フィッシング対策協議会が「フィッシング対策ガイドライン2026年度版」を公開しました。EC事業者に関係する4つの重点技術対策と、「ドメイン名をブランド戦略として管理する」という新しい視点を整理しました。
フィッシング対策ガイドライン2026年度版とは？EC事業者が知っておくべき4つの対策
要点：フィッシング対策協議会が2026年6月1日に公開した「フィッシング対策ガイドライン2026年度版」は、Webサービス・ECを運営する事業者向けと利用者向けの2本立てで構成されています。2026年度版では送信ドメイン認証・パスキー・ドメイン名管理の3点に重点が置かれています。
フィッシング詐欺の報告件数は年々増加しており、ECサイトや金融サービスを模倣した偽サイト・偽メールによる被害が続いています。フィッシング対策協議会は毎年ガイドラインを改訂しており、2026年度版では最新の脅威と対策技術を反映しています。
EC事業者にとってフィッシング被害が怖いのは「自社が攻撃を受ける」だけでなく「自社名を騙った偽メールが顧客に届く」ことです。顧客が被害にあうと、たとえ自社の落ち度がなくても「あのECで個人情報が漏れた」という認識を持たれてブランド信頼が傷つきます。これがEC事業者がフィッシング対策を「セキュリティ部門の話」ではなく「ブランド設計の話」として捉えるべき理由です。
2026年度版が示す4つの重点対策
要点：ガイドライン2026年度版では4つの重点技術対策が示されています。特に「ドメイン名をブランド戦略の一部として管理する」という視点は、EC担当者・マーケ担当者にも直接関係します。
自社のドメインから送信されたメールを認証する技術です。DMARC未設定のドメインは、第三者が「そのドメインから送信したように偽装したメール」を送ることが可能な状態になります。注文確認・配送通知・会員登録メールを送っているEC事業者にとって、DMARC設定は顧客への偽メールを防ぐ最低限の対策です。
SMS経由のフィッシング（スミッシング）は依然として多発しています。SMS通知を顧客向けに送る場合は、国内キャリアに直接接続するサービスを利用し、利用する発信者番号を公式サイト等で事前に告知しておくことが推奨されています。「この番号から届いたメッセージが本物」という認識を顧客に持ってもらう設計です。
フィッシングへの耐性を持つパスキーや生体認証の導入が推奨されています。従来のID・パスワード認証はフィッシングサイトへの入力で簡単に詐取されますが、パスキーはサイトごとに暗号鍵が異なるため偽サイトでは機能しません。会員機能・ログイン機能を持つECサイトにとって、対応を検討する優先度が上がっています。
今回のガイドラインで特に注目したいのがこの項目です。「ドメイン名は利用者が安全性を判断するための最も重要な要素」として、利用者が認知しやすいドメイン名の使用・WebサイトとメールのドメインをそろえることPage・一度登録したドメインを廃止せず長く継続利用することが推奨されています。ドメインを廃止した後に第三者が取得してフィッシングに悪用する事例があるため、「廃止を慎重に判断する」という記載は実務的な警告です。
EC担当者が今日確認すべきこと
要点：技術的対応はシステム担当・外部ベンダーと連携が必要ですが、EC担当者として今すぐ確認できることがあります。
- DMARC設定の確認：自社の送信メールのドメインにDMARC・SPF・DKIMが設定されているか。設定がない場合は担当部署・ベンダーに確認する
- 使用しているドメインの棚卸し：過去に使っていたドメインで廃止・解約したものがないか確認する。廃止ドメインは第三者に取得されてフィッシングに悪用されるリスクがある
- 公式SNS・サイトでの発信者番号告知：SMS通知を送っている場合、顧客が「本物の通知」と判断できるよう発信者番号を公式サイトで告知しているか確認する
まとめ
- フィッシング対策ガイドライン2026年度版では、送信ドメイン認証（DMARC等）・SMS発信者番号の告知・パスキー導入・ドメイン名のブランド戦略的管理の4点が重点対策として示されました。
- 「ドメイン名はブランド戦略の一部」という視点は、EC担当者・マーケ担当者にも直接関係します。過去に使ったドメインの廃止が第三者によるフィッシング悪用につながるリスクがあります。
- フィッシング対策は「セキュリティ部門の仕事」ではなく「顧客のブランド信頼を守るEC運営の基本」です。技術的な設定状況を今日確認することが現場での出発点になります。
よくある質問
Q. DMARCとは何ですか？EC事業者が設定すべき理由は？
DMARCはメールの送信ドメイン認証技術のひとつです。SPF・DKIMと組み合わせることで「自社ドメインを騙った偽メール」が受信者に届くのを防ぐ効果があります。設定していない場合、第三者が自社ドメイン名でフィッシングメールを送ることができる状態になります。注文確認メールや会員向けメールを送っているECサイトは優先的に確認・設定することをおすすめします。
Q. パスキーとは何ですか？従来のパスワードとどう違いますか？
パスキーは生体認証（指紋・顔）や端末のPINと連携した認証方式です。ウェブサイトごとに異なる暗号鍵が生成されるため、偽サイトに誘導されても認証情報が詐取されません。従来のID・パスワードはフィッシングサイトに入力された瞬間に詐取されますが、パスキーはその手口が通用しない設計になっています。
※参照：「『フィッシング対策ガイドライン2026年度版』をフィッシング対策協議会が公開」Web担当者Forum（フィッシング対策協議会）
