リアルタイムフィッシングの手口と対策｜多要素認証でも防げない？

公開日：2026年08月13日

※当サイトはアフィリエイトプログラムを利用しています。

銀行や証券口座を狙った不正アクセス被害が急増しています。

フィッシング対策協議会が2026年に公開した年間報告によると、2025年1月〜12月に寄せられたフィッシング報告件数は過去最多の約245万件にのぼり、2024年の約1.43倍に増えました。
3月には月間で約25万件と、月ベースでも過去最多を更新しています。

こうした急増の背景の一つとして注目されているのが、「リアルタイムフィッシング」と呼ばれる手口です。
海外では「AiTM(Adversary-in-the-Middle、中間者)攻撃」と呼ばれ、2022年にMicrosoftが警戒を呼びかけたことで広く知られるようになりました。

従来のフィッシング詐欺と異なり、攻撃者はユーザーが入力したID・パスワードやワンタイムパスワードをその場で盗み取り、ほぼ同時に正規サイトへログインしてしまいます。

「2段階認証を設定しているから大丈夫」と思っていた人ほど、油断しがちです。
この記事では、リアルタイムフィッシング(AiTM)の仕組みと被害の実態、私たちが今日からできる具体的な対策を解説します。

目次
リアルタイムフィッシング(AiTM)とは
攻撃の具体的な流れ
・犯罪の産業化が攻撃を可能に
リアルタイムフィッシング被害の実態
・日本国内の実被害としてすでに定着
・証券口座が直接的な被害に
ユーザーができるリアルタイムフィッシング対策
企業やサービス提供者側の対策
周囲も巻き込んで今出来る対策を

詐欺の心配一切なし！ワクワクメールへＧＯ

リアルタイムフィッシング(AiTM)とは

リアルタイムフィッシングとは、攻撃者がフィッシングサイトを用意し、被害者が入力した認証情報をリアルタイムで正規のサイトへ転送・入力することで、不正にログインする詐欺手法です。

海外のセキュリティ業界では「AiTM(Adversary-in-the-Middle)攻撃」と呼ばれていて、攻撃者が用意した「逆プロキシ」と呼ばれる中継サーバーが、ユーザーと正規サイトの間に入り込んで通信をそのまま中継する構造を持っています。

従来のフィッシングは、盗んだ情報を後から使おうとするため、ワンタイムパスワードの有効期限が切れて失敗するケースが多くありました。
AiTM型のリアルタイムフィッシングでは、ユーザーが情報を入力したその瞬間に攻撃者が正規サイトへアクセスするため、有効期限内に認証を突破できてしまうのです。

項目	従来型フィッシング	リアルタイムフィッシング(AiTM)
情報の利用タイミング	後から(数時間〜数日後)	ほぼ即時(数秒〜数分)
多要素認証の突破	難しい場合が多い	セッションCookieごと奪われ突破される
被害発生までの時間	比較的遅い	非常に速い
見破りにくさ	比較的容易	正規の通信をそのまま中継するため困難

時間差がないことに加え、鍵マーク(TLS証明書)が表示されていても油断できない点が、更に騙しやすい仕組みといえます。
ユーザーがアクセスしているのは攻撃者の中継サーバーですが、そのサーバー自体が正規の証明書を取得しているため、URLをよく確認しないと見分けがつきません。

目次へ

攻撃の具体的な流れ

典型的な攻撃の流れは、次のとおりです。

1️⃣攻撃者が「不正ログインの検知」「口座の一時停止」「追加認証が必要」などと偽ったメールやSMSを送り、偽サイトへ誘導する。

2️⃣ユーザーが偽サイト(実態は攻撃者が用意した中継サーバー)でIDとパスワードを入力する。

3️⃣攻撃者側のシステムがその情報を即座に正規サイトへ中継し、正規サイト側がワンタイムパスワードやプッシュ通知を発行する。

4️⃣正規サイトからユーザーのスマートフォンなどに認証コードが届く。

5️⃣偽サイト上で「認証コードを入力してください」と表示され、ユーザーが入力する。

6️⃣攻撃者はそのコードとログイン後のセッションCookieをまとめて奪い取り、ログインに成功。不正送金や資産の移動を実行する。

特に危険なのは、ユーザーから見ると「いつもどおりのログイン手順」に見える点。
攻撃者はユーザーと正規サイトの間に入り込み、通信をそのまま中継しているため、画面の見た目も本物と同一。

犯罪の産業化が攻撃を可能に

こうした攻撃を可能にしているのが、「EvilProxy」や「Tycoon 2FA」といった、攻撃キットをサービスとして提供する「PhaaS(Phishing-as-a-Service)」の存在。
オープンソースの中継ソフトを土台に作られたものもあり、専門知識がなくても比較的容易にAiTM型のフィッシングサイトを構築できてしまう状況が、被害拡大の一因になっています。

さらに2026年6月には、こうした「詐欺の産業化」が生成AIによって一段と加速している実態が明らかになりました。
Googleは、中国を拠点とする犯罪組織「Outsider Enterprise」を提訴したことを公表しています。

88ドルで誰でも詐欺師に？Googleが「Gemini悪用組織」を提訴した衝撃の内幕

同組織は、プログラミングの知識がない者でも数分でフィッシングサイトを構築できるアプリをサブスクリプション形式(週額88ドルまたは月額200ドル)で販売。
Google・YouTube・郵便公社など信頼性の高いブランドを模した290種類超のテンプレートに加え、リアルタイムのキーロギング機能や攻撃成果を追跡するダッシュボードまで備えていました。

Googleの訴状によれば、組織内では同社の生成AI「Gemini」を使ってフィッシングサイトのコードを作成する手順まで共有され、高度な技術を持たない攻撃者でも説得力のある詐欺コンテンツを大量生産できる状態になっていたとされています。

PhaaSに生成AIが組み合わさることで、フィッシングサイトの作成コストと技術的ハードルは今後さらに下がっていくでしょうね。

詐欺の心配一切なし！
信頼のワクワクメールへＧＯ

目次へ

リアルタイムフィッシング被害の実態

リアルタイムフィッシング(AiTM)が危険な最大の理由は、多要素認証を無力化してしまう点。

SMSで届くワンタイムパスワードや認証アプリのコードだけでなく、ログイン後に発行されるセッションCookieまでもがリアルタイムで奪われてしまいます。
いったんログインに成功した攻撃者は、その後の認証をスキップして正規サイトにアクセスし続けられるのです。

日本国内の実被害としてすでに定着

警察庁サイバー警察局が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和7年(2025年)3月から5月にかけて証券会社をかたるフィッシングメールの送信や証券口座への不正アクセス・不正取引が急増しました。

※こちらは警察庁サイバー警察局のレポートにあるグラフの視認性を上げたものになります。

同年の証券口座への不正アクセス件数は1万7,668件、不正取引件数は9,824件、不正売買金額は約7,408億円、証券会社をかたるフィッシングメール報告件数は31万6,414件にのぼり、深刻な被害が生じています。

同レポートは、令和元年頃から「リアルタイム型フィッシング」によって二段階認証を突破する手口が横行していると明記していて、リアルタイムフィッシングが単なる海外の脅威ではなく、日本国内の実被害として定着していることがわかります。

この件では令和7年11月、サイバー特別捜査部と警視庁等が、不正アクセスにより他人の証券口座を操作して相場操縦を行っていたとして中国籍の男を金融商品取引法違反・不正アクセス禁止法違反で逮捕しています。

証券口座が直接的な被害に

なお、同じフィッシングの標的でも、証券口座とインターネットバンキングでは被害の出方が異なります。

令和7年の不正売買金額(約7,408億円)は、インターネットバンキングの不正送金被害額(約103億9,700万円)の70倍近い規模であり、不正アクセス件数(1万7,668件)もネットバンキングの不正送金発生件数(4,747件)を上回っています。

一方でインターネットバンキングは、フィッシングそのものの標的というより、特殊詐欺やSNS型投資・ロマンス詐欺で盗んだ資金の「振込先」として悪用される比重が大きいのが特徴。
特殊詐欺の振込型被害のうちネットバンキング利用分は件数で約4割・被害額で約6割、SNS型投資・ロマンス詐欺では件数で約7割・被害額で約8割を占めています。

2025年に限って言えば、リアルタイムフィッシングによる直接被害という点では証券口座のほうが規模・急増ペースともに際立っていたといえます。

こうした事態を受け、日本証券業協会は2025年10月15日、「インターネット取引における不正アクセス等防止に向けたガイドライン」を改正しました。

この改正では、フィッシングに耐性のある多要素認証(パスキーやPKIをベースとしたもの)のログイン時の実装を必須とし、原則2026年6月末までの対応を証券会社に求めています。

金融庁と警察庁も2025年7月、日本証券業協会を含む金融関係協会に対し、送信ドメイン認証技術(DMARC)の普及促進、フィッシングサイトの閉鎖促進、パスキー導入促進の3点を連名で要請しました。

被害に遭った人の多くは「正規のサイトだと思っていた」「認証コードが届いたので普通に入力した」と振り返っています。
気づいたときにはすでに不正操作が完了しているケースがほとんどです。

こういった、本物らしさから疑う気持ちが薄れてしまう状態は、フィッシング以外の詐欺手口にも共通する心理構造です。
疑わないように仕向けるのは、詐欺師の最も得意とする部分でもありますね。

ユーザーができるリアルタイムフィッシング対策

個人でできる対策を、優先度の高い順にまとめます。もしまだ、あなた利用中のサービスで対策していないなら、今すぐ始めてくださいね。
面倒だと感じる部分もあるかもしれませんが、あなたを守るのはあなた自身だということを忘れないでください。何かあってからでは、もっと面倒なことになりますから。

パスキー(FIDO2/WebAuthn)を設定する
パスキーは、認証時にアクセス先のドメインを端末側で自動的に検証する仕組みを持っています。
偽サイトのドメインでは認証そのものが成立しないため、AiTM型の攻撃に対して現在もっとも有効な対策とされています。

証券会社をはじめ、対応サービスが増えているので、案内が来たら早めに切り替えましょう。

公式アプリやブックマークからアクセスする
メールやSMSに記載されたリンクは、原則としてクリックしない。
必ず公式サイトやアプリからログインする習慣をつけましょう。習慣化すると何かあっても違和感を覚えやすくなるという利点もありますよ。

不審なタイミングでの追加認証を拒否する
自分がログイン操作していないのに認証コードが届いた場合や、ログイン直後に通常求められない暗証番号を要求された場合は、すぐに操作を中止してください。鉄則です。

URLと証明書の発行先を確認する
鍵マークがあるからといって安全とは限りません。
アドレスバーのドメイン名が正規のものと一字一句一致しているかを必ず確認しましょう。

ログイン通知やデバイス制限を活用する
サービス側で提供されている「新しい端末からのログイン通知」や「登録端末以外からのアクセス制限」を有効にしておきましょう。

被害が疑われる場合の即時対応
不審な操作に気づいたら、すぐにサービス提供者に連絡し、パスワード変更とセッションの無効化を依頼してください。

企業やサービス提供者側の対策

ユーザー個人の注意だけでは限界があります。サービスを提供する側も、以下の対策が求められています。

パスキーなどフィッシング耐性の高い認証方式の導入・必須化
異常なログイン挙動の監視と検知
セッション管理の強化
利用者への継続的な注意喚起と、フィッシングサイト発見時の迅速な対応

日本証券業協会は前述のガイドライン改正で、こうした対策を業界横断で求める姿勢を明確にしています。
証券業界に限らず、同様の対応は今後ほかの金融サービスにも広がっていくと見られます。

周囲も巻き込んで今出来る対策を

リアルタイムフィッシング(AiTM)は、技術と社会工学を組み合わせた非常に高度な攻撃です。
PhaaSの普及によって攻撃の実行ハードルはむしろ下がっていて、「多要素認証があれば安全」という前提はもはや通用しにくくなっています。

一方で、パスキーの普及や利用者側の意識向上によって、防げる被害も確実に増えていきます。
日本証券業協会のように、業界団体が具体的な期限を切って対応を求める動きも出てきました。
技術的な対策と、日頃のちょっとした注意の両輪が重要です。

今日からできることとして、まずは公式アプリからログインする習慣をつけ、可能であればパスキーの設定を検討してみてください。
小さな行動が、大きな被害を防ぐ第一歩になります。

そして、あなた自身だけでなく、ご家族はどうでしょう？親しい方へも気を配ってあげましょう。