リアルタイムフィッシングとは？ワンタイムパスワードも狙う手口

リアルタイムフィッシングとは、利用者が偽サイトへ入力したID・パスワード・ワンタイムパスワードを、攻撃者が有効時間内に正規サイトへ中継して認証を突破する手口です。単に認証情報を保存して後日使う従来型とは異なり、利用者のログイン操作と攻撃者の不正ログインがほぼ同時に進みます。

2026年10月15日時点では、ワンタイムパスワード（OTP）を設定しているだけでフィッシング耐性が得られるとはいえません。重要なのは、多要素認証をやめることではなく、パスキーなど偽ドメインで認証が成立しにくい方式へ移行し、公式アプリや保存済みブックマークからアクセスすることです。本記事では、攻撃の再現につながる実装方法には触れず、被害が成立する仕組み、予防操作、被害時の初動を解説します。

リアルタイムフィッシングでは認証情報がどう中継される？

典型的な流れは、銀行、通販、カード会社、通信事業者などを装うメールやSMSから始まります。「利用停止」「本人確認」「支払い失敗」などの文面で偽サイトへ誘導し、最初にIDとパスワードを入力させます。偽画面は受け取った情報を攻撃者側へ渡し、攻撃者は直ちに正規サイトへのログインを試みます。

正規サービスが追加認証を要求すると、利用者の端末にはSMS、メール、認証アプリなどでワンタイムコードが届きます。偽サイトも続けて「確認コードを入力してください」と表示するため、利用者は自分のログイン処理だと思ってコードを入力します。そのコードが有効なうちに正規サイトへ中継されると、攻撃者側のログインが成立します。

警察庁の「令和6年におけるサイバー空間をめぐる脅威の情勢等について」も、偽のログイン画面とワンタイムパスワード入力画面を介して情報がリアルタイムに転送される流れを図示しています。ログイン後に得られたセッション情報が悪用されれば、コードの有効期限が切れた後も、サービス側がセッションを無効化するまで操作を続けられる場合があります。

偽サイト側でエラーや読み込み中の画面を表示し、その裏で不正ログインを進めるケースもあります。「最後はエラーになったから情報は送信されていない」とは判断できません。ID、パスワード、コードのいずれかを入力した時点で対処を始める必要があります。

コード入力後に画面が止まっても安心せず、公式窓口からログイン履歴を確認しましょう。

ワンタイムパスワードが1回限りでも突破されるのはなぜ？

ワンタイムパスワードは、固定パスワードの使い回しや過去に盗まれたコードの再利用を難しくします。しかし、正しい利用者が、その時点で有効なコードを偽サイトへ渡してしまう状況までは防げません。攻撃者がコードをリアルタイムに正規サイトへ入力すれば、「1回限り」という性質を攻撃者が先に利用できるからです。

フィッシング対策協議会の「フィッシング対策ガイドライン 2026年度版」は、利用者へ送られたワンタイムパスワードを盗んで悪用する攻撃があるため、単にOTPを利用するだけではフィッシング耐性があるとはいえないと説明しています。同ガイドラインは、コード通知に「ログイン」「振込」「登録情報変更」などの目的を含め、利用者が意図しない処理に気づける設計も挙げています。

SMSと認証アプリでは盗聴などへの強さに違いがありますが、利用者が偽画面へ表示コードを入力する方式には共通の弱点があります。一方、承認プッシュではコードを入力しなくても、「承認」を押すだけで攻撃者のログインを許可する場合があります。攻撃者が通知を繰り返し送り、利用者が根負けしたり普段の操作と取り違えたりする「承認疲れ」も問題です。

ただし、OTPやアプリ認証が無意味ということではありません。固定パスワードだけより防御層を増やせます。パスキーに未対応のサービスではOTPを有効にし、通知に表示されるサービス名、操作目的、時刻、地域、端末、照合番号を確認する運用が現実的です。

自分から始めていない認証通知は、回数にかかわらず承認せず拒否してください。

偽サイトと正規サイトのドメインはどこを確認する？

確認対象はページのロゴやデザインではなく、ブラウザのアドレスバーに表示されるホスト名です。URLが「https://」で始まることや鍵アイコンが表示されることは、通信が暗号化されている目印であり、運営者が正規企業である証明ではありません。偽サイトもHTTPSを利用できます。

スマートフォンではアドレスバーを一度タップし、URL全体を表示します。「example-bank.co.jp.evil.example」の正規登録ドメインは末尾側の「evil.example」であり、先頭に企業名が含まれていても正規サイトではありません。文字の置き換え、余分なハイフン、不自然なサブドメイン、短縮URLにも注意します。ただし、目視だけには限界があるため、メールやSMS中のリンクを入口にしないことが優先です。

銀行やカード会社はApp StoreまたはGoogle Playで提供元を確認して入れた公式アプリから開きます。ブラウザを使う場合は、初回に契約書、カード台紙、公式アプリなど信頼できる経路でURLを確認してブックマークへ保存します。iPhoneのSafariは共有ボタンから「ブックマークを追加」、Android版Chromeはメニューから星印または「ブックマークに追加」を選びます。画面名はOS・ブラウザの版で異なる場合があります。

検索結果の広告枠やSNS広告からログインページへ進むことも避けます。通知の真偽を調べるときは、メッセージ内の電話番号ではなく、カード裏面や公式アプリ内の「お問い合わせ」を使います。基本的な見分け方は、LUFTMEDIAのフィッシング詐欺の手口と対策ガイドも参考にしてください。

ドメインに迷ったら入力を中止し、公式アプリか保存済みブックマークから入り直すのが安全です。

パスキーを登録してFIDO2・WebAuthnで守るには？

パスキーはFIDO2/WebAuthnを基礎とする認証方式です。端末側の秘密鍵とサービス側の公開鍵を使い、顔・指紋・端末のPINなどで本人確認します。秘密鍵そのものをログイン先へ送らず、認証先のドメインと結び付けて処理するため、正規サイトを模倣した別ドメインでは通常、同じパスキーを使った署名が成立しません。

CISAの「More than a Password」は、広く利用できるフィッシング耐性のある認証としてFIDO/WebAuthnを挙げています。FIDO Allianceの解説資料も、RP IDとオリジンの検証によって、指定されたドメインまたは許可された範囲でのみパスキー認証が使われる仕組みを説明しています。

2026年10月15日時点で、設定画面や同期方式はサービス、OS、ブラウザによって異なります。まず対象サービスの公式アプリまたは公式サイトへ安全な経路でログインし、「アカウント」「セキュリティ」「ログインとセキュリティ」「パスキー」などを開きます。「パスキーを作成」「パスキーを追加」を選び、iPhone・iPadではFace ID、Touch IDまたは端末パスコード、Androidでは画面ロックの指紋・顔・PINなどで確定します。WindowsではWindows Hello、macOSではTouch IDや端末パスワードが使われる場合があります。

「パスキー」が見つからない場合は、アプリとOSを公式更新機能で更新し、サービスの対応状況を公式ヘルプで確認します。会社管理端末では管理ポリシーが登録を禁止していることがあるため、勝手に制限を解除せず管理者へ相談します。登録後は一度ログアウトし、公式ページからパスキーで再ログインできるか確認してください。復旧用メールアドレスや電話番号が古いと、弱いアカウント回復経路を狙われるため同時に更新します。

複数端末を使う人は、パスキーの同期範囲と紛失時の復旧方法を確認します。共有PCには個人用パスキーを残さず、提供される場合は別の自分の端末やハードウェアセキュリティキーを予備として登録します。なお、パスキー対応後もパスワードログインやSMSによる復旧が残るサービスでは、その代替経路が狙われる可能性があります。

パスキー登録後は、復旧先と予備の認証手段まで確認して初めて移行完了です。

公式アプリ・ブックマークから安全にログインする操作は？

メッセージを受け取った直後ほど、リンクを押さずに別経路を使います。スマートフォンではメッセージアプリを閉じ、ホーム画面から登録済みの公式アプリを直接起動します。アプリ内の「お知らせ」「メッセージ」「利用明細」「重要なお知らせ」を開き、同じ案内が存在するか確認します。案内が見当たらなければ、メール側の操作を続けません。

アプリが入っていない場合は、保存済みブックマークから開きます。ブックマークがなければ、契約時の書類やカード裏面に記載された公式URLを参照します。検索を使わざるを得ない場合も、広告表示を避け、運営会社名、ドメイン、公式サイト内の会社概要を照合してから、以後使うページを保存します。

パスワード管理機能が正規ドメインでだけ候補を提示する設定も補助になります。普段は自動入力されるのに突然候補が出ない場合、手入力で先へ進まずURLを再確認します。ただし、同一サービスの正規サブドメインやアプリ内ブラウザでは候補が出ない場合もあるため、自動入力されないことだけで偽物とは断定しません。

PCではメール内リンクへマウスポインターを合わせるとリンク先が表示される場合がありますが、表示確認だけに依存せず、新しいタブからブックマークを開きます。企業アカウントの場合は、社内ポータルや会社指定のSSO画面を入口にし、不審なページを開いた時点で情報システム部門へ報告します。

通知を確認するときは、届いたリンクではなく「いつもの入口」を開く習慣を作りましょう。

認証プッシュの承認疲れを防ぐ設定と確認項目は？

身に覚えのない承認通知が来たら、「承認」ではなく「拒否」「いいえ、私ではありません」などを選びます。通知を消すだけでは要求が残る製品もあるため、拒否後に公式アプリの「セキュリティ」「最近のアクティビティ」「ログイン履歴」を確認します。番号照合が表示される方式では、ログイン画面と通知に出た番号が一致し、自分が開始した操作である場合だけ進めます。

連続通知が煩わしくても、認証アプリの通知をOS側で恒久的に切ると、正規の警告も見逃します。iPhoneでは、2026年10月15日時点の表示例として「設定」→「アプリ」→対象の認証アプリ→「通知」→「通知を許可」を確認します。OSの版によっては「設定」→「通知」→対象アプリです。集中モードや時刻指定要約に入っている場合は、認証通知を即時に確認できる設定へ調整します。

Androidでは機種差がありますが、一般に「設定」→「通知」→「アプリの通知」→対象アプリ、またはアプリアイコン長押し→「アプリ情報」→「通知」から確認します。項目が見つからなければ設定画面上部で「通知」を検索してください。通知を有効にしても届かない場合は、バッテリー最適化、バックグラウンド制限、通信制限、日時の自動設定を確認し、サービスの公式サポートへ相談します。

通知が繰り返される場合は承認せず、正規サイトからパスワードを変更し、全セッションからログアウトします。会社のアカウントなら、通知の時刻、表示された地域・端末、回数を記録して管理者へ連絡します。CISAも、フィッシング耐性のあるMFAへ移行できない場合の改善策として番号照合を挙げています。

通知の多さを理由に押すのではなく、いったん拒否してログイン履歴を調べてください。

偽サイトへ入力した直後にセッションを失効させるには？

最初に、偽サイトを閉じて公式アプリまたは自分で保存したURLを開きます。まだログインできるなら「アカウント」→「セキュリティ」→「ログイン中の端末」「セッション」「デバイス管理」などへ進み、見覚えのない端末を個別にログアウトします。「すべての端末からログアウト」「全セッションを終了」があれば実行します。名称や、現在の端末までログアウトされる条件はサービスごとに異なるため、2026年10月15日時点の公式ヘルプを確認してください。

次にパスワードを変更します。同じパスワードを使った別サービスも、それぞれ異なる新しい文字列へ変更します。変更は偽サイトを開いた端末以外の、更新済みで信頼できる端末から行うのが無難です。パスワード変更だけでは既存セッションが残るサービスもあるため、セッション失効とセットで実施します。登録メールアドレス、電話番号、転送設定、配送先、振込先、API連携、アプリ連携に不審な変更がないかも確認します。

金融情報を入力した場合は、取引の有無を待たず、銀行やカード会社の公式窓口へ連絡します。カード裏面、通帳、公式アプリに記載された番号を使い、フィッシングサイトへ入力した項目と時刻を伝えます。利用停止、出金制限、カード再発行、振込先登録の確認など、必要な措置は金融機関の指示に従います。警察庁のフィッシング対策ページも、被害サービスの提供会社への相談、パスワード変更、警察への相談を案内しています。

会社アカウントでは自己判断で証拠を消さず、URL、受信メッセージ、入力した情報の種類、発生時刻、通知内容を記録して担当部署へ報告します。不正アクセスの手口とセッション確認については、LUFTMEDIAの不正アクセスの代表的な手口と防止策も参照できます。

パスワード変更だけで終えず、ログイン中の端末と連携アプリも切断しましょう。

被害後は金融機関・警察への連絡と端末検査をどう進める？

不正送金やカード利用がある、または金融情報を入力した場合は、金融機関の緊急窓口へ先に連絡します。日時、金額、取引先、入力情報、届いたSMS・メールを整理し、受付番号を控えます。その後、最寄りの警察署または警察庁が案内する「サイバー事案に関する通報等のオンライン受付窓口」へ相談します。金銭被害が未確定でも、アカウントを奪われた、不審な送金予約があるといった状況を具体的に伝えてください。

証拠として、メールやSMSの本文、送信元、URL、ブラウザ履歴、偽画面、認証通知、ログイン履歴、金融機関との受付記録を保存します。スクリーンショットだけでURLが省略される場合は、共有やコピー機能で文字列も記録します。ただし、偽URLへ再アクセスして撮影し直す必要はありません。企業端末では保存方法を管理者の指示に合わせます。

偽サイトへ文字を入力しただけで、直ちに端末がマルウェアへ感染したとは限りません。一方、偽アプリ、構成プロファイル、ブラウザ拡張機能、遠隔操作ソフトを追加した場合は端末侵害も疑います。iPhoneでは「設定」→「一般」→「VPNとデバイス管理」で身に覚えのない構成を確認し、見つけても業務管理端末なら削除前に管理者へ相談します。Androidでは「設定」→「アプリ」→「すべてのアプリ」や「セキュリティとプライバシー」から、最近入れた不審アプリ、端末管理アプリ、ユーザー補助権限、VPNを確認します。メーカーにより画面名が異なるため、設定内検索も使います。

PCではOS、ブラウザ、セキュリティ製品を公式更新機能で最新状態にし、標準または導入済み製品のフルスキャンを実行します。不明な拡張機能、プロキシ、遠隔操作アプリ、スタートアップ項目も確認します。検出がある、勝手な操作が続く、管理者権限を渡した可能性がある場合はネットワークから切り離し、組織の担当者または端末メーカーの正規サポートへ相談します。

セキュリティソフトは既知の不正サイトやマルウェアの検知に役立ちますが、利用者が新しい偽サイトへ有効なコードを入力し、その場で中継される行為を常に防げるわけではありません。公式アプリ、ドメイン確認、パスキー、通知の照合、セッション管理を組み合わせることが重要です。怪しいメールの報告操作は、LUFTMEDIAのGmailの迷惑メール・フィッシング報告設定も参考になります。

金銭被害は金融機関への連絡を優先し、証拠を残して警察と端末管理者へ相談しましょう。

参照した公式情報

• 警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」
• 警察庁「フィッシング対策」
• フィッシング対策協議会「フィッシング対策ガイドライン 2026年度版」
• CISA「More than a Password」
• FIDO Alliance「Passkeys: The Journey to Prevent Phishing, Part 1」