「見破った」が油断になる——二段階フィッシングの手口と対策

警視庁は2026年6月15日、「1通目を見破った人を2通目でだます」二段階式フィッシングメールへの注意を呼びかけました。フィッシングを見破れた経験が、次のメールを確認しない油断につながる——セキュリティ意識の高い人ほど陥りやすい構造です。結論として、メール・SMSのリンクは「前に1通見破ったから」に関わらず毎回URLを確認する習慣が有効です。

手口の流れ

二段階フィッシングは次の手順で進みます。まず、文面が雑で送信元アドレスも不自然な「誰でも見破れる粗いフィッシングメール」を送ります。受け取った人は「これはすぐわかった」と自信を持ちます。次に、より自然な文面・正規に見えるURL・なじみのあるブランド名を使った精巧な本命フィッシングメールを送ります。1通目で自信を持った人は、2通目のチェックが甘くなりがちです。これが攻撃者の意図した流れです。

なぜ効くかというと、人は「自分は騙されにくい」という成功体験を積むと警戒が下がります。これは心理的な防衛反応の裏側で、意図的に活用される手口です。

もう一つの「二段階」——宿泊予約サイトを悪用する事業者経由型

「二段階フィッシング」と呼ばれる手口には、事業者側がまず狙われる型もあります。攻撃者が1段階目で宿泊施設など事業者のアカウントを乗っ取り、2段階目で予約サイトの正規のメッセージ機能を通じて利用者に連絡する流れです。宿泊予約サイトBooking.comの利用者では、実際に予約した内容と一致する「支払い確認」などの連絡が届いて偽の決済ページに誘導される被害が報じられ、ホテル業界団体も注意喚起を行っています（出典：東洋経済オンライン）。

この型が見破りにくいのは、連絡が正規のメッセージ機能から届き、実在の予約情報まで含まれている点です。「本物の情報が書いてあるから本物」とは判断できません。対策は、正規のルートで届いた連絡であっても、追加の支払い・カード情報の再入力を求めるリンクはその場で踏まないこと。予約サイトの公式アプリや公式サイトに自分でアクセスして予約状況・支払い状況を確認し、不審な場合は宿泊施設に電話で直接確認してください。

対策の考え方

防ぐポイントは1つで、「前に1通見破ったから安全」という思考パターンを持ち込まないことです。メール・SMSのリンクは毎回同じ手順で確認します。具体的には、(1) リンクを踏む前にURLを目視確認する（PCはカーソルをリンクに乗せてアドレスバーで確認）、(2) 不自然なURLや短縮URLはリンクを踏まず公式サイトへ直接アクセスする、(3) 届いた順番や本数に関係なく、都度確認する——この3つが基本です。

フィッシング全般の見抜き方はフィッシング詐欺を見抜く5つのポイント、リンクを踏んだ後の対処は詐欺サイトを踏んだ直後の対処に整理しています。

受け取ったら報告する

フィッシングメールを受け取ったら、リンクを開かない状態でフィッシング対策協議会（info@antiphishing.jp）へ転送して報告できます。報告が手口の早期把握・公開注意喚起につながります。被害が出てしまった場合は消費者ホットライン「188」または都道府県警のサイバー犯罪相談窓口に相談してください。

詐欺・防犯まとめ：この記事は詐欺・防犯まとめの一部です。手口を知る・被害に遭ったときの対処・ふだんの守りまでを一覧で整理しています。判断に迷うときは、お金を動かす前に消費者ホットライン188（いやや）・警察相談専用**#9110**（緊急時は110番）へ。 偽メール・偽SMS・偽サイトは、フィッシング対策協議会（info@antiphishing.jp）にも情報提供できます。