フィッシングは2025年、攻撃者が組織へ最初に侵入する手段として単独で最も多く使われ、フィッシングを起点とする侵害1件あたりの平均コストは$4.8 millionに達した(IBM, Cost of a Data Breach 2025)。Anti-Phishing Working Groupはこの1年で約3.8 million件のフィッシング攻撃を記録し(APWG, Phishing Activity Trends 2025)、FBIの苦情受付センターは192,000件のフィッシング・なりすまし報告を記録し、これは他のどの犯罪類型よりも多かった(FBI, IC3 2025 Internet Crime Report)。攻撃者のツールも高速化している:生成AIは説得力のある誘導文の作成にかかる時間を約16時間から5分にまで短縮し(IBM, Cost of a Data Breach 2025)、フィッシングメールの82.6%はすでにAI生成コンテンツを含んでいる(KnowBe4 Threat Lab, 2025)。この分析は、IBM、APWG、FBI IC3、Verizon、KnowBe4、その他10の一次情報源からのデータを統合し、2026年時点でのメールおよびウェブフィッシングの状況を示すものだ。
TL;DR
- APWGは2025年に約3.8 million件のフィッシング攻撃を追跡し、2024年の3.76 million件から約1%増加した(APWG, Phishing Activity Trends 2025)。
- フィッシングは最上位の初期侵入ベクトルであり、侵害の平均コストは$4.8 millionだった(IBM, Cost of a Data Breach 2025)。
- 米国のフィッシング・なりすまし被害額は前年比約208%増加し、$215.8 millionに達した(FBI, IC3 2025 Report)。
- ビジネスメール詐欺(BEC)は24,768件の申告で米国の報告被害額$3.05 billionを引き起こした(FBI, IC3 2025 Report)。
- トレーニング前のグローバル平均フィッシング脆弱率は33.2%である(KnowBe4, 2026 Phishing by Industry Report)。
- フィッシングリンクをクリックするまでの中央値は21秒、報告するまでの中央値は28分だった(Verizon, DBIR 2025)。
- フィッシングメールの82.6%が現在AI生成コンテンツを含んでおり、前年比53.5%増加した(KnowBe4 Threat Lab, 2025)。
- AI生成フィッシングは2025年12月に約14倍に急増し、検出された攻撃の56%を占めた(Hoxhunt, Phishing Trends 2026)。
- MicrosoftはQ4 2025で最もなりすまされたブランドで、試行の約22%を占めた(Check Point Research, Q4 2025)。
- 侵害の62%が人的要因を含んでおり、前年の60%から増加した(Verizon, DBIR 2026)。
- Cofenseは2025年、悪意あるメール攻撃が19秒に1件のペースで発生したと記録し、2024年の42秒に1件から加速した(Cofense, 2025)。
- 分析対象メールの46%近くがDMARC認証に失敗しており、なりすましの隙を残している(Cloudflare, 2026 Threat Report)。
1. フィッシング攻撃の規模と頻度
総攻撃件数は前年比でほぼ横ばいだったが、その裏ではペースと集中度に変化が生じている。産業化を示す最も明確な兆候は速度だ:攻撃者は今や19秒に1件のペースで悪意あるメールを送信しており、これは2024年の2倍以上の速さだ(Cofense, 2025)。四半期ごとの合計は2025年に大きく変動し、春にピークを迎えた後、後半にかけて落ち着いたが、年間の数値はそれでも前年をわずかに上回った。フィッシングは依然として米国当局への報告犯罪類型として大差でトップであり続けているが、確認された侵害に占める割合は16%近くにとどまっている。
| 指標 | 値 | 出典 |
|---|---|---|
| 追跡されたフィッシング攻撃数、2025年 | ~3.8 million (up ~1% from 3.76M in 2024) | APWG, Phishing Activity Trends 2025 |
| 最大の四半期、Q2 2025 | 1,130,393 attacks (up 13% from Q1) | APWG, Phishing Activity Trends 2025 |
| Q4 2025の件数 | 853,244 attacks (down 4% from Q3) | APWG, Phishing Activity Trends 2025 |
| 悪意あるメール攻撃の頻度、2025年 | One every 19 seconds (vs every 42s in 2024) | Cofense, 2025 Annual Report |
| フィッシング・なりすましの申告件数(最多報告犯罪類型) | 192,000 | FBI, IC3 2025 Report |
| 侵害の初期侵入ベクトルとしてのフィッシング | 16% | Verizon, DBIR 2026 |
| フィッシングから始まるサイバー攻撃(大まかな目安) | Over 90% | CISA (rule-of-thumb figure) |
文脈についての注記:「攻撃の90%以上がフィッシングから始まる」という数値は、正確な侵害統計としてではなく、大まかな啓発用のベンチマークとして扱うべきだ。確認済みの侵害分析では、フィッシングの割合は16%に近いとされている(Verizon, DBIR 2026)。より広範な脅威の全体像については、当社のサイバーセキュリティ統計2026まとめを参照してほしい。
2. フィッシングがもたらす金銭的損失
コストの物語は、どちらも上昇を示す2つの数値に分かれる。フィッシングを起点とする侵害のコストは2025年に平均$4.8 millionに達し、世界全体の平均侵害コストが9%低下したにもかかわらず、フィッシングは最もコストの高い初期ベクトルとなった(IBM, Cost of a Data Breach 2025)。米国は依然として被害規模で突出した存在であり、平均侵害コストは現在$10 millionを超えている。直接的な詐欺の側面では、FBIに報告されたフィッシング・なりすまし被害額はわずか1年で約208%も急増した一方、申告件数はほとんど変わらなかった。これは、攻撃者が1回の成功した誘導からより多くを引き出していることを意味する。
| 指標 | 値 | 出典 |
|---|---|---|
| フィッシングを起点とする侵害の平均コスト、2025年 | $4.8 million | IBM, Cost of a Data Breach 2025 |
| 米国の平均侵害コスト、2025年 | $10.22 million | IBM, Cost of a Data Breach 2025 |
| 世界全体の平均侵害コスト、2025年 | $4.44 million (down 9%) | IBM, Cost of a Data Breach 2025 |
| 米国のフィッシング・なりすまし報告被害額、2025年 | $215.8 million (up ~208% YoY) | FBI, IC3 2025 Report |
| 米国のビジネスメール詐欺(BEC)被害額、2025年 | $3.05 billion (24,768 complaints) | FBI, IC3 2025 Report |
| 米国のAI悪用犯罪被害額、2025年 | ~$893 million (22,364 complaints) | FBI, IC3 2025 Report |
外れ値についての注記:米国のフィッシング・なりすまし被害額は2024年の約$70 millionから2025年には$215.8 millionへと増加した一方、申告件数は192,000件近くで横ばいだった。つまりこの増加は、申告数の増加ではなく、1件あたりの収益性の向上を反映している(FBI, IC3 2025 Report)。コストの詳細な内訳については、当社のデータ侵害統計2026まとめを参照してほしい。
3. 人的要因:誰が、どれだけ速くクリックするか
シミュレーションデータは、なぜフィッシングが依然として通用するのかを説明している:トレーニングを受けていない従業員のおよそ3分の1が誘導に反応し、反応する者はほぼ即座に行動する。トレーニングを受ける前の段階では、グローバル平均のフィッシング脆弱率は33.2%であり、中央値の従業員はメールを開封してから21秒以内に悪意あるリンクをクリックしている(KnowBe4, 2026 Phishing by Industry Report; Verizon, DBIR 2025)。侵害と検知の間のギャップこそが実際のリスクだ:ユーザーは数秒でクリックする一方、報告にはほぼ30分近くかかる。トレーニングはこのギャップを大きく縮小し、1年間で脆弱性を約79%引き下げる。
| 指標 | 値 | 出典 |
|---|---|---|
| グローバルなフィッシング脆弱率(基準値) | 33.2% | KnowBe4, 2026 Phishing by Industry Report |
| 基準値で最も脆弱な業界(医療・製薬) | 42.7% | KnowBe4, 2026 Phishing by Industry Report |
| 大企業の基準値(従業員10,000人以上) | 39.5% | KnowBe4, 2026 Phishing by Industry Report |
| 12か月のトレーニング後の脆弱性低下 | ~79% | KnowBe4, 2026 Phishing by Industry Report |
| 人的要因が関与した侵害 | 62% (up from 60%) | Verizon, DBIR 2026 |
| フィッシングリンクをクリックするまでの中央値 | 21 seconds | Verizon, DBIR 2025 |
| フィッシングメールを報告するまでの中央値 | 28 minutes | Verizon, DBIR 2025 |
| 少なくとも1回の成功したフィッシング攻撃を受けた組織 | 71% | Proofpoint, State of the Phish 2024 |
外れ値についての注記:KnowBe4の2026年ベンチマークは、64,000の組織における14.8 million人のユーザーを対象とした42 million件のフィッシングシミュレーションを分析したもので、従業員250人未満の小規模企業ははるかに低い24.7%という基準値からスタートしていた(KnowBe4, 2026 Phishing by Industry Report)。
4. AIがフィッシングの手口を書き換える
生成AIは、防御側が長年頼りにしてきた2つの手がかり - 崩れた文法と制作の遅さ - を取り除いた。フィッシングメールの82.6%は現在AI生成コンテンツを含んでおり、説得力のある誘導文を作成するのにかかる時間は約16時間から5分にまで短縮された(KnowBe4 Threat Lab, 2025; IBM, Cost of a Data Breach 2025)。この変化は2025年後半に加速し、AIによって書かれたキャンペーンはわずか1か月で検出された攻撃の半数以上にまで急増した。攻撃者は侵害そのものの内部でもAIを武器として利用しており、最も多いのはフィッシングとディープフェイクによるなりすましだ。
| 指標 | 値 | 出典 |
|---|---|---|
| AI生成コンテンツを含むフィッシングメール | 82.6% (up 53.5% YoY) | KnowBe4 Threat Lab, 2025 |
| AI生成フィッシングの急増、2025年12月 | ~14x (from under 5% to 56% of detected attacks) | Hoxhunt, Phishing Trends 2026 |
| GenAIで説得力のあるフィッシングメールを作成する時間 | 5 minutes (from ~16 hours) | IBM, Cost of a Data Breach 2025 |
| 攻撃者によるAI利用が関与した侵害 | 1 in 6 | IBM, Cost of a Data Breach 2025 |
| 侵害における悪意あるAI利用のトップ用途 | Phishing 37%, deepfake impersonation 35% | IBM, Cost of a Data Breach 2025 |
| AiTMセッショントークン窃取を用いたMFAバイパス侵害 | 80% | Microsoft, Digital Defense Report 2025 |
外れ値についての注記:音声を用いたAI詐欺も並行して急拡大している。当社のビッシング統計2026まとめでは、FBIとMandiantがメールフィッシングとは別に追跡している、音声クローンを用いた電話詐欺を取り上げている。
5. 受信トレイの先へ:BEC、クイッシング、スミッシング
メールフィルターが向上するにつれ、フィッシングはチャネルをまたいで細分化しており、資金は制御を回避できる形式へと流れている。ビジネスメール詐欺(BEC)は依然として金銭的に最も破壊的な形態であり、送金型のBEC攻撃はQ4 2025で四半期比136%急増し、平均要求送金額は年半ばに約$83,000でピークに達した(APWG, Phishing Activity Trends 2025)。攻撃者は承認しきい値を下回るよう金額を意図的に調整しており、受信箱のスキャンを完全に回避するためQRコードやテキストメッセージへと移行しつつある。
| 指標 | 値 | 出典 |
|---|---|---|
| BEC送金型攻撃、Q4 2025 | +136% quarter over quarter | APWG, Phishing Activity Trends 2025 |
| BEC送金要求額のピーク平均、Q2 2025 | $83,099 (up 97% from Q1) | APWG, Phishing Activity Trends 2025 |
| 画像・QRベース(クイッシング)フィッシングの2025年までの増加 | ~400% | APWG, Phishing Activity Trends 2025 |
| 侵害におけるスミッシング・ビッシングの割合 | 19% | Verizon, DBIR 2025 |
| 米国のテキストメッセージ詐欺被害額、2024年 | $470 million | FTC, Consumer Sentinel Data |
| AiTMキット(Tycoon 2FA)1件でブロックされた悪意あるメール、2025年10月 | 13 million+ | Microsoft, Defender for Office 365 |
| フィッシングから始まったランサムウェア侵入 | ~18% | Sophos, State of Ransomware 2025 |
外れ値についての注記:フィッシングはランサムウェアやアカウント乗っ取りへの入り口であるため、その波及コストは直接的な詐欺被害だけよりもはるかに大きい。波及的な影響については、当社のランサムウェア統計2026およびパスワードセキュリティ統計2026まとめを参照してほしい。
6. ブランドなりすましと認証のギャップ
攻撃者は、マーケターがキーワードを選ぶのと同じように、最も多くの後続アクセスを開くブランドを選ぶ。Microsoftは2025年のすべての四半期で最もなりすまされたブランドであり、ブランドフィッシングの試行の約22%に登場した。これは、盗まれたMicrosoftの認証情報がメール、ファイル、シングルサインオンを一度に開くためだ(Check Point Research, Q4 2025 Brand Phishing Report)。防御側の弱点は認証にある:分析対象メールの半数近くが依然としてDMARCに失敗しており、ログイントラフィックの大半は今や自動化されているため、なりすましメッセージやクレデンシャルスタッフィングを行うボットがすり抜けてしまう。
| 指標 | 値 | 出典 |
|---|---|---|
| 最もなりすまされたブランド、Q4 2025 | Microsoft, ~22% of attempts | Check Point Research, Q4 2025 Brand Phishing Report |
| 次になりすまされたブランド、Q4 2025 | Google 13%, Amazon 9% | Check Point Research, Q4 2025 Brand Phishing Report |
| 2025年にMicrosoftが最もなりすまされたブランド1位だった四半期数 | All four | Check Point Research, 2025 |
| DMARC認証に失敗したメール | ~46% | Cloudflare, 2026 Threat Report |
| 他所ですでに漏えいした認証情報を使ったログイン | 63% | Cloudflare, 2026 Threat Report |
| ボット由来のログイン試行 | 94% | Cloudflare, 2026 Threat Report |
| IR対応における初期侵入ベクトルの首位としてのフィッシング、Q1 2026 | Over one third | Cisco Talos, IR Trends Q1 2026 |
外れ値についての注記:Cisco Talosは、2026年初頭にフィッシングが再び最も多く観測される初期侵入手法として浮上し、盗まれた認証情報が首位だった期間を逆転させたと報告している。これは、ベクトルの構成比が四半期ごとにいかに急速に変化するかを浮き彫りにしている(Cisco Talos, IR Trends Q1 2026)。
まとめ:数字で見るフィッシング
| 指標 | 値 | 出典 |
|---|---|---|
| 追跡されたフィッシング攻撃数、2025年 | ~3.8 million | APWG, Phishing Activity Trends 2025 |
| ピークの四半期、Q2 2025 | 1,130,393 attacks | APWG, Phishing Activity Trends 2025 |
| 悪意あるメール攻撃の頻度、2025年 | One every 19 seconds | Cofense, 2025 Annual Report |
| フィッシングを起点とする侵害の平均コスト | $4.8 million | IBM, Cost of a Data Breach 2025 |
| 侵害の初期侵入におけるフィッシングの割合 | 16% | Verizon, DBIR 2026 |
| フィッシングリンクをクリックするまでの中央値 | 21 seconds | Verizon, DBIR 2025 |
| 米国のビジネスメール詐欺(BEC)被害額、2025年 | $3.05 billion | FBI, IC3 2025 Report |
| 米国のフィッシング・なりすまし被害額、2025年 | $215.8 million (up ~208%) | FBI, IC3 2025 Report |
| グローバルなフィッシング脆弱率(基準値) | 33.2% | KnowBe4, 2026 Phishing by Industry Report |
| 1年間のトレーニング後の脆弱性低下 | ~79% | KnowBe4, 2026 Phishing by Industry Report |
| AI生成コンテンツを含むフィッシングメール | 82.6% | KnowBe4 Threat Lab, 2025 |
| AI生成フィッシングの急増、2025年12月 | ~14x | Hoxhunt, Phishing Trends 2026 |
| 最もなりすまされたブランド、Q4 2025 | Microsoft, ~22% | Check Point Research, Q4 2025 |
| DMARC認証に失敗したメール | ~46% | Cloudflare, 2026 Threat Report |
| BEC送金型攻撃、Q4 2025 | +136% QoQ | APWG, Phishing Activity Trends 2025 |
| AiTMトークン窃取によるMFAバイパス侵害 | 80% | Microsoft, Digital Defense Report 2025 |
| フィッシングから始まったランサムウェア侵入 | ~18% | Sophos, State of Ransomware 2025 |
| 侵害におけるスミッシング・ビッシングの割合 | 19% | Verizon, DBIR 2025 |
方法論と出典
データは、2025年および2026年上半期に発表された一次的なセキュリティレポート、政府の苦情データ、およびベンダーの脅威テレメトリから数値を集約して収集した。二次的な報道よりも元データセットを優先し、2025年より前の数値には入手可能な最新のものである旨を明記している。
- Anti-Phishing Working Group (APWG), Phishing Activity Trends Reports, Q1-Q4 2025 - apwg.org/trendsreports
- Federal Bureau of Investigation, IC3 2025 Internet Crime Report - ic3.gov
- Verizon, Data Breach Investigations Report (DBIR) 2025年および2026年 - verizon.com/business/resources/reports/dbir
- IBM, Cost of a Data Breach Report 2025 - ibm.com/reports/data-breach
- KnowBe4, 2026 Phishing by Industry Benchmarking ReportおよびThreat Lab, 2025 - knowbe4.com
- Hoxhunt, Phishing Trends Report 2026 - hoxhunt.com/guide/phishing-trends-report
- Cofense, 2025 Annual State of Email Security report - cofense.com
- Cloudflare, 2026 Threat Report - blog.cloudflare.com/2026-threat-report
- Check Point Research, Q4 2025 Brand Phishing Report - blog.checkpoint.com
- Cisco Talos, IR Trends Q1 2026 - blog.talosintelligence.com
- Microsoft, Digital Defense Report 2025 およびDefender for Office 365のテレメトリ
- Sophos, State of Ransomware 2025
- Proofpoint, State of the Phish 2024
- Federal Trade Commission (FTC), Consumer Sentinel Networkのデータ
- Cybersecurity and Infrastructure Security Agency (CISA)のガイダンス
Data watch: 引用元のいくつかは定期的な周期で発行されており、近く更新版が出る見込みだ。APWGは四半期ごとにPhishing Activity Trends Reportsを発行しており、Q1 2026版は2026年半ばに公開される見込みだ。IBMのCost of a Data Breachは毎年7月に公開される。VerizonのDBIRは毎年春に公開される。KnowBe4のPhishing by Industryベンチマークは年次である。FBI IC3レポートは毎年発行される。そしてCheck PointとCloudflareはブランドフィッシングと脅威テレメトリを四半期ごとに更新している。
最終更新日:2026年7月16日。新しいデータが発表され次第、四半期ごとにこのページを見直し更新している。