日本語は難しいから自分は狙われないと思ってるアンタ。その壁、もう無いよ

「日本語が変だから偽物だと分かる」。この見分け方で、長いあいだ実際に防げていた。日本語は攻撃する側から見て手間のかかる言語で、そこが結果として壁になっていた。その壁は、もう当てにできない。これは感想ではなく、警察庁が9月に公表した資料にそう書かれている。

警察庁が「見抜きにくくなった」と書いている

警察庁サイバー警察局が令和8年9月に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」に、こういう記述がある。

近年は、AI技術の発達により、文章の自然さや偽装の精度が大幅に向上するなど、従来と比較して見抜きにくいフィッシングが増加している

官公庁の資料は表現が慎重だ。その資料が「大幅に向上」「見抜きにくい」と書いている。日本語の違和感で判断する方法は、公式に賞味期限切れを宣告されたことになる。

フィッシングの報告は半年で約73万件

同じ資料によると、令和8年上半期のフィッシング報告件数は、フィッシング対策協議会の集計で約73万件。半年で73万件だ。1日あたり4,000件を超える。

探索のアクセスが1日1万3,687件

攻撃の前段として、攻撃者は穴がないか探す。警察庁が設置したセンサーで検知した、ぜい弱性探索などの不審なアクセスは1日・1IPアドレスあたり1万3,687件、前年比50.7%増。その大部分が海外からだ。

これは「狙われている」という話ではない。片っ端からノブを回されているという話だ。回した先が開いていれば入る。誰かがアンタを選んだわけではない。

送信元の国も入れ替わっている

令和8年上半期の送信元は、アメリカ、オランダ、ブルガリア、英国、ドイツの順。前年同期は2位が中国だった。なかでもオランダ発は1日1IPあたり2,377.1件で、前年比501.3%増と資料に書かれている。特定の組織に割り当てられたIPから、広い範囲の宛先に大量のアクセスが観測されたためだという。

国名を覚える必要はない。覚えておくのは、送信元が毎年入れ替わるということだ。「どこの国からのメールは怪しい」という判断は、1年で使えなくなる。

ランサムウェアの被害報告は123件で過去最多

令和8年上半期のランサムウェア被害報告は123件。統計を取り始めた令和2年下半期以降、半期の件数としては最多だ。

• 規模別では、前年と同じく中小企業が約6割
• 業種別では製造業が約3割、続いて卸売・小売業、情報通信業
• 復旧に総額1,000万円以上を要した組織が全体の6割
• 1か月未満で復旧できた組織は5割弱にとどまる

大企業の話ではない。6割が中小企業で、6割が1,000万円以上かかっている。

入口の約5割はVPN機器

被害組織へのアンケートでは、侵入経路はVPN機器が約5割。資料には、攻撃者は未修正のぜい弱性や漏えいした認証情報を使って入ると書かれている。

メールの添付ファイルで感染する形は減っている。いま多いのは、インターネットに面している機器から遠隔で入られる形だ。つまり人が気をつけるだけでは止まらない場所が入口になっている。

19歳が、報道を見てランサムウェアを作った

同じ資料に、こういう事例が載っている。

19歳の会社員が、飲料メーカーがランサムウェア攻撃を受けたという報道を見て、金を稼ごうと考えた。令和8年2月、AIを使って作らせたソースコードを組み合わせてランサムウェアを作成。令和8年6月、不正指令電磁的記録作成で逮捕された（千葉）。

もうひとつ。15歳の高校生が動画配信サービスのサーバにぜい弱性を見つけ、令和7年11月、生成AIで修正した自作の攻撃プログラムを使って、約4万6,800アカウントを本人の意思に反して退会処理させた。令和8年7月、偽計業務妨害で逮捕された（警視庁）。

「技術がある人がやること」ではなくなった

資料はこう書いている。生成AIで攻撃のハードルが下がることにより、高度な技術を持ち合わせない者であっても、サイバー攻撃を実行することが容易になると考えられる。

さらに、国家を背景とする攻撃グループがAIを使い、人間の介入なしにサイバー攻撃を実施したという民間企業の報告があるとも書かれている。攻撃の数が人手で決まらなくなれば、数は人件費では止まらない。

日本の個人情報が高く売れる、という指摘

ここは報道の引用になる。日本テレビの「#みんなのギモン」で、日本プルーフポイントの増田幸美氏がこう指摘したと報じられている。

• 日本語は特に難しい言語だったのである程度は被害を免れていたが、AIの進化で詐欺メールもより自然な日本語で作れるようになった
• クレジットカード情報やパスポートなどは信頼性が高いので詐欺に悪用されやすく、日本のものは使える国が多く偽造も少ないため高値で取引される

同じ報道では、去年10月から先月までに15億件以上のサイバー攻撃が日本企業に対して実行されたという、セキュリティ企業の調査にも触れている。これは発表ではなく報道の記載だ。

詐欺の被害額も過去最悪を上回るペース

警察庁の資料では、令和8年上半期の特殊詐欺（SNS型投資詐欺・ロマンス詐欺を含む）の被害額は約1,816億2,000万円。過去最悪だった令和7年の被害額を上回るペースだという。

自然な日本語が無料で手に入るようになったことと、この数字は無関係ではない。

では、何に替えるのか

文面で見分ける方法をやめるなら、替わりが要る。替わりは「文面を見ない」判断だ。

リンクを踏まず、自分から行く

警察庁の資料にも、メール等に記載のリンクを安易にクリックしない、公式サイトや公式アプリからアクセスする、と書かれている。文面がどれだけ自然でも、自分でアプリを開けば偽サイトには着かない。宅配の不在通知を装う手口は「不在通知」のSMSを開いたアンタ。その手口、心理の隙を正確に突いてきてるよで扱った。

破られても1か所で止める

パスワードを使い回していると、1つ漏れた時点で全部が開く。これはパスワードを使い回してるアンタは、鍵を1本だけ作って全部の家に配ってるようなもんだよに書いた。使い回しをやめるのは、見分ける力を上げる話ではなく、見分けを間違えたときの被害を小さくする話だ。

2段階目をSMSに置かない

電話番号を乗っ取られると、SMSで受け取る番号は相手に届く。2段階認証をSMSにして安心してるアンタ。電話番号を乗っ取られたら、その鍵は相手の手に渡るよで説明した。アプリかパスキーに移す。

更新を溜めない

侵入経路の約5割がVPN機器で、原因は未修正のぜい弱性と漏れた認証情報だ。これは家庭の機器でも同じ構造になる。OSの更新通知を「あとで」で消し続けてるアンタ。あれ、機能追加じゃなくて穴の修理だよに書いたとおり、更新の通知は機能追加の案内ではない。

今日できる確認

1. 銀行・カード・通販の2段階認証を見て、SMSになっているものをアプリかパスキーに変える
2. メールやSMSのリンクから入るのをやめ、ブックマークとアプリから入る
3. 使い回しているパスワードを、金が動く3つ（銀行・カード・主要な通販）だけでも別にする
4. スマホとパソコンとルーターの更新を、今日ぜんぶ当てる

4つとも、文面を見分ける技術は要らない。見分けを間違える前提で組むのが、いまの前提だ。

まとめ

• 警察庁が「AI技術の発達により、従来と比較して見抜きにくいフィッシングが増加している」と書いている
• 探索のアクセスは1日・1IPあたり1万3,687件、前年比50.7%増
• ランサムウェア被害報告は半期で123件と過去最多。中小企業が約6割、復旧1,000万円以上が6割
• 侵入経路はVPN機器が約5割。原因は未修正のぜい弱性と漏れた認証情報
• 19歳と15歳が、AIを使って作った道具で逮捕されている。攻撃は技術者だけのものではなくなった
• 日本語の違和感で見分ける方法は捨て、リンクを踏まない・使い回さない・SMSに頼らない・更新を溜めないに替える

出典

• 警察庁サイバー警察局「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和8年9月）
• 警察庁「サイバー空間をめぐる脅威の情勢等」（公表資料の一覧）
• 日本語の壁と個人情報の価値についての指摘、および15億件以上という数字は、日本テレビ「#みんなのギモン」の報道による（日本プルーフポイント・増田幸美氏の発言として報じられたもの）

統計は半年ごとに更新される。数字を引用するときは、上の一覧から最新の資料を確認すること。本記事の数字は令和8年上半期の資料に基づく。