情報処理推進機構（IPA）は10月23日、個人向けの「情報セキュリティ安心相談窓口」と企業・組織向けの「サイバーセキュリティ相談窓口」に、7月1日から9月30日までに寄せられた相談の状況を公表した。個人向け窓口の相談対応件数は3369件で、前の四半期（4〜6月）の3832件からは約12.1％減ったものの、前年同期の2824件と比べると約19.3％増えた。手口別では、パソコンに偽のウイルス感染警告を出して電話をかけさせる「ウイルス検出の偽警告」が1160件で全体の34.4％を占め、最も多かった。企業・組織向け窓口の相談は309件で、2025年4月の開設以降で最多となった。
個人の相談、前年同期を2割近く上回る
IPAは2025年3月まで、個人と企業・組織の相談をまとめて「情報セキュリティ安心相談窓口」で受けていた。同年4月に企業・組織向けの「サイバーセキュリティ相談窓口」を新たに設け、それ以降は個人の相談を安心相談窓口、企業・組織の相談を新窓口と分けて受け付けている。四半期ごとの報告もそれぞれの窓口について出している。
個人向け窓口の相談件数は、2025年7〜9月の2824件から、10〜12月に2976件、2026年1〜3月に3533件、4〜6月に3832件と3四半期続けて増えた。7〜9月は3369件で前の四半期を下回ったが、前年同期より545件多い。2025年の各四半期（1〜3月3215件、4〜6月2491件、7〜9月2824件）と比べても、2026年は3四半期とも前年を上回っている。
相談の受け方の内訳をみると、7〜9月は電話が2618件で全体の約8割を占めた。電子メールが307件、チャットボットが243件、SMS（ショートメッセージ）が193件、ファクスと手紙が8件だった。
IPA「情報セキュリティ安心相談窓口」の相談件数（件）
数値で見る（単位: 件）
| 項目 | 件 |
|---|---|
| 25.7-9 | 2,824 |
| 25.10-12 | 2,976 |
| 26.1-3 | 3,533 |
| 26.4-6 | 3,832 |
| 26.7-9 | 3,369 |
偽警告の相談、1年前の約1.8倍
手口別で最も多い「ウイルス検出の偽警告」は、ウェブサイトの閲覧中などにパソコンの画面へ偽の感染警告を出して不安をあおり、表示された番号に電話をかけさせて、サポート契約に誘導する手口で、サポート詐欺とも呼ばれる。7〜9月の相談は1160件で、前の四半期の1428件からは約18.8％減ったが、前年同期の647件の約1.8倍にあたる。
IPAはレポートで、警察庁が2025年5月30日に日本人が被害に遭ったサポート詐欺に関わる容疑者6人の検挙を発表した後、相談がいったん減ったものの、その後再び増えたと説明している。四半期ごとの件数は2025年7〜9月の647件から789件、1154件、1428件と増え続けていた。
偽警告に次いで多かったのは、SNSや買い物サイトなどのアカウントに第三者がログインする「不正ログイン」の395件（構成比11.7％）だった。前の四半期の423件から約6.6％減った。IPAによると、フェイスブックやインスタグラムに不正にログインされ、自分ではログインできなくなったという相談が前の四半期に続いて多い。
以下、偽サイトに誘導して個人情報やクレジットカード番号を入力させる「フィッシング」が117件（同3.5％）、アダルトサイトなどで突然会員登録が完了したと表示して料金を求める「ワンクリック請求」が21件（同0.6％）、うその恐喝文面で暗号資産（仮想通貨）での支払いを求める迷惑メールが19件（同0.6％）だった。暗号資産の迷惑メールについてIPAは、実際に支払ってしまったという相談は確認していないとしている。レポートの本文はこの手口を「約36.7％増」と記しているが、図に示された件数は4〜6月の30件から19件へ減っている。
| 手口 | 2025年7〜9月 | 2026年4〜6月 | 2026年7〜9月 |
|---|---|---|---|
| ウイルス検出の偽警告 | 647件 | 1428件 | 1160件 |
| 不正ログイン | 387件 | 423件 | 395件 |
| フィッシング | 137件 | 146件 | 117件 |
| ワンクリック請求 | 7件 | 23件 | 21件 |
| 暗号資産で金銭を要求する迷惑メール | 57件 | 30件 | 19件 |
国税庁かたるメール、偽アプリへの誘導も
IPAはこの四半期の相談事例として、国税庁から還付金に関するメールが届いたが本物か、という相談を紹介した。IPAは国税庁をかたるフィッシングメールとみられると回答し、国税庁、国税局、税務署がショートメッセージやメールで国税の納付を求めたり、差し押さえを予告したりする案内を送っていないとして注意を呼びかけていることを挙げた。
この種のメールは、これまでIDとパスワードやクレジットカード情報を盗み取ることが主な目的だった。IPAは、2026年9月からはAndroid（アンドロイド）のスマートフォン向けの不正なアプリのインストールなどへ誘導するフィッシングメールの報告を確認しているという。10月1日時点で、Android向けの公式の「e-Tax」アプリは提供されていない。
IPAによると、メールから偽サイトに誘導されても、個人情報の入力やアプリのインストールをしていなければ被害にはつながらず、メールを削除すれば済む。個人情報を入力した場合は、本人の情報を知っているかのような文面の偽メールや偽SMSがさらに届くおそれがある。クレジットカード情報や認証コードを入力した場合は、不正使用がないかを確かめ、カードの一時停止や番号の変更をカード会社に相談するよう勧めている。不正なアプリを入れてしまった場合は、遠隔操作や不正送金、情報の窃取、勝手なSMS送信の被害に遭うおそれがあるとして、すぐに機内モードをオンにして通信を断つよう求めている。
企業の相談、窓口開設以来最多の309件
企業・組織向けの「サイバーセキュリティ相談窓口」の7〜9月の相談対応件数は309件で、前の四半期の302件から約2.3％増えた。四半期ごとの件数は、窓口を開いた2025年4〜6月が244件、7〜9月が162件、10〜12月が224件、2026年1〜3月が283件で、2025年10〜12月から4四半期続けて増えた。前年同期の162件と比べると約1.9倍になった。
内訳は、被害が起きた後の対処を相談する「インシデント対応」が56件、日頃の備えを相談する「平時の対策」が41件、サポート詐欺が70件、その他が142件だった。サポート詐欺は前年同期の20件の3.5倍に増えた。個人向け窓口で最も多い手口が、企業・組織の相談でも増えている。その他の142件には、社長などをかたる詐欺メールの相談が29件含まれている。IPAによると、この手口のメールは年末年始から広くばらまかれている。
インシデント対応相談56件を被害の種類別にみると、不正アクセスが17件で最も多く、マルウェア感染が6件、ランサムウェア感染が5件、ビジネスメール詐欺（BEC）とサイトの改ざんが各3件、なりすましメールの送信が2件、DDoS攻撃は0件で、その他が20件だった。レポートの本文には「インシデント対応相談65件」との記載もあるが、図の件数と内訳の合計はいずれも56件で、65件は前の四半期のインシデント対応相談の件数にあたる。
不正アクセスをめぐっては、IPAは「不正アクセス対策特設サイト」を設け、被害を受けた、または受けたおそれのある事業者向けの「不正アクセス特別相談窓口」を案内している（IPA、不正アクセス被害の企業向けに特別相談窓口 初動対応を電話で助言、専門業者も紹介）。
「アプリへの同意」悪用、ログでの確認を助言
企業・組織向け窓口の相談事例としてIPAが紹介したのは、社員1人のマイクロソフトのアカウントから大量のメールが送信されていたという事例だった。そのアカウントには、ある外部アプリへの「OAuth（オーオース）同意」が与えられており、第三者がこのアプリを通じてメールを送信した可能性が高いという内容だった。
OAuthは、業務で使うアプリに、利用者がパスワードを渡さずにメールやファイルへのアクセスを許可する仕組みだ。IPAによると、攻撃者は悪意のあるアプリを用意し、利用者を誘導して正規の認証画面で同意させることで、許可された範囲のメールやファイルを盗み取る。メールの送信権限を与えてしまうと、なりすましメールや迷惑メールの送信にも悪用されうる。
IPAは回答で、そのアプリが社内で正規に採用されたものでなければ、なぜ同意が存在したのかを調べるよう勧めた。マイクロソフトの認証基盤「Entra ID」の監査ログやサインインログで、アプリのIDと発行元、与えたアクセス権と日時、サインイン元のIPアドレスを確かめ、同意した時点と不審な利用が始まった時点の関係をみる。メール側では送信の痕跡だけでなく、受信メールなどが大量に取得されていないかも調べ、情報漏えいの有無を判断する材料にするよう求めた。
対策としては、利用者が任意のアプリに同意できる設定になっていれば、確認済みの発行元や許可する権限に限ったり、管理者が承認する運用にしたりすることを挙げた。利用者に対しては、同意画面でアプリ名と発行者、求められているアクセス権を確かめ、発行者が「未確認」と表示される場合はシステム管理者に確認し、判断できなければ承認しないよう呼びかけている。IPAは、グーグルのアカウントなどマイクロソフト以外のサービスでも同じ攻撃の脅威があるとしている。