取りは、前述のBECの手口とは様相が異なります。1件の巨額かつ劇的な被害が生じるのではなく、多数の小規模で自動化された攻撃として現れます。 Proof社が2026年5月の不正分析の一環として発表したATOに関する調査によると、不正な支払請求の平均額は、2022年の182,000ドルから2024年には118,000ドルへと減少しており、2026年までに88,500ドルになると予測されています。詐欺師たちは、多くの金融機関で手動審査がトリガーされる閾値をわずかに下回る金額を意図的に狙っており、金額の規模を犠牲にして、頻度と自動化を優先しているようだ。

金融セクターにおけるフィッシング攻撃が実際に与える損害とは

CybelAngelによると、金融セクターにおけるデータ漏洩の1件あたりの平均被害額は590万ドルと推定されていますが、この数字には規制当局からの罰金や評判の低下による損害は含まれていません。前述のBECによる年間27億7000万ドルの損失と合わせると、巨額かつ集中的な損失と、小規模な損失が絶え間なく発生しているという状況が浮かび上がります。

クレラン銀行、2016年1月

BEC（ビジネスメール詐欺）によって金融機関が被害に遭った事例の中で、最も詳細に記録されているケースは、同時に最大規模の被害事例の一つでもあります。詐欺師たちは、ベルギーの銀行の上級幹部のメールをなりすましたり、そのアカウントを乗っ取ったりして、財務部門を説得し、資金の送金をさせました。その後、内部監査により、約7,000万ユーロ（約7,580万ドル）が消失していたことが判明しました。Help Net Securityを含む複数のメディアが、当時、この金額と手口を確認しています。

これは10年前の事件ですが、この事件が示す手口――つまり、支払いの決定権を持つ人物宛てに、緊急性を帯びつつも控えめな表現で送られるメール――は、今日でもBECの手口の根幹をなしています。

マサチューセッツ州、コネチカット州、ロードアイランド州における身分盗用犯罪グループ

より最近発生した、はるかに小規模な事例からは、地域の金融機関において依然として別の手口が横行していることがうかがえる。連邦検察当局は、盗まれた顧客の氏名、社会保障番号、口座情報を用いて偽造身分証明書を作成し、共犯者に銀行支店で本物の顧客を装わせて資金を引き出させた複数の被告を起訴し、後に有罪答弁を引き出した。

2026年5月、被告のうち2名が、盗まれた個人情報を悪用して3つの州にまたがる銀行の口座から100万ドル以上を引き出した詐欺事件に関与したとして、有罪を認めた。これは従来の意味でのフィッシング事件ではないが、顧客データが外部に流出すると何が起こるかを如実に示している。つまり、そのデータは口座詐欺の手段として悪用され、多くの場合、当初データが流出した経路とは全く異なる経路を通じて悪用されるのである。

マーキス・ソフトウェア・ソリューションズ、2025年

2025年8月、数百の銀行や信用組合にデータ分析、CRM、コンプライアンスツールを提供しているベンダー「マーキス・ソフトウェア・ソリューションズ」がランサムウェア攻撃を受け、少なくとも74の金融機関に関連する個人情報や金融データが流出した。 2025年12月から各州の司法長官に提出された情報漏洩通知によると、影響を受けた個人の数は40万人以上に上り、一部の報告書では78万人近い数字が挙げられている。BleepingComputerの報道によると、攻撃者はフィッシングではなく、同ベンダーのファイアウォールの脆弱性を突いて初期アクセスを得たという。

この記事でこの件を取り上げた理由は、それ自体がフィッシング攻撃だったからではありません。このような情報漏洩事件で盗まれた社会保障番号やアカウント情報が、数か月後に、同じ顧客を標的としたフィッシングやアカウント乗っ取りの試みの「材料」として、繰り返し悪用されるのが常だからです。

セキュリティ対策が最も成熟している業界の一つで、なぜこのような事態が繰り返されるのか

金融サービス業界は、調査対象となった業界の中でもDMARCの導入率が最も高い業界の一つですが、単に監視するだけでなく、実際になりすましメールをブロックする設定である「p=reject」での適用については、同業界の大手企業を含む多くの金融機関で依然として遅れが見られます。この「導入率」と「適用率」のギャップについては、金融機関とDMARCに関する当社のブログで詳しく解説しています。

この格差には、いくつかの構造的な要因が挙げられます：

運用上の複雑さ：大手銀行には、明細書発行業者やマーケティングプラットフォームからローンサービサーに至るまで、数百もの正当な第三者送信元が存在する場合があります。措置を講じる前に、これらすべてを正確に認証することは、多大な労力を要する作業となります。
リスク回避：セキュリティチームは、たとえ攻撃者がその脆弱性を積極的に悪用している場合でも、なりすましによるセキュリティ上の脆弱性を解消することよりも、給与明細や融資書類といった正当なメールを誤ってブロックしてしまうことをより懸念しがちです。
AIを活用したフィッシング：AIによって生成されるフィッシング攻撃は、多くの従来のメールフィルタが対応できる速度を上回るペースで進化しています。かつてはタイプミス検出やレピュテーションスコアリングに依存していた組織も、現在では、より強力な認証ベースおよび行動ベースの対策が必要となっています。

金融サービス業界におけるDMARCの導入と実施：各国比較

世界中の金融規制当局は、銀行に対しDMARCの設定を推進してきました。しかし、実際にDMARCを有効化するよう促した当局はごくわずかです。導入（DMARCレコードを持つこと）と実施（そのレコードをp=rejectに設定し、なりすましメールを単にログに記録するだけでなく完全にブロックすること）との間のこのギャップは、この業界におけるフィッシング攻撃への脆弱性が、技術的な問題であると同時に政策上の選択でもあることを最も明確に示す証拠です。
PowerDMARCの国別メールセキュリティ導入状況レポートでは、これを業界別に分析しています。最新の分析結果に基づき、7つの市場における金融セクターの状況を以下に示します。

国数	DMARCの導入（金融セクター）	DMARCの適用（金融セクター）	MTA-STS （金融セクター）
フランス	92.4%	63.3%	0.0%
ノルウェー	93.2%	44.7%	1.9%
米国	95.8%	49%	3.0%
カナダ	92%	42%	2.3%
スペイン	89.5%	38.1%	1.9%
ポーランド	83.7%	40.8%	0.0%
フィンランド	82.9%	31.7%	2.4%

2026年、金融機関はフィッシング攻撃にどう対処すべきか

1. DMARCを適用する

SPFおよびDKIMと併せて、パーキングドメインや防御用ドメインを含め、すべての送信ドメインにおいてDMARCをp=rejectに設定してください。これは現在、セキュリティ対策であると同時に、コンプライアンスの最低基準となっています。 2025年3月31日より義務化されるPCI DSS v4.0.1の要件5.4.1では、フィッシングを検知し、従業員を保護するためのプロセスおよび自動化された仕組みが求められており、PCIセキュリティ基準評議会自身のガイダンスでは、DMARC、SPF、DKIMが対策の例として挙げられています。当社の「PCI DSS 電子メールコンプライアンスガイド」では、この要件についてさらに詳しく解説しており、また「FTC セーフガード規則ガイド」では、銀行以外の金融企業に対する同等の要件について解説しています。

2. 帯域外での支払い確認を義務付ける

どんなに説得力のある依頼であっても、送金や支払詳細の変更については、必ずアウト・オブ・バンドによる複数人による確認を義務付けること。この単一の統制措置さえあれば、クレラン銀行の損失も、AFPの調査データで従来のCEO詐欺を凌駕しつつある「ベンダーなりすまし」の手口も、どちらも防ぐことができたはずである。

3. フィッシング対策機能を備えた認証を導入する

具体的には、FIDO2やハードウェアセキュリティキーを、支払い権限を持つあらゆるアカウントで導入することです。認証情報の収集やAiTM攻撃は、SMSコードや一部のアプリベースのMFAさえも無効化できてしまいます。しかし、正当なドメインと暗号的に紐付けられた認証は、こうした攻撃では破ることができません。MFA疲労やプッシュ通知の濫用に関する当社の分析では、なぜ脆弱なMFA手法が「破られる」のではなく、「迂回される」ケースが増えているのかについて解説しています。

4. AIを活用したフィッシング検知システムの構築

従来のシグネチャベースのフィルタに依存するのではなく、AIによって生成されたフィッシングを検知するための専用の機能を構築すべきです。AFPの2026年の調査データによると、2025年に決済詐欺の被害を受けた組織のうち、AIに対応した防御策を導入していたのはわずか17％でした。これは、脅威と対応策との間に大きな隔たりがあることを示しています。

5. スタッフの研修に注力する

従業員への研修では、一般的なフィッシング対策ではなく、実際の被害の背景にある具体的な手口について指導すべきです。CEO詐欺、ベンダーを装った詐欺、コールバック型フィッシングの手口は、上記のデータに実際に現れているパターンです。こうした具体的なシナリオに基づいた研修は、年に1回行われる「フィッシングメールを見分ける」といったモジュールよりも、はるかに効果的です。

6. サードパーティおよびベンダーによるリスクの把握

Marquis Software の事例は、たった 1 社のベンダーが侵害されただけで、そのベンダーと直接取引したことのない顧客を標的とした、数ヶ月にわたるフィッシングやアカウント乗っ取りの試行に必要な生データが、攻撃者の手に渡ってしまう可能性があることを示しています。

PowerDMARCが金融機関のこのギャップ解消にどのように役立つか

以上のすべてが、同じ結論を導き出しています。すなわち、金融サービス業界には可視性の問題はないということです。ほとんどの金融機関は、すでに自社のドメインを偽装している者が誰であるかを把握できています。彼らに欠けているのは、その可視性から実際の対策へと至る、迅速かつリスクの低い道筋と、それに伴うトランスポート層での保護対策なのです。

PowerDMARCは、銀行、信用組合、保険会社、フィンテック企業にとって、そのギャップを埋めることを目的に特別に開発されました：

p=reject へのガイド付き移行：監視から強制措置への移行は、正当なメールをブロックしてしまうことを恐れて、多くの組織が躊躇してしまうステップです。PowerDMARC は、安全でガイド付きの環境下で強制措置を自動化し、メールチャネル全体にわたる継続的な可視性を提供します。
SPFレコードの最適化：大手金融機関では、サードパーティベンダーをすべて含めると、10回のDNSルックアップという制限を日常的に超えてしまいます。これはまさに、正当なメールの配信を妨げる「サイレントエラー」の一種です。PowerSPFはこれらのレコードを自動的に圧縮するため、ベンダーリストが拡大しても認証が機能しなくなることはありません。
ホスト型MTA-STSおよびTLS-RPT：上記の国別データが示すように、どの国においても、トランスポート層の暗号化のギャップを解消した金融機関はほとんどありません。PowerDMARCのホスト型MTA-STSは、手動でのポリシーファイル管理を必要とせずに、受信メールを暗号化された通信経路に強制的に誘導します。この手動管理の煩わしさこそが、多くのチームがこの課題に取り組めない原因となっています。
規制の整合性：PCI DSS v4.0.1 の要件 5.4.1、FTC セーフガード・ルールの要件、および他市場の同等のフレームワークは、いずれも同一の電子メール認証およびフィッシング対策の制御策を指向しています。PowerDMARC のフルスタック型電子メール認証スイートは、コンプライアンスを直接サポートするように構築されています。
金融セクターのリスクを検知する脅威インテリジェンス：Marquis Softwareの事件のようなベンダーによる情報漏洩は、流出したデータが数ヶ月後に標的型フィッシングとして再利用される実態を浮き彫りにしています。当社のDMARC脅威インテリジェンスは、貴社のブランドを悪用したなりすまし攻撃を、顧客の受信箱に届く前に検知します。

貴機関の現状を確認しましょう。無料のドメインアナライザーでドメインを分析すれば、現在のSPF、DMARC、MTA-STSの状況を即座に把握できます！

結論

金融サービス業界がフィッシング攻撃の標的となるのは、不注意だからではありません。そこには巨額の資金が集中していること、そして現在、AI生成の餌、コールバック型フィッシング、ベンダーなりすましといった攻撃手法が横行していることが理由です。これらの攻撃手法は、多くの機関の防御体制よりも急速に進化しています。この業界ではDMARCの導入率は高いものの、実施率は低いという状況は、対策を導入していることと、実際にそれを活用して攻撃を阻止することとの間にギャップがあることを如実に示しています。

よくあるご質問

なぜ金融業界はフィッシング攻撃の標的として最も狙われやすいのでしょうか？

ベライゾンの「2025年DBIR」によると、この業界における情報漏洩の約90％は金銭的利益が動機となっている。これは、盗まれた認証情報や成功した電信詐欺が、直接金銭に結びつくためである。また、金融機関は正当な決済フローの中心に位置しているため、攻撃者にとっては、ほぼあらゆる要求に対してもっともらしい口実を提供することになる。

フィッシングとビジネスメール詐欺の違いは何ですか？

フィッシングとは、相手を騙して認証情報を明かさせたり、悪意のあるリンクをクリックさせたりしようとするあらゆる試みを包括する広範な概念です。ビジネスメール詐欺は、フィッシングの一種であり、通常はより標的を絞った形態です。これは、信頼できる相手（多くの場合、経営幹部やベンダー）になりすまし、正当な支払いや機密データの転送を不正に誘導しようとするものです。

フィッシングやBECは金融機関にどれほどの損害を与えているのか？

FBIの「2024年インターネット犯罪報告書」によると、米国だけで21,442件の苦情が寄せられ、BECによる被害額は27億7,000万ドルに上った。一方、CybelAngelの別の調査では、金融セクターにおけるデータ漏洩の1件あたりの平均被害額は590万ドルと推定されており、これには規制当局による罰金は含まれていない。

「ヴィッシング／コールバックフィッシング」とは何ですか？また、なぜ特に銀行が標的とされるのでしょうか？

コールバック型フィッシングは、詐欺メールやメッセージを利用して被害者に特定の電話番号へ電話をかけさせ、そこでオペレーターが被害者を説得して認証情報やワンタイムコードを明かさせる手口です。現在のコールバック型フィッシングに関するデータでは、金融機関が他のどのカテゴリーよりも多くなりすましの標的となっています。これは、銀行を装った偽の不正利用警告が、悪用されやすい切迫感を生み出すためです。

DMARCは、金融機関に対するフィッシング攻撃を防ぐことができるのでしょうか？

DMARCは、顧客やパートナーに送信されるメールにおいて、攻撃者が自社のドメインを偽装することを防ぎ、フィッシング攻撃の主要な経路の一つを遮断します。ただし、類似ドメインを利用するものや、顧客の受信トレイを直接標的とするものなど、すべてのフィッシング攻撃を阻止できるわけではありません。そのため、より広範な防御体制の一環として活用するのが最も効果的です。

金融サービス業界において、BECに対する最も効果的な防御策は何か？

支払いまたは支払い詳細の変更依頼に対して、帯域外での複数人による確認を行うことは、電子メールを利用したソーシャルエンジニアリングが依存する単一障害点を排除するため、実際のBEC被害を食い止める上で最も直接的に結びつく対策である。

について
最新記事

Ahona Rudra

ドメインおよびメールセキュリティの専門家（所属： PowerDMARC

AhonaはPowerDMARCのマーケティングマネージャーで、サイバーセキュリティのトピックについて5年以上の執筆経験があり、ドメインと電子メールのセキュリティを専門としている。ジャーナリズムとコミュニケーションの卒業後学位を取得し、2019年からセキュリティ分野でキャリアを固めている。

最新記事 by Ahona Rudra(全て見る)

金融サービス業界におけるフィッシング：2026年の攻撃動向、コスト、および防御策 - 2026年8月7日
2026年のトップメールレピュテーションサービス - 2026年8月6日
FAXのセキュリティ：2026年に機密文書を保護するための完全ガイド - 2026年7月30日