【衝撃の研究結果】PCとスマホ、フィッシング詐欺にかかりやすいのはどっち？現役フォレンジックアナリストが解説

こんにちは。フォレンジックアナリストとして日々サイバー攻撃の現場を見続けている私が、今回は非常に興味深い研究結果についてお話しします。

「パソコンとスマートフォン、どちらがフィッシング詐欺にかかりやすいと思いますか？」

この疑問に科学的に答えた、米カーネギーメロン大学とイスラエルのネゲブ・ベン＝グリオン大学の研究結果が話題になっています。フィッシング対策協議会には月に20万件を超える報告が寄せられる中、この研究は私たち個人ユーザーにとって極めて重要な示唆を与えてくれます。

フィッシング詐欺の現状と深刻化する被害

まず現実を直視しましょう。私が担当したフォレンジック調査の中でも、フィッシング詐欺による被害は年々深刻化しています。

先月対応した事案では、地方の製造業A社（従業員50名）の経理担当者が、取引先を装ったフィッシングメールに騙され、会社の銀行口座情報とオンラインバンキングの認証情報を入力してしまいました。結果として約800万円の不正送金被害が発生し、復旧に3ヶ月を要しました。

個人のケースでは、フリーランスのデザイナーBさんが、Appleを装ったフィッシングメールからApple IDとクレジットカード情報を盗まれ、総額15万円の不正利用被害に遭いました。

これらの事例に共通するのは、「まさか自分が騙されるとは思わなかった」という被害者の証言です。では、デバイスの違いによって被害のリスクは変わるのでしょうか？

カーネギーメロン大学の革新的な研究手法

研究グループは257人の参加者を対象に、非常に巧妙な実験を設計しました。

参加者には表向き「画像タグ付け」の仕事を依頼し、12枚目の画像処理後にフィッシングメールを模したポップアップメッセージを表示。リンクをクリックするかどうかで、フィッシング被害のリスクを測定したのです。

実験のパラメーターは以下の3つ：

• 使用デバイス：パソコン vs スマートフォン
• タスクの複雑さ：高複雑度 vs 低複雑度
• リンクの危険度：高リスク vs 低リスク

この実験設計の素晴らしい点は、参加者が「実験されている」という意識を持たずに、自然な状態でフィッシングリンクへの反応を測定できることです。

衝撃の実験結果が明かすデバイス別リスク

さて、気になる実験結果ですが、スマートフォンユーザーの方がフィッシングメールのリンクをクリックしやすいという結果が出ました。

この結果を現場のフォレンジックアナリストの視点から分析すると、以下の要因が考えられます：

スマートフォンがリスクが高い理由

1. 画面サイズの制約：小さな画面では、URLの詳細確認が困難
2. 操作の簡便性：タップ操作は、クリック操作より無意識に行いやすい
3. マルチタスク環境：移動中や他の作業をしながらメールを確認することが多い
4. セキュリティ意識の希薄化：パソコンほどセキュリティを意識しない傾向

実際に私が調査した事例でも、スマートフォンでフィッシング被害に遭うケースは、通勤電車内や休憩時間など「ながら操作」の状況で発生することが多いのです。

実際のフィッシング攻撃事例とその手口

最近私が対応した典型的なフィッシング事例をご紹介します。

事例1：偽Amazon通知による個人情報窃取

会社員Cさん（30代女性）のケースです。スマートフォンに「Amazonアカウントが不正利用されました」という件名のメールが届きました。メールには「24時間以内に認証しないとアカウントが停止される」と記載されており、焦ったCさんはリンクをタップ。

偽サイトでAmazonのログイン情報とクレジットカード情報を入力してしまい、その後5日間で計12万円の不正購入被害が発生しました。

事例2：偽銀行サイトによる法人口座の不正アクセス

IT関連の中小企業D社では、経理責任者がスマートフォンで銀行を装ったフィッシングメールを受信。「システムメンテナンスのため再認証が必要」という内容でした。

移動中の電車内で確認したメールだったため、URLの詳細をよく見ずにタップし、ログイン情報を入力。翌日、法人口座から200万円が不正に送金されていることが判明しました。

デバイス別フィッシング対策の実践ガイド

研究結果と実際の被害事例を踏まえ、デバイス別の効果的な対策をご紹介します。

スマートフォン利用時の対策

1. URL確認の習慣化：タップ前に必ずURLの先頭部分を確認する
2. 公式アプリの活用：メールのリンクではなく、公式アプリから直接アクセスする
3. 二段階認証の設定：主要サービスでは必ず二段階認証を有効にする
4. セキュリティソフトの導入：アンチウイルスソフト でフィッシングサイトをブロック

パソコン利用時の対策

1. ブラウザのセキュリティ機能活用：フィッシング検出機能を有効にする
2. メールクライアントの設定見直し：HTMLメールの自動表示を無効化
3. 定期的なソフトウェア更新：OS・ブラウザを最新状態に保つ

企業が取るべきフィッシング対策

個人だけでなく、企業も組織的な対策が必要です。私がCSIRTの立場からお勧めする対策は以下の通りです。

技術的対策

• メールセキュリティの強化：SPF、DKIM、DMARCの適切な設定
• Webサイトのセキュリティ診断：Webサイト脆弱性診断サービス で定期的な脆弱性チェック
• ネットワークセキュリティの向上：VPN でトラフィックを保護

人的対策

• 定期的なセキュリティ教育：フィッシング模擬訓練の実施
• インシデント対応体制の構築：被害発生時の迅速な対応手順の策定
• セキュリティ意識の向上：最新の攻撃手口の情報共有

フォレンジック調査から見える未来のリスク

フォレンジック調査の現場から見ると、フィッシング攻撃はより巧妙化しています。

最近の傾向として、AI技術を悪用した「ディープフェイク音声」を使った電話詐欺と連携したフィッシング攻撃や、標的企業の内部情報を事前に調査して作成される「スピアフィッシング」が増加しています。

また、IoTデバイスの普及に伴い、スマートホームデバイス経由でのフィッシング攻撃も確認されており、従来の対策だけでは不十分な状況です。

まとめ：多層防御でフィッシング被害を防ぐ

カーネギーメロン大学の研究結果が示すように、スマートフォンユーザーはフィッシング攻撃により注意が必要です。しかし、デバイスに関係なく、以下の基本原則を守ることが重要です：

• 疑わしいメールには反応しない
• 公式サイトから直接アクセスする習慣
• 定期的なセキュリティ対策の見直し
• 最新の脅威情報への関心

サイバーセキュリティは「完璧な防御」ではなく「多層防御」が基本です。技術的対策、人的対策、そして組織的対策を組み合わせることで、フィッシング被害のリスクを大幅に削減できます。

明日から実践できる小さな対策の積み重ねが、あなたと組織を守る大きな力になります。常に最新の脅威に対する警戒心を持ち続け、適切な対策を講じていきましょう。

一次情報または関連リンク

フィッシングに”だまされやすい”のはパソコンかスマホか、米大学が実験 – 日経クロステック