ワンタイムパスワードを入れても、ネットバンキングを乗っ取られる「リアルタイム型フィッシング」。2025年の不正送金は4,747件・約103億9,700万円、手口の約9割がフィッシング【警察庁・IPA】
銀行を名乗るメールやSMSのリンクから、本物そっくりのサイトにIDとパスワードを入力。すると攻撃者がその場でログインし、届いたワンタイムパスワードまで偽サイトに入れさせて、二段階認証を突破します。警察庁によると、2025年のインターネットバンキングの不正送金は4,747件、被害総額は約103億9,700万円で、手口の約9割がフィッシングでした。フィッシングの報告件数は245万4,297件で増え続けています。IPAのハンドブックが挙げる対策(リンクから開かない、パスキー・多要素認証、ログインアラートなど)をまとめます。
プレ男ネットバンキングはワンタイムパスワードを設定してるから、パスワードがもれても大丈夫でしょ?
メル美偽サイトにワンタイムパスワードまで入れさせて、その場でログインする手口があるんだって。
こんにちは、Dr. Taro です。 今回はネットバンキングの不正送金とリアルタイム型フィッシングです。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」と、IPA(独立行政法人情報処理推進機構)の「情報セキュリティ10大脅威 2026 [個人編]」ハンドブックをもとにまとめました。
2025年の不正送金は約104億円
- 2025年のインターネットバンキングの不正送金は4,747件、被害総額は約103億9,700万円
- その手口の約9割がフィッシングでした
- フィッシング対策協議会へのフィッシングの報告件数は245万4,297件で、右肩上がりに増えています
リアルタイム型フィッシングのしくみ
- 銀行などを名乗る偽のメールやSMSのリンクから、フィッシングサイト(偽サイト)に誘導される
- 偽サイトにIDとパスワードを入力すると、攻撃者がすぐに(リアルタイムで)それを使って本物のサイトにログインする
- 本人あてにワンタイムパスワードが届き、それを偽サイトに入力(または電話で伝える)してしまうと、二要素認証を有効にしていても攻撃者がログインできてしまう
- 警察庁によると、2019年ごろから、この手口で二段階認証を突破する手口が横行しています
プレ男ワンタイムパスワードがあっても、偽サイトに入れたら意味がないのか…。
電話で聞き出す「ボイスフィッシング」も
- 銀行の更新手続などをかたって企業に電話し、メールアドレスを聞き出してフィッシングメールを送るボイスフィッシングで、法人口座の不正送金が急増した時期がありました
- 発信元が国際番号、自動音声のあと人の声に切りかわる、通話中にメールアドレスを聞かれリンクつきメールが送られる、といった特徴があります
- 警察庁は、銀行から電話があったら営業店や代表電話に折り返して本物か確かめる、ネットバンキングは銀行の公式サイト・アプリからアクセスする、といった対応をすすめています
予防と早期発見(IPAのハンドブック)
- 多要素認証や本人認証サービス(3Dセキュアなど)が使える銀行をできるだけ使い、設定を有効にする
- パスキーが使えるときは、できるだけ使う
- パスワードは推測されにくく、長く、使い回さない
- 相手の言い分(電子証明書の更新、ネット銀行の情報更新など)や、名乗る組織名・肩書をむやみに信用しない
- メールやSMSのリンクを安易にタップしない。添付ファイルを安易に開かない
- セキュリティソフトのアクセスブロックで危険なサイトをブロック
- ログインアラートや利用状況の通知を使い、ログイン履歴や利用履歴を定期的に確かめる
ネットバンキングには、メールやSMSのリンクからではなく、銀行の公式サイトやアプリからアクセスしましょう。偽サイトにワンタイムパスワードを入力すると、二要素認証を設定していてもログインされてしまうことがあります。
偽SMSの手口は「お荷物をお届けにあがりましたが不在でした」のSMSは開かない、パスキーは「パスキー」って何、ネットの10大脅威はスマホとネットの「10大脅威」2026年版(個人編)へ。
プレ男銀行は公式アプリからしか開かない。パスキーも設定する。
メル美ログインのお知らせメールもオンにしておこうね。
まとめ
- 2025年のネットバンキング不正送金は4,747件・約103億9,700万円、手口の約9割がフィッシング
- リアルタイム型フィッシングは、偽サイトに入れたワンタイムパスワードまで使って二段階認証を突破
- 銀行には公式サイト・アプリからアクセス、電話は折り返して確認
- パスキー・多要素認証、ログインアラート、履歴の確認
参考文献
- 警察庁. 令和7年におけるサイバー空間をめぐる脅威の情勢等について. https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf (閲覧日:2026年10月12日)
- 独立行政法人情報処理推進機構(IPA). 情報セキュリティ10大脅威 2026 [個人編] ハンドブック(インターネットバンキングの不正利用). https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/setsumei_2026_kojin.pdf (閲覧日:2026年10月12日)
この記事は一般的な情報提供を目的としたもので、個別の診断・治療に代わるものではありません。 気になる症状や不安がある場合は、医療機関にご相談ください。