結論から書きます。2026年4〜6月にJPCERT/CCへ寄せられたインシデント報告は14,056件、うち8,313件（89.3%）がフィッシングサイトでした。国内ブランドを装った5,974件のうち67.1%が金融関連サイト。そしてWebサイト改ざんは前四半期90件から181件へ101%増えています。中小企業の一手は、経理の振込フロー二重確認と、自社サイトのCMS更新です。

このレポートは何を数えたのか（対象範囲）

一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）が2026年7月16日に公開した四半期レポートの数値です（出典：一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）。経済産業省委託事業「令和8年度サイバー攻撃等国際連携対応調整事業」および内閣官房委託事業として実施、2026-07-16、https://www.jpcert.or.jp/qr/2026/QR_FY2026-Q1.pdf）。

数字を引く前に、対象範囲を明示します。ここを飛ばすと、ほぼ確実に誤読が起きます。

項目 内容
対象期間 2026年4月1日〜6月30日の3か月
インシデント報告件数 14,056件（4月5,432件／5月4,770件／6月3,854件）
収集方法 JPCERT/CCにWebフォームおよびメールで寄せられた報告
前四半期比 2026年1〜3月の15,345件から8%減
前年同期比 2025年4〜6月の14,558件から3%減
調整件数 3,398件（サイト管理者等へ調査と対応を依頼した件数）
実施根拠 経済産業省委託事業および内閣官房委託事業

決定的に重要なのは、この14,056件が「日本国内で発生したインシデントの実数」ではないという点です。報告されなければ計上されません。したがって、報告習慣のある組織やフィッシング監視を業務にしている事業者からの報告に構造的に偏ります。レポート自身も脚注で報告件数の定義を明示しており、実数の推計を意図した数字ではありません。

さらに、読者が数字の出どころを判断できるように明記します。この記事が扱うレポートは、JPCERT/CC自身による発表であり、同組織はフィッシング対策協議会事務局の運営、インターネット定点観測システムTSUBAMEの運用、EmoCheckやLogonTracerといったツール、制御システム向けセキュリティ自己評価ツールの提供者でもあります。 本レポートは自組織の受付統計と活動報告を兼ねており、中立な第三者による外形調査ではありません。加えて、経済産業省・内閣官房の委託事業としての活動報告であるため、対象範囲は受託事業の枠内に規定されます（第4〜7章のみ自主活動を一部含むと明記）。

数え方が3種類ある——混同すると誤りになる

このレポートには、似ているが定義の異なる「件数」が3つ並びます。

  • 報告件数 14,056件 … Webフォーム・メールで寄せられた報告の総数
  • インシデント件数 9,305件 … 報告を整理・名寄せした後のインシデント数
  • 調整件数 3,398件 … JPCERT/CCが国内外の関連組織と調整を行った件数

調整件数3,398件は前四半期3,168件から7%増、前年同期3,544件から4%減です。調整とは、サイト管理者等に調査と対応を依頼した件数を指します。

報告が減っているのに調整が増えている、という組み合わせは読み方を要求します。報告の総量が減っても、対応を要すると判断された案件は増えている。ただしレポート本文にこの差分の解釈は書かれていないため、ここから因果を語ることはできません。数字として並べるところまでが誠実な範囲です。

なお、文書内には矛盾もあります。標的型攻撃について、表1.2では月別3+4+1で合計8件と記載される一方、本文1.1.2.3は「標的型攻撃に分類されるインシデントの件数は3件でした」と記載しています。どちらが正しいかは本文から確定できません。したがって本記事では標的型攻撃の件数を扱いません。一次資料に矛盾があるとき、片方を選んで書くのは読者への誠実さを欠きます。

フィッシング8,313件の中身——狙われているのは金融口座

フィッシングサイトに分類された報告は8,313件、報告全体の89.3%です（分母は本四半期の報告14,056件）。前四半期9,293件から11%減、前年同期7,358件からは13%増。四半期単位では減っていますが、年単位では増えている状況です。

ブランドの国内外別内訳は次のとおりです（分母はフィッシングサイト報告8,313件）。

区分 件数 割合 前四半期比
国内ブランド 5,974件 72% 7,112件から16%減
国外ブランド 1,088件 13% 899件から21%増
ブランド不明 1,251件 15% —

ブランド不明1,251件（15%）は、確認時にサイトが既に停止していた等の理由でブランドを特定できなかったものです。つまり国内と国外の実際の比率は、この15%分だけ不確実だということになります。「国内が72%」を断定的に扱うべきではありません。

そのうえで、中小企業にとって最も重い数字がこれです。国内ブランドを装ったフィッシングサイト報告5,974件のうち、67.1%が金融関連サイトを装ったものでした。装われた具体名として、セゾンカード、マネックス証券、SBI証券、三井住友カード、楽天が挙げられています。分母は国内ブランド関連の5,974件であり、フィッシング全体8,313件でも国内被害総数でもない点に注意してください。

対照的に、国外ブランド関連1,088件では50.7%がEコマースサイトを装ったものでした。多く装われたのはAmazon、Apple Account、VISAです。国内は金融、国外はECという傾向の差が出ています。

テイクダウンのための調整先の所在地は、国外93%／国内7%。ただしこれは割合のみで実数の記載がなく、母数の規模は不明です。

中小企業への意味——経理フローとパスキー

ここまでの数字を、中小企業の現場語に翻訳します。

第一に、最大の脅威経路は「従業員がネットバンキングの偽ログイン画面に誘導されること」です。報告の89.3%がフィッシングで、国内ブランド詐称の67.1%が金融サイト。この二つが同じ方向を指しています。即応策は二つです。

  • 経理・振込フローの二重確認：振込先の変更や新規登録を、メール経由の情報だけで実行しない運用に変える
  • パスキー／多要素認証の徹底：ID・パスワードだけで通る口座を残さない
  • 偽サイトへの誘導は「メール」だけではない：検索結果や広告経由の流入もあるため、ブックマークからのアクセスを社内標準にする

第二に、Webサイト改ざんの報告が181件（4月46／5月55／6月80件）と、前四半期90件から101%増えています。月を追って増加している点も見逃せません。実例として、海外カジノのSEOポイズニングの踏み台にされるケース、偽ログインページを設置されるケースが報告されています。会社サイトや採用サイトが加害側の道具になるということです。打ち手はCMSとプラグインの更新、そして管理画面のIPアドレス制限。どちらも新規投資をほとんど必要としません。この「更新が最初の一手」という結論は、中小企業の2割強が1年でサイバー被害、復旧平均5.8日で扱ったIPA調査の傾向とも重なります。

第三に、システムの弱点探索を意味するスキャンの報告が190件（報告全体の2.0%）、前四半期156件から22%増でした。上位ポートは23/tcp（Telnet）58件、80/tcp 20件、443/tcp 12件、81/tcp 5件。Telnetが最多という事実は、古い機器やルーターが外部から探索されていることを示します。

その他の分類は、マルウェアサイト21件（前四半期32件から34%減）、「その他」582件（前四半期685件から15%減）です。ランサムウェアは8件（4月3／5月3／6月2件）で、前四半期の0件から増加しました。ただしこの8件は表1.2にのみ存在し、本文に解説記述がありません。報告経路の変化によるものか実態の増加なのかは、レポートからは判断できません。

「レンタルサーバーだから安心」が崩れる事例

本レポートで最も実務的に重い記述は、統計ではなく1件の事例報告です。

cPanel/WHMの認証バイパス脆弱性CVE-2026-41940について、JPCERT/CCは2026年4月28日のアドバイザリ公表を受けて国内稼働ホストを調査し、約2,000台が稼働していたことを確認しました。うちホスティング事業者の管理下にあるホストの割合が高いとされています。別途、海外の連携組織から、不審な通信を行う国内ホスト約80台の情報も受領しています。

共有ホスティング環境では、同居している他テナントごと影響を受け得ます。そして実際に、国内組織がSorryランサムウェアの被害に遭った事例が報告されました。この事例で決定的なのは被害そのものではなく、その後です。被害組織はホスティング事業者に痕跡調査の協力を求めましたが、利用契約上の制約により協力を得られず、十分な調査に至らなかったとレポートに明記されています。

つまり被害の全容が未確定のまま終わっている、ということです。これは統計ではなく国内組織1件の事例報告であり、頻度を語る材料にはなりません。しかし「レンタルサーバーを使っているから自社の責任範囲は小さい」という前提を、はっきり覆す事実です。

中小企業が明日できることは、契約書を開くことです。インシデント発生時のログ開示、痕跡調査への協力、サーバー内の証拠保全について、契約にどう書かれているか。書かれていないなら、それは「協力してもらえない可能性がある」と読むべきです。事故が起きてから交渉できる条件ではありません。

このレポートで答えが出ないこと

不都合な点を先に書きます。

  • 企業規模別・業種別の内訳が一切ありません。したがって「中小企業でN件の被害」という書き方は、本レポートからは一切できません。本記事の「中小企業への意味」は、脅威の性質から導いた解釈であって、中小企業限定の統計ではありません。
  • 母数は報告の総数であり、発生実数ではありません。報告が減った四半期は、攻撃が減ったのか報告が減ったのか、レポートからは区別できません。
  • ランサムウェア8件、テイクダウン調整先の国外93%／国内7%は、いずれも解説や実数を欠いており、単独では判断材料になりません。
  • 発信元が当事者です。フィッシング対策協議会事務局やTSUBAMEを運用する組織自身の受付統計であり、外形的な第三者調査ではありません。

数字の限界を書かずに脅威だけを煽る記事は、結局のところ意思決定に使えません。この点はAIの評価基準は自分で作るで書いた姿勢と同じで、他人が出した数字は、分母と条件を確認して初めて自社の判断材料になります。

TOEの読み筋

先に明記します。ここに書く内容について、TOEでは未実施です。 実測データではなく、レポートを読んだうえでの解釈と方針です。

このレポートを読んで我々が最も重く受け止めたのは、フィッシングの89.3%でもWebサイト改ざんの倍増でもなく、cPanel事例の「契約上の制約で調査協力を得られなかった」という一文でした。技術的な脆弱性は、パッチを当てれば閉じます。しかし契約上の穴は、事故の後に閉じることができません。

我々の読み筋は三つです。

第一に、中小企業のセキュリティ投資の優先順位は「製品」ではなく「更新と契約」から始めるべきだということ。CMSとプラグインの更新、管理画面のIP制限、ホスティング契約のインシデント条項確認。この三つはいずれも新規のライセンス費用をほとんど伴いません。それでもレポートが示す主要な脅威経路——改ざん、共有ホスティング経由の被害——の相当部分に対応します。

第二に、フィッシング対策は技術ではなく業務フローの設計だということ。国内ブランド詐称の67.1%が金融サイトである以上、狙いは口座であり、最終的な損失は振込によって確定します。であれば、偽サイトを見抜く訓練より、振込先変更を単独で実行できない業務フローのほうが確実に効きます。人間の注意力に依存しない設計にする、という話です。

第三に、これは我々自身への課題ですが、自社および受託しているサイトについて、CMS・プラグインの更新状況と管理画面のアクセス制限を棚卸しする必要がある、と考えています。181件という改ざん報告は、報告されたものだけの数字です。実際に踏み台にされていても、外形上は正常に見えるサイトは、報告されないまま計上されません。ここは推測であり、レポートに書かれた事実ではありません。

いずれも、TOE内で効果を実測した結果ではないことを重ねて明記します。

まとめ

  • 2026年4〜6月のJPCERT/CCへの報告は14,056件（前四半期15,345件から8%減、前年同期14,558件から3%減）。ただしこれは報告の総数であり、国内の発生実数ではない
  • フィッシングが8,313件（報告全体の89.3%）を占め、国内ブランド詐称5,974件のうち67.1%が金融関連サイトの詐称。中小企業の即応策は経理の振込フロー二重確認とパスキー／多要素認証
  • Webサイト改ざんの報告は181件で、前四半期90件から101%増。CMS・プラグインの更新と管理画面のIP制限が具体的な打ち手
  • cPanel/WHMの脆弱性CVE-2026-41940は国内約2,000台が稼働。国内組織1件のランサムウェア被害事例では、利用契約上の制約でホスティング事業者から調査協力を得られず、十分な調査に至らなかった
  • 本レポートには企業規模別・業種別の内訳がなく、中小企業限定の被害件数は算出できない。また標的型攻撃の件数は表と本文で矛盾しており、発信元自身が当事者組織であることも含めて、数字は条件付きで読む必要がある