先日、ITmedia編集部のメールアドレスに「レンタルサーバ上で自分が運用するWordPressのプラグインに脆弱性（ぜいじゃくせい）が残っており、すぐに更新しなければサーバごと乗っ取られる」というメールが届いた。
問題となっていたのは実在するプラグインの脆弱性
問題となっていたのは「TranslatePress」プラグインで、メールが届いた2日前に「CVE-2026-19632」として登録されたもの。40万以上のサイトで利用されているプラグインである上に、認証なしで管理者のパスワード再設定リンクを取得し管理者アカウントを乗っ取ることができ、非常に影響範囲が広い。
現在は修正済みのバージョンが公開されているため、利用している管理者は今すぐに適用および自動更新がされているかをご確認ください。
しかし、ここでいくつか注意を
実は編集部が運用するWordPressサイトではこのプラグインを利用していない。編集部が当該レンタルサーバを契約しているのは間違いないが、登録していたメールアドレスは別のもの。そして、リンクをクリックして更新しようと開いたドメインは見知らぬものだった。
つまり、これは実在する脆弱性、実在するレンタルサーバ事業者を装い、偽ログインページに誘導した上で管理者アカウントでログインさせようとする「フィッシング攻撃」だった。あまりにも正しい説明がメール内に記載されているため、編集者も一瞬信じかけてしまった。
フィッシングはここまで手の込んだものになったのか
フィッシングは機械ではなく、あなた自身をターゲットにし、人間をだますことを狙う攻撃。かつては手作業で偽サイトを作っていたため、見た目がそもそもおかしかったり、日本語が不自然だったりと、「誰がこんなのにひっかかるんだよ」と思うようなものだったかもしれない。
しかし今では機械的に偽サイトを作ることで、見分けがつかない見た目にすることは簡単。繰り返しになるが、フィッシングサイトを見破ろうという視点で抗戦することは得策ではない。誰もがだまされる、という前提で考える必要がある。
多要素認証も突破、進化する攻撃手法
加えて、かつてなら「多要素認証を設定しアカウントを守ろう」という対策も、それが広まったことで、攻撃者のステージが変わってしまった。「リアルタイムフィッシング」と呼ばれる手法では、ID／パスワードだけでなく多要素認証のワンタイムパスワードやセッション情報を「バケツリレー」のようにリアルタイムに中継して吐き出すことで、多要素認証を設定していても、アカウントを奪われてしまう。「◯◯をしているから安全」ということはなく、どんな対策をしていても、いつかはそれを上回る巧妙な攻撃手法が出てくる可能性を考えておく必要もある。
そして、生成AIが攻撃手法の巧妙化に大きく貢献している。リアルタイムで動画や音声を作り出し、本人そっくりの偽物がオンライン会議に出てくるディープフェイクを活用したCEO詐欺も、研究レベルから実用レベルになってしまった。そのような高度な技術を使う攻撃がある一方、言葉巧みにあなた自身にマルウェアをインストールさせる「ClickFix」（クリックフィックス）というような攻撃手法も出てきている。
「オレはフィッシング詐欺に詳しいんだ」という人ほど、攻撃者にとっては攻撃しやすい標的なのかもしれない。
1人では限界だから――官民、民間連携で抵抗しよう
詳しくない人が狙われ、詳しくても罠をかけられる――そんなサイバー空間にしたくないと考える人たちがいる。2026年8月26日、都内で開催された「詐欺対策カンファレンス Japan 2026」では、日本オンライン詐欺対策アライアンス（略称：JASA）が発足し、記念の講演があった。一般社団法人トラスト＋セーフティ協会（JTSA）がGoogleおよびトレンドマイクロを設立支援パートナーとし、業界の壁を越えた「ワンチーム」の体制を構築し、巧妙化する詐欺のサプライチェーンを無効化することを目的に発足した団体である。
フィッシング詐欺だけでなく、「詐欺」、特に警察庁が「匿名・流動型犯罪グループ（トクリュウ）」と呼ぶような犯罪が、世界で増えています。その入り口となるのは、やはりスマートフォンやPCであり、メールやWebのフィッシングといえるでしょう。JASAは海外団体、国内パートナー企業を集め、さまざまな知見を基に、デジタル社会を安心できるものにしようと第一歩を踏み出しました。
「日本オンライン詐欺対策アライアンス(JASA)」本日設立。Google、トレンドマイクロ、Meta、OpenAI Japan、TikTok Japan、マッチ・グループ等の主要企業や業界団体が結集（一般社団法人トラスト＋セーフティ協会のプレスリリース）
「詐欺対策カンファレンス Japan 2026」では、警察や捜査の取り組み、アジアにおける現状、そして企業が取り組んでいることなどが語られ、まさに官民連携、民間連携の重要性を知ることができるセッションが開催されました。
特にGoogleからは、画面上の怪しいメッセージを円で囲むだけでリアルタイムに確認できる「かこって検索」の利用や、画像がGoogleのAIで生成・編集されたものかどうかを確かめるために、SynthID技術による透かし検出を利用し、「Gemini」にアップロードして「これはGoogle AIで作成されましたか？」と訊ねる機能を活用することを勧めています。
また、警察庁からの提言として、偽りの国際電話による被害を止めるため、自分や家族の固定電話やスマートフォンに対策アプリを入れることが挙げられました。
しかし、それだけでは足りないようにも思えます。官民連携というと、政府と企業ががっちりタッグを組むという印象があるかもしれませんが、詐欺に対してはやはり、私たち一人ひとりが、この攻撃に対してしっかりと取り組まねばならないと思っています。
それはそう難しいことではありません。皆さんもいろいろな報道で、詐欺の事例を知ることが多いかと思います。情報漏えいや不正アクセスの報道も増えました。その事例を追いかけてみると、事件の入り口となるのは従業員の不注意や、注意していてもそれを上回る手法が使われているはずです。それに気付いたら、ぜひその内容を家族に、友人に話してみてください。詐欺に関する会話が生まれれば、それだけで対策になるはずです。
事件が起きると、「あの会社は何をやってるんだ！」と怒りたくなるかもしれません。しかし、ちょっとだけ冷静になって、どの企業も同じように攻撃される可能性を考えつつ、自分もその中間となり「何があれば守られたのか？」と振り返ってみましょう。それこそが、フィッシングをはじめとする詐欺の、私たちにできる対策手段であるはずです。フィッシングメールが届いたら、できる限り正しいルートで報告しましょう。それがいつか、誰かを守ることになるはずですから。
ちょっと前までは犯罪といえば「マルウェア」でした。しかし、今個人レベル、従業員レベルであれば、犯罪といえば「詐欺」のはず。PCを持たなくても被害を受ける犯罪ですので、私たち全員が手を組み、連携して犯罪から身を守ろうではありませんか。
