2026年10月21日8:00（JST）
【日本】日本クレジットカード協会（JCCA）、国内カード会社8社、ACSiONは2025年4月から、カード情報等窃取防止のためにフィッシングサイト閉鎖取り組みを開始しました。2026年4月からは追加で5社の国内カード会社が参画し、閉鎖対象を拡大し、網羅的な閉鎖対応に着手しています。足元の閉鎖状況や今後の展望、さらなるカード会社参画への呼びかけやフィッシングサイトが多く報告される企業や業界団体に対するノウハウの提供など、フィッシング撲滅に向けた活動について報告します。（2026年９月25日開催「ペイメント・セキュリティフォーラム2026 Fall」の講演より）
日本クレジットカード協会事務局長 熊谷亮佑氏
株式会社ACSiON代表取締役 安田貴紀氏
2年目のフィッシングサイトの閉鎖
これまでの動きと今後の活動を紹介
熊谷亮佑氏：日本クレジットカード協会の事務局長を務める熊谷と申します。本日お伝えさせていただきたい内容とは、国内のクレジットカード会社合同で、フィッシングサイトの閉鎖の取り組みを行っており、今年で２年目の取り組みとなります。
ペイメント・セキュリティフォーラムの2025 秋においても、前任の事務局長から紹介をいたしました。今回は、1年を通してどういう動きになっているのか、さらに今年どういう成果を上げているのか、今後どうしていくのかについて、説明させていただきたいと思います。
フィッシングサイトの閉鎖方法に関しては、後半でACSiONの安田代表からご説明いただきます。
日本クレジットカード協会が、どういう組織なのかを簡単にご説明させていただきます。もともと店頭の決済端末を共同利用端末としてカード会社が相乗りして使っており、その運営管理のために設立された協会という背景があります。
クレジット決済のインフラ整備されている中で、クレジット事業全般の何か取り組みをすべきだということで、毎年協会施策としていろんな活動をしております。会員会社の理事4社で毎年会長会社を輪番で回します。今年は第 49期で、私が事務局長をさせていただいています。私自身は三菱UFJニコスから出向しております。事務局長は先ほどの理事4社から毎年出てきています。
簡単な略歴を書かせてもらっています。出向自体は1年前です。半年間の助走期間があって、4月から事務局長を務めております。出向前は、クレジットカードの加盟店を中心とした法人営業をやっており、キャッシュレスの決済インフラや、今からお話しするような不正利用に対してどういう対策をしていくのか、といったことを加盟店と一緒に考えていました。
対象３社のフィッシングサイトは減少
それ以外が狙われ、右肩上がりで増加
そもそも日本クレジットカード協会がなぜこのカード会社合同でのフィッシングサイトをやり始めたのかについてお話しさせていただきたいと思います。2023年度はコロナも明けてきて、不正利用が増えてきた中で、不正利用の対策として海外事例について協会として調査いたしました。この中でイギリスでは公的機関が、このフィッシングサイトのテイクダウンをしていたり、オーストラリアではクレジットカードの業界団体がこのフィッシングのテイクダウンをしています。こういう事例で、フィッシングの被害を抑制していることを確認できました。
2024年度に日本でもどうやったらできるのかを試行しました。この時にさまざまなカード会社にお声がけをし、8社から賛同いただいて、2025年4月からの試行に向けて準備をしていた状況です。25年4月からは、8社で試行を行って実績を積み、さらに今後こういったテイクダウンの広がりを実現するために、どういったことをやるべきなのかを同時並行で検討していました。
2026年度には本格運用を始め、現在フィッシングサイト閉鎖活動をしております。今回は2025年、2026年の動きについて、実際の計数も交えてご報告をさせていただきたいと思います。2025年4月からの動きでは、先ほど8社とお伝えさせていただきました。具体的にはイオンフィナンシャルサービス、NTTドコモ（NTTドコモ・フィナンシャルグループ）、クレディセゾン、JCB、三井住友カード、三菱UFJニコス、UCカード、楽天カードです。カード会社以外の名前を騙るフィッシングサイトでクレジットカード番号が取られる事案に対して、カード会社合同で閉鎖する取り組みについて、プレスリリースも交えて、実施いたしました。
この取り組みは、閉鎖対象を報告されているフィッシングサイト数上位の 3銘柄に限定しました。8社による実証実験として規模限定で実施しました。
結果（図）については、フィッシングのテイクダウン始める前の2025年3月を起点に、対象の３社のフィッシングサイトのURL数を100とした時に、4月以降テイクダウンを開始してからはどうなったかを示すのが緑色の折れ線グラフの内容になっています。直近の 26年3月は若干伸びているものの、100に比べてかなり抑えられている状況です。棒グラフに関しては、実際にACSiONが閉鎖しているURLの数です。
もう1つ下の折れ線グラフの方を見ていただければと思います。ここがポイントで、対象として我々がテイクダウンできた３社に関しては抑えられていましたが、それ以外のフィッシングサイトの数が100に対して右肩上がりに増えています。
フィッシング閉鎖対象を20銘柄に拡大
活動に参加する企業も８社から13社へ
ここから何がわかるのか。不正利用対策をされている皆さんは身に染みて感じられているかもしれませんが、不正利用犯はセキュリティホールの弱いところを突いてきます。対象の３社に対しては、テイクダウンを始めたことによって抑えられましたが、他のところがフィッシングサイトでクレジットカードの番号を取りやすいので増えているという仮説を立てました。
このままだと対象の３社のフィッシングサイトの数が減っても、フィッシングサイト全体が減りませんので、今年4月からは、参加いただいているクレジットカード会社が８社から13社に拡大し、フィッシングサイトの閉鎖対象を３社から20銘柄に増やしています。
実際、参画いただいたクレジットカード会社様は、イオンフィナンシャルサービス、NTT ドコモ、エポスカード、auフィナンシャルサービス、クレディセゾン、JCB、セブン・カードサービス、セブンCSカードサービス、トヨタファイナンス、三井住友カード、三菱UFJニコス、UCカード、楽天カードで、今までのテイクダウン対象を３銘柄から20銘柄に増やします。
具体的な対象としては、円グラフで見ていただければと思います。銀行、証券、クレジットカード決済などは、フィッシングサイトに関しては基本的に自らやっていただけるということで対象にしていません。反面、ECサービス、交通、航空、配送、その他公共料金、インフラ系などは自身でフィッシングサイトを潰す動機が薄いので、こうしたフィッシングサイトを抑えることによって、クレジットカードの不正利用被害抑止につながるように、今動いています。
2025年は３銘柄とお伝えしました。実際、金融機関以外の60%の中の約４割をカバーできていました。20銘柄にすることによって、９割超と書いてありますけど、95%以上のフィッシングサイトが抑えられるとみており、今年4月から始めています。
実績については、2026年3月のフィッシングサイトＵＲＬ数を100としたものの推移を示しております。こちらに関しては、8月までの実績で通年ではありませんが、月によってばらつきはあるものの、右肩下がりの成果が出ています。実際のフィッシングサイトのURLを閉鎖数に関しては、この棒グラフでお示しをさせていただいています。
日本でフィッシングするのは難しい
不正犯たちにそう思わせるために
今後はこの取り組みを、有効かつ永続的にしていきたいという思いがあります。業界全体での取り組みにしようと、今13社にご参加いただいていますが、さらに他のカード会社様にもご参加いただき、ご参加いただけない会社様にはどういったところがネックになっているのかについて課題の洗い出しをしています。
クレジットカード会社、クレジットカード業界だけが頑張っていても仕方がないというところもあります。対象の事業者の自衛促進にも取り組みます。フィッシングサイトに名前が騙られているような会社様に、我々が今フィッシングのテイクダウンをしている実績をもとに、こうやって狙われていますとお伝えします。
風評被害や顧客保護といった観点からも、積極的に対策をお願いしています。今狙われている会社に自衛していただくことによって、我々のフィッシングサイトのテイクダウンのリソースも、より他のところに割けるはずです。こういった動きができるように対象業種業者にもアプローチしていこうと考えています。
最後に不正犯への継続的な牽制というところがございます。今回のようなセミナーでお話しさせていただくことも含めて、フィッシングサイト閉鎖の取り組みをクレジットカード業界全体でやっていることを不正犯に認識させることによって、「日本でフィッシングをすることは難しい」と思わせることができます。フィッシング防止の機運を高めていくために、我々として対外的なプレスリリースなども含めたアピールをしていきたいと思っております。
こうした動きが出来るのは、賛同いただいたクレジットカード会社の皆様のご協力があってこそだと思います。ぜひクレジットカード業界全体でこういった機運を盛り上げていって、フィッシングによる不正利用被害を、みんなで抑止していきたいです。
ここからは具体的な内容について、ACSiONの安田代表からご説明いただきます。
見つけたフィッシングサイトは
生活者にもSNSで注意喚起
安田貴紀氏：我々ACSiON（アクシオン）は、今回の業界の取り組みにおいて、フィッシングサイトの閉鎖の技術支援をさせていただいている会社です。
私は元々セブン銀行で商品開発などを行った後、７BK－CSIRTを立ち上げるなどセキュリティに携わり、今はACSiONの代表取締役をしています。ACSiONはセブン銀行のグループ会社として設立した国産のサイバーセキュリティ会社で、事業の推進とともに官民連携にも力を入れています。警視庁をはじめ、地方の県警との取り組みもさせていただいております。「世界を公正に。」をビジョンに掲げ、銀行の金融犯罪対策で培ったノウハウを生かしてフィッシングサイトを見つけて閉鎖する取り組みをさせていただいております。この取り組み等を通じて8月に警視庁より感謝状をいただきました。
また、今回の日本クレジットカード協会の施策の中でもそうですが、我々が見つけたフィッシングサイトにつきましてはXで注意喚起をして、多くの生活者の方に届くように啓蒙活動にも力を入れております。
フィッシングサイトを早く見つけ
消費者に届く前に閉鎖する技術
フィッシングを取り巻く環境として、2019年ごろから被害がかなり多くなり、直近でいうとさらに件数が増えて、フィッシングサイトの量も質も高まってきている現状です。
今、一番フィッシングサイトの多い手口の1つがこのリアルタイム型フィッシングです。フィッシングサイトが立ち上がって、そこでユーザーがいろんな情報を入れていくと、その裏で犯罪者が待っていて、操作をして、そしてワンタイムパスワードも取って入力して、そのまま処理する流れです。ひと昔前だと情報を取ってしばらく経って犯罪実行が多かったですが、今はリアルタイムで犯罪が行われるような状況です。
フィッシングサイトの詐欺の流れです。サイトが作られ、公開されて、メールとか SMS が配信され、それを利用者がアクセスしてしまって、いろんな情報取られていくのが一つの流れです。我々が支援しておりますのは、今回の取組の中で、フィッシングサイトを早く見つけて早くフィッシングサイトにアクセスできなくする、ここに注力した技術を持っており、この技術で協会様の取り組みを支援させていただいております。
フィッシングのできるタイムラインの例です。フィッシングサイトが公開されて、メールがばらまかれると、利用者がアクセスして被害のピークを迎えて、その後に事業会社がフィッシングの発生状況を知って閉鎖していくので、後手の対応になりやすい状況です。
我々が技術的に支援しておりますのが、フィッシングサイトをできるだけ早く見つけて、メールが消費者の方に届く前に早くフィッシングサイトにアクセスできなくする。ここに注力している技術です。我々のサービスは、もともとネット銀行で、ずっとフィッシングと戦ってきたメンバーが作ってきたものです。フィッシングの発生時に、やるべきこを有しているサービスで、早く見つけて早くフィッシングサイトにアクセスできなくする技術支援をしております。
どうやってフィッシングサイトを見つけているのかの一例です。フィッシングサイトの立つ可能性が高いようなネットワークや、過去にフィッシングサイトが立っていた場所を集中的に監視し、早期にフィッシングサイトを見つける形になります。
偽サイト公開からメールが届くまで数時間
この間に何ができるかが勝負の分かれ目
どれくらい早く見つけられるのかの一例ですが、フィッシングサイトを我々が見つけたのが５時５分で、メールが届いたのが７時17分になっておりますので、２時間ぐらい早く見つけることができると思っております。この間の時間で、何の勝負をしていくのかがポイントになります。我々の観測した中でいうと、フィッシングサイトの公開から消費者にメールが届くまでの時間が大体４時間弱ぐらいかと思いますので、この間にフィッシングサイトへのアクセスをできなくすれば、被害を減らすことが可能と考えております。
一般的にフィッシングが発生すると、顧客へ注意喚起や、サイトの閉鎖の対応を事業会社でやることになります。我々がご支援した際にフィッシングサイトの検出とサイトの閉鎖の依頼を注力して対応しております。特に力を入れているのがセーフブラウジングです。フィッシングサイトのURLが大量に作られるようになり、利用者を守るのに最も有効なキーになるものが、ブラウザが持っている赤い警告画面を出す機能です。顧客が入力することを防ぐ唯一の手段なので、いかに早く表示するかというところに注力しております。
我々はGoogleクラウドジャパンと提携していて、我々から通報したものにつきましては最速でこの赤い警告画面が表示されるような仕様を持っております。この内容で協会様の取り組みをご支援させていただいております。
フィッシングサイトの進歩に対抗
安全を守る環境づくりへ技術磨く
フィッシングサイト側もかなり技術は高度化しております。フィッシングサイトを見つけるリサーチャーがいて、セキュリティベンダーからフィッシングサイトが見つからないような細工をしてきて、クローキングと呼ばれる技術を使って１回しかアクセスできないようにしています。
フィッシングが発生した時に、企業の担当者がよくそのフィッシングサイトを見に行くことが、フィッシング犯側にはIPアドレスがもうわかっているので、その企業のパソコンから見に来た時には全く関係のないサイトを見せるという作りもあります。フィッシングサイト側も強力な技術の進捗があるという形です。
まとめです。フィッシングは時代とともに進化しており、徐々にリアルタイム型へ進化しています。データを取るときに裏側で待っていて、そのデータを使って決済をして金銭を取るという流れになっています。勝負はフィッシングが発生した時の最初の数時間で決まってくるので、その中で遮断と閉鎖まで持っていくことが重要になります。
クローキングの技術に引っかからないような技術を持ちながら、フィッシングサイトの閉鎖を推進しています。官民連携を通じて、そのフィッシングサイトの URL をウイルスソフトにまいていただく取り組みも併せてさせていただいております。
ご紹介した技術を使って、クレジットカード会社と共同でフィッシングの取り組みをさせていただいております。フィッシングサイトの進化とともに我々も進化しながら対処して、生活者の方の安全を守れるような環境作りに寄与できればと思っております。
私からは以上になります。ありがとうございます。
