【調査】日本を狙うフィッシングの道具「CoGUI」、1か月で1億7千万通超のメール

01何が分かったか

米プルーフポイントの研究者は、日本の組織や利用者を主な標的にしたフィッシングフィッシング本物そっくりのにせメールやにせホームページで、パスワードやカード番号を入力させて盗むこと。えさで魚をつるようにだまします。用語集で語源も見る用の道具（キット）「CoGUI」について報告しました。少なくとも2024年10月から使われ、2025年1月には1か月の送信数が1億7,200万通を超えました。Amazonを中心に、PayPay、楽天（楽天証券を含む）、Apple、カード会社、大手銀行、国税庁などになりすましなりすましほかの人や会社のふりをすること。社長、銀行、宅配業者などのふりをして、だましてきます。用語集で語源も見るたメールで偽サイトに誘い、IDID（アイディー）ひとりひとりを見分けるための番号や名前。社員番号やメールアドレスがIDとして使われることが多いです。用語集で語源も見るやパスワードパスワードアカウントに入るための「合言葉」。自分しか知らない言葉にしておかないと、ほかの人に入られてしまいます。用語集で語源も見る、カード情報を盗もうとします。

02なぜ起きるのか

本物そっくりの偽サイトとメールをまとめて作れる道具が、攻撃者の間で使われています。研究者によると、月に平均50件ほどの攻撃キャンペーンが行われていました。

03中小企業がとるべき対処方法

1. メールのリンクリンククリックすると、別のページやファイルへ飛べる文字や画像。見た目の文字と、本当の行き先がちがうことがあるので注意します。用語集で語源も見るからはログインログインアカウントとパスワードを入れて、サービスに入ること。反対に出ることを「ログアウト」といいます。用語集で語源も見るせず、ブックマークブックマーク（お気に入り）よく使うホームページの場所を、ブラウザに登録しておく機能。銀行などはメールのリンクではなくブックマークから開くと、にせサイトにだまされにくいです。用語集で語源も見るや公式アプリアプリ（アプリケーション）仕事や遊びなど、ある目的のために使うソフト。表計算ソフトや LINE、地図アプリなどがそうです。用語集で語源も見るから開くよう全員に伝える
2. ネットバンキングインターネットバンキングパソコンやスマホから、銀行のふりこみや残高の確認ができるサービス。にせのログイン画面でパスワードを盗まれる被害が多いです。用語集で語源も見るや通販、クラウドクラウドインターネットの向こうにある、ほかの会社のコンピューターを借りて使うこと。データを自分の会社ではなく、遠くの大きな倉庫にあずけるイメージです。用語集で語源も見るのアカウントアカウントパソコンやインターネットのサービスを使うための「自分専用の入り口」。図書館の利用カードのようなものです。用語集で語源も見るに多要素認証多要素認証（MFA）パスワードだけでなく、スマホに来る番号やアプリの「OK」ボタンなど、2つ以上の方法で本人かどうかを確かめるしくみ。パスワードが盗まれても、スマホがなければ入れません。用語集で語源も見る（MFA）を設定する
3. 模擬フィッシングメールの訓練をして、だまされやすいパターンを知る
4. 不審なメールを受け取ったときの報告先を決めておく

04関係する診断項目

• N-02B標的型攻撃メール訓練（模擬フィッシング）を実施している
• C-01Sメール・クラウドの全アカウントで多要素認証（MFA）を有効にしている
• F-02A迷惑メール・ウイルスメールのフィルタリングをしている
• F-04A不審メールの報告窓口と手順を全員が知っている

93項目の診断について

05この事例に出てくることば

フィッシング

本物そっくりのにせメールやにせホームページで、パスワードやカード番号を入力させて盗むこと。えさで魚をつるようにだまします。

なりすまし

ほかの人や会社のふりをすること。社長、銀行、宅配業者などのふりをして、だましてきます。

ID（アイディー）

ひとりひとりを見分けるための番号や名前。社員番号やメールアドレスがIDとして使われることが多いです。

パスワード

アカウントに入るための「合言葉」。自分しか知らない言葉にしておかないと、ほかの人に入られてしまいます。

リンク

クリックすると、別のページやファイルへ飛べる文字や画像。見た目の文字と、本当の行き先がちがうことがあるので注意します。

ログイン

アカウントとパスワードを入れて、サービスに入ること。反対に出ることを「ログアウト」といいます。

ブックマーク（お気に入り）

よく使うホームページの場所を、ブラウザに登録しておく機能。銀行などはメールのリンクではなくブックマークから開くと、にせサイトにだまされにくいです。

アプリ（アプリケーション）

仕事や遊びなど、ある目的のために使うソフト。表計算ソフトや LINE、地図アプリなどがそうです。

インターネットバンキング

パソコンやスマホから、銀行のふりこみや残高の確認ができるサービス。にせのログイン画面でパスワードを盗まれる被害が多いです。

クラウド

インターネットの向こうにある、ほかの会社のコンピューターを借りて使うこと。データを自分の会社ではなく、遠くの大きな倉庫にあずけるイメージです。

アカウント

パソコンやインターネットのサービスを使うための「自分専用の入り口」。図書館の利用カードのようなものです。

多要素認証（MFA）

パスワードだけでなく、スマホに来る番号やアプリの「OK」ボタンなど、2つ以上の方法で本人かどうかを確かめるしくみ。パスワードが盗まれても、スマホがなければ入れません。

06参照元

• ScanNetSecurity（Proofpoint Blog）記事を読む（2025-05-27）
• Proofpoint（日本語ブログ）記事を読む

本ページは、参照元の報道をもとに当社が要約したものです。正確な内容は参照元と当事者の公表をご確認ください。