【ワンタイムパスワードだけでは足りない】リアルタイムフィッシングの手口と、守る3つの方法 ― 警察庁・協議会・金融庁の資料で調べました（2026年10月25日時点）

「ワンタイムパスワードも設定したし、2段階認証も入れた。これで安心やろう」

「でも、2段階認証を入れていても、お金を抜かれる被害があるって、ほんま？」

「2段階認証を入れれば大丈夫」と思っている方は、多いと思います。わたしも、この話は気になりました。そこで、警察庁・フィッシング対策協議会・金融庁の公式の資料を読んで、リアルタイムフィッシングと呼ばれる手口と、守り方を調べました。

（この記事は、公式の資料を読んでまとめた、調べた記事です。実際に被害にあった体験や、わたし自身の画面操作の体験は、入っていません）

同じように、「2段階認証を入れたのに、まだ危ないの？」と気になっている方の参考になればと思い、まとめておきます。

この記事でわかること

• リアルタイムフィッシングの手口の流れと、なぜワンタイムパスワードだけでは足りないのか
• 警察庁の資料にある被害の数字（2025年上半期）
• 守る3つの方法と、偽サイトに入力してしまったときに警察庁が案内していること

まず結論：ワンタイムパスワードは「無意味」ではない。ただ、偽サイトに入力すると中継される。「ブックマークから入る」と「パスキー」が柱

※内容は、2026年10月25日に読んだ公式の資料のとおりです。変わることがあるので、最新は各公式サイトでご確認ください。

リアルタイムフィッシングの流れ ― 偽サイトに入力した数字が、その場で本物のサイトに渡される（4つのステップ）

フィッシング対策協議会の事務局の説明を報じた記事（Payment Navi、2024年4月22日）をもとに、流れを整理します。警察庁の資料にも、手口の図（「リアルタイム型フィッシングの手口」）が載っていますが、図の中身は、わたしは文字として読めませんでした。

1. メールやSMSで、銀行などを装った偽サイトに誘導される
2. 偽サイトで、IDとパスワードを入力する。犯人は、その情報を使って、すぐに本物のサイトにログインしようとする
3. 本物のサイトから、利用者にワンタイムパスワードが届く。偽サイトが、「届いた番号を入力してください」と表示するので、利用者が入力する
4. 犯人は、入力された番号を、本物のサイトで使う。ログインや送金の手続きが、利用者の知らないところで進む

ワンタイムパスワードは、有効な時間が短いものが多いため、犯人は「その場で」使う必要がある、と考えられます（これは、わたしの理解です）。だから、「リアルタイム」と呼ばれているのだと思います。

警察庁の資料には、令和元年（2019年）頃から、リアルタイム型フィッシングで二段階認証を突破する手口が横行していると書かれていました。新しい手口ではなく、数年前から続いているものです。

どれくらい起きている？ ― 2025年上半期のネットバンキングの不正送金は2,593件・約42億円。約9割がフィッシング

警察庁の「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和7年9月）には、次の数字がありました。

ここで気をつけたいこと：この数字は、フィッシング全体のものです。リアルタイム型だけの件数は、資料の本文では確認できませんでした。「被害のうち、これだけがリアルタイム型」とは、言えません。

ワンタイムパスワードは役に立たない？ ― 警察庁は活用をすすめている。協議会は「それだけでは足りない」と整理

ここは、読んで一番、迷ったところです。公式の資料は、次のように、立場が少し違います。

• 警察庁のページ：フィッシング対策のページでは、IDやパスワードが盗まれたときのために、ワンタイムパスワードのサービスを活用してください、と書かれています。指紋や顔認証などの認証方法を活用すると、より安全、とも書かれていました（このページには、「リアルタイムフィッシング」という言葉は、書かれていませんでした）
• 協議会のガイドライン（2026年度版・2026年6月1日公開）：フィッシング対策ガイドラインは、利用者に送られるワンタイムパスワードを犯人が盗んで悪用するリアルタイムフィッシングで被害が多発したため、ワンタイムパスワードを使うだけでは、フィッシング耐性があるとはいえなくなっている、と整理しています。事業者には、パスキー、生体認証、耐性のあるワンタイムパスワードなど、フィッシング耐性のある多要素認証を求めています

わたしは、この2つを、「ワンタイムパスワードは、ID・パスワードだけが漏れた場合には役に立つ。でも、偽サイトに自分で入力してしまうと、防げないことがある」と読みました。入れなくていい、という話ではないと思います。

守る方法は3つ ― ①ブックマーク・公式アプリから入る ②パスキーを使う ③ワンタイムパスワードを求められたら一度止まる

①ブックマークや公式アプリから入る（金融庁・警察庁の広報）

金融庁は、2026年4月16日に、銀行・信用金庫・証券会社などと、警察庁が連携した広報を出しています（金融庁のページ）。キャッチコピーは、「いつものサイトはいつもの方法で入る『正規アクセス』が効く」。メールやSMSのリンクは危険なので、送信元やリンクを確認し、ブックマークした公式サイトや、公式アプリからアクセスするよう勧めています。

偽サイトに入らなければ、そのあとのステップも始まりません。わたしは、手軽で、入口で止められる対策だと思いました。

②パスキーなど、フィッシングに耐性のある認証を使う

協議会のガイドラインは、パスキーが耐フィッシング性を持つ理由を、秘密情報をドメイン名（サイトのアドレス）と紐づけて、認証器の中に保存するから、と説明しています。つまり、偽サイトでは、本物のサイトと同じように使えない、という仕組みです。金融庁のページ（2026年10月9日更新）には、証券会社などで、フィッシング耐性のある多要素認証（パスキーなど）の必須化が進められている、と書かれています。

パスキーは、サービスが対応していないと使えません。対応しているかどうかは、各社の案内で確かめる必要があります（わたしは、各銀行・証券会社ごとの対応状況までは確認できていません）。

例として、Googleアカウントでは、Googleの公式ヘルプに、「パスキーを作成する」の画面（myaccount.google.com/signinoptions/passkeys）から、「パスキーを作成」を選ぶ手順が書かれています。端末のロック解除（指紋・顔・画面ロック）が必要です。ヘルプには、パスキーはコピーや共有、書き留めができないので、偽サイトに情報を入力させる手口に対して、守りが堅くなる、という説明がありました。実際の画面操作は、わたしはしていません。公式ヘルプを読んだだけです。

証券口座をお使いの方は、不正アクセスの疑いに備えて、取引やログインを一時的に止める「取引制限」という設定が、証券会社によって用意されていることがあります。楽天証券の例は、取引制限の記事にまとめました。

物理的なセキュリティキーについては、メールをGmailに集約する記事の最後に、Googleのヘルプをもとに書きました。

③ワンタイムパスワードを求められたら、一度止まる（わたしの考え）

ここは、公式の資料ではなく、わたしの考えです。メールやSMSのリンクから開いたページで、「届いた番号を入力してください」と出たら、入力する前に、一度止まる。そして、そのページは閉じて、ブックマークや公式アプリから、入りなおす。このとき、本物のサイトで、同じ操作を求められるかどうかを見れば、確かめられます。

協議会のガイドラインが言うとおり、利用者の注意だけに頼らない仕組み（パスキー）が、いちばん強いのだと思います。ただ、すべてのサービスが、パスキーに対応しているわけではありません。当面は、①と③を、習慣にするのが現実的だと、わたしは考えています。

偽サイトに入力してしまったら ― 警察庁が案内しているのは3つ

警察庁のフィッシング対策のページ（2026年10月25日に確認）には、被害にあった場合として、次のことが書かれていました。

1. 被害にあったサービスの会社に相談する：不正送金なら金融機関、カードの不正利用ならカード会社が窓口です
2. パスワードを変える：フィッシングサイトに入力したIDやパスワードを使っている全てのサービスで、速やかに変更する
3. 警察に通報・相談する：最寄りの警察署か、サイバー事案の通報のオンライン窓口に。偽サイトを見つけたときは、フィッシング110番に、URLを通報できます

慌てやすい場面ですが、順番に1つずつで大丈夫だと思います。詳しい手順や、流出のニュースを見たときの動き方は、流出のニュースを見たときの5つのやることにまとめています。普段の対策は、フィッシング詐欺から守る7つの習慣でも書いています。

確認できなかったこと、正直に書く気になるところ

• 警察庁の資料の図：「リアルタイム型フィッシングの手口」の図（図表8）は、わたしは中身を読めませんでした。流れは、協議会事務局の説明を報じた記事（2024年4月）をもとにしています
• リアルタイム型だけの被害件数：確認できませんでした。上の数字は、フィッシング全体のものです
• 各銀行・証券会社のパスキー対応：確認できていません。お使いのサービスの公式の案内で、確かめてください
• 実際の操作：パスキーの作成は、Googleの公式ヘルプを読んだだけで、実際の画面では試していません
• 協議会の最新の月次報告：2026年9月分（2026年10月19日公開）の件数は、確認できませんでした

この記事には、広告のリンクは入っていません。

さいごに：ワンタイムパスワードは入れたまま、「ブックマークから入る」と「パスキー」を足す。偽サイトに入力すると中継されることがある

• リアルタイムフィッシングは、偽サイトで入力させたIDとパスワード、ワンタイムパスワードを、その場で本物のサイトに入力する手口
• 警察庁の資料では、令和元年頃から横行。2025年上半期のネットバンキングの不正送金は2,593件・約42億2,400万円で、約9割がフィッシング
• 守る柱は、ブックマークや公式アプリから入ること（金融庁）と、パスキーなどフィッシング耐性のある認証（協議会）

「2段階認証を入れたのに」と聞くと、不安になります。でも、入れていることが無駄になる、という話ではなく、入れたうえで、入口を変えたり、認証をもう一段強くしたりする話だと、わたしは読みました。全部を一度にやる必要はありません。まず、よく使う銀行やカードのサイトを、ブックマークにするところからで、十分だと思います。

同じように悩んでいる方の参考になればうれしいです。

※内容は、警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和7年9月）、警察庁のフィッシング対策のページ、フィッシング対策協議会「フィッシング対策ガイドライン2026年度版」（2026年6月1日公開）、金融庁の広報ページ（2026年4月16日）と注意喚起のページ（2026年10月9日更新）、Googleアカウントヘルプ（パスキー）、Payment Navi（2024年4月22日）を、2026年10月25日に読んで、わたしの言葉でまとめたものです。数字は、各資料に書かれていたとおりで、時点が古いものもあります。画面の表示や手順、各サービスの対応状況は、変わることがあります。最新の情報は、各公式サイトでご確認ください。本ブログは、警察庁・金融庁・フィッシング対策協議会・Googleとは関係のない、個人の非公式なブログです。記事内の名称は、各社の商標または登録商標です。本記事は個人が調べた内容をまとめたもので、特定のサービスの推奨や、個別の状況に応じた助言を目的としたものではありません。被害にあった、または、あったかもしれないときは、サービスの会社や警察などの公的な窓口にご相談ください。最終的な判断はご自身の状況に合わせて行ってください。