AIが作る精巧なフィッシングメールの見分け方

「日本語がおかしいから詐欺メールだと分かる」という時代は終わりつつあります。日本スマートフォンセキュリティ協会の「スマホ利用10大脅威2026」では、生成AIの悪用が初めて首位になったと報告されました。トレンドマイクロの2026年上半期レポートでも、テクニカルサポート詐欺の報告が前年同期比2.5倍に増えたとされています。この記事では、文面の違和感に頼れなくなった今、何を基準に見分ければいいかを整理します。

📰 なぜ見分けが難しくなったのか

NTTドコモ ビジネスの解説によれば、生成AIは日本語でも自然な文章を書けるため、普段のビジネスメールと見分けがつかないフィッシングメールも作りやすいとされています。ロイターとハーバード大学の共同検証では、生成AIで作った架空のフィッシングメールに対し、高齢ボランティアの約11%がリンクをクリックしたという結果も報告されています。文面の不自然さに頼った判断は、もはや通用しにくくなっています。

🔍 文面以外で確認すべきポイント

見た目が自然になった今、確認すべきは「文面」ではなく「経路」です。差出人のメールアドレスのドメインが正規のものと一致しているか、リンク先のURLが公式ドメインかを、クリックする前にカーソルを合わせて確認しましょう。少しでも不安なメールを受け取った際に、生成AIに「これは詐欺メールの可能性があるか」と判定させてみる使い方も紹介されていますが、AI判定だけに頼るのは危険で、必ず従来の確認方法と併用してください。

💡 パスワードマネージャーが「見分け方の武器」になる理由

パスワードマネージャーは、登録済みの正規サイトのURLに対してのみ自動入力する仕組みになっています。偽サイトのURLはドメインがわずかに異なるため、いつもなら自動入力されるはずのID・パスワードが入力されない、という現象が起きます。これは「文面が自然かどうか」よりも機械的で確実な判断材料になります。

✅ 受信時のチェックリスト

• ☑ 差出人のメールアドレスのドメインを確認した(表示名だけで判断しない)
• ☑ リンクをクリックする前にカーソルを合わせ、実際のURLを確認した
• ☑ パスワードマネージャーの自動入力が効くか確認した(効かない=要注意)
• ☑ 緊急性・金銭を煽る内容は、公式窓口に電話等の別経路で確認した
• ☑ 少しでも怪しいと感じたら、メール内のリンクを踏まずに公式サイトを検索して直接アクセスした