Gmailはフィッシング詐欺に強い？「届いた＝安全」ではない理由と見分け方

結論からお伝えします。Gmailのフィッシング対策はとても強力です。ただし、Gmailの受信トレイに届いた＝安全という意味ではありません。

普段Gmailを使っていると、「そういえば迷惑メールってあまり受信トレイに来ないな」と感じませんか。私もまさにそのタイプで、Gmailのメインに入ってきたメールは、どこかで本物だと思い込んでいました。でも調べてみると、「Gmailだから大丈夫」とは言い切れない仕組みがいくつも見えてきたんです。この記事では、Gmail 詐欺メールがなぜ届くのか、そして何を確認すればいいのかを、難しい言葉を使わずにほどいていきます。

Gmailはフィッシング詐欺に強い？結論は「かなり強い」

Googleが公表している「99.9%以上」とは

Googleは、Gmailがスパム、フィッシング、マルウェアなどの99.9%以上をブロックしていると公表しています。「ブロック」というのは、受信トレイに届く前に止める、または迷惑メールフォルダへ振り分けるという意味です。

この数字は、Gmailのフィッシング対策がかなり強いことを示す、いちばん分かりやすい材料だと思います。

1日に約150億通という規模

Googleは2023年10月の発表で、Gmailが1日に約150億通もの迷惑メールや危険なメールをブロックしていると説明しています。ちなみにフィッシングとは、本物そっくりのメールやサイトでIDやパスワード、カード情報などをだまし取る手口のことです。

数字を読み違えないために

ここで気をつけたいのは、「99.9%ブロックだから、残りの0.1%がすべて受信トレイに届く」という意味ではない、ということです。この数字は、防げた割合についての公表値です。残りが具体的にどう扱われているかまでは、公表されていません。数字を大きく読みすぎても小さく読みすぎても、実態からずれてしまいます。

つまり、Gmailは強い。でも「ゼロにはならない」。この二つを同時に覚えておくのが、いちばん正確な受け止め方です。

150億通を1秒あたりに直してみた

数字が大きすぎて実感がわかないので、私の手で計算してみました。1日は24時間×60分×60秒で86,400秒です。

15,000,000,000通÷86,400秒＝約173,611通。つまり、1秒あたり約17万通のメールが止められている計算になります。1分に直すと約290万通です。

もう一つ、日本の数字も見てみました。フィッシング対策協議会の月次報告では、2026年4月のフィッシング報告件数は151,112件でした。30日で割ると、151,112件÷30日＝約5,037件。1日に約5,000件、1時間に直すと約210件、およそ17秒に1件のペースで報告が寄せられている計算です。

これは「報告された件数」なので、実際に届いた数そのものではありません。それでも、私たちが思っているよりずっと日常的に、フィッシングは動いているんだと感じました。

Gmailが詐欺メールに強い5つの理由

① AI・機械学習でパターンを見抜く

Googleは2024年12月、大規模言語モデル（人間の文章を理解するのが得意なAI）をベースにした新しい仕組みを導入したと発表しました。スパムのブロック率が従来より20%向上し、ユーザーから報告されたスパムを大量に確認する力も大きく伸びたとされています。毎日たくさんのメールを見ているからこそ、怪しい文面のクセを学べるんですね。

② RETVec：文字を変えてだます手口にも対応

詐欺メールの送り手は、フィルターをすり抜けようとして、ちょっとした工夫をします。たとえば、アルファベットの「a」によく似た別の国の文字に置き換えたり、目に見えない文字を混ぜたりする方法です。人間の目には同じに見えても、機械には違う文字列に見えてしまいます。

RETVec（レットベック）は、そうした文字のごまかしにも強くなるための技術です。一言でいうと、文字を微妙に変えてフィルターをだます手口にも対応する技術。Googleの公開情報では、スパム検出率が38%向上し、まともなメールを誤って迷惑メール扱いにする誤検知も19.4%減ったとされています。

③ SPF・DKIM・DMARC：なりすましを見抜く名札チェック

難しそうな名前ですが、イメージは「送信元の名札チェック」です。SPFは、このサーバーから送っていいかの確認。DKIMは、途中で書き換えられていないかを示す電子的な署名。DMARCは、確認に失敗したメールをどう扱うかのルールです。

Googleは2024年から、Gmailに1日5,000通以上送る事業者に対して、これらの設定を義務づけました。その結果、未認証のメールが75%減ったとGoogleは説明しています。

④ Google Safe Browsing：危険なサイトのリストと連動

Google Safe Browsingは、フィッシングサイトやウイルス配布サイトを集めたGoogleの危険サイトリストです。メール内のリンクがこのリストに載っていれば、警告が出ます。

⑤ 添付ファイルの判定

Googleは、ファイルの正体をAIで見分ける「Magika」という道具も公開しています。拡張子や見た目を偽っても、中身の特徴からファイルの種類を高い精度で判定できるそうです。

こうして並べてみると、Gmailは一つの壁ではなく、何枚もの壁で守られているのが分かります。だから普段の受信トレイが静かなんですね。

それでもGmailにフィッシングメールが届くのはなぜ？

ここがこの記事のいちばん大事なところです。何枚も壁があるのに、なぜ危険なメールが受信トレイに届くことがあるのか。主な理由を順番に見ていきます。

Googleの正規サービスを悪用するケース

セキュリティ企業の調査では、Googleカレンダー、Googleフォーム、Google Docs、Google Apps Script（Googleのサーバー上で簡単なプログラムを動かせる仕組み）といった、Google自身の正規サービスを悪用する手口が報告されています。

たとえばカレンダーの招待メール。攻撃者がGoogleカレンダーで予定を作って招待を送ると、メールそのものはGoogleの正規サーバーから届きます。SPFやDKIMといった名札チェックも、ちゃんと通ってしまうんです。中身のリンクだけが悪意のあるサイトだった、ということが起こりえます。

さらに、Googleのセキュリティ通知を悪用し、本物の通知メールを第三者に転送して、送信元がgoogle.comに見えるメールを作る手口も確認されています。「送信元がGoogleだから安全」と単純に判断できない時代になった、ということです。

QRコードを使うクイッシング

メール本文にURLを書かず、QRコードの画像だけを貼る手口もあります。クイッシングと呼ばれます。文字のURLなら機械が調べやすいのですが、画像の中のQRコードは見落とされやすいんです。セキュリティ企業の調査では、2026年上半期のフィッシングメールの約11%がこの手法だったと報告されています。

正規アカウントの乗っ取りとなりすましの返信

取引先や知人のメールアカウントが乗っ取られ、そこから届くケースもあります。特に怖いのが、過去のメールのやりとりに割り込んで返信する Conversation Hijacking（会話のハイジャック）です。「前に何度もやりとりした相手」からの返信なので、Gmailも人間も信用してしまいます。会社宛ての偽の請求書メールなど、ビジネスメール詐欺（BEC）の形で使われることもあります。

クリックした瞬間に中身が変わるTime-of-Click型

メールを送る時点では、リンク先は無害なページです。ところが受信トレイに届いた後で、リンク先を悪意のあるサイトに切り替える手口があります。これがTime-of-Click（クリック時）型と呼ばれる攻撃です。Gmailは、後から危険と分かったリンクに対して、すでに届いたメールでも警告を出す仕組みを持っています。ただし、警告が間に合うとは限りません。

生成AIで自然な日本語の詐欺メールが作れる時代

以前は、不自然な日本語で詐欺メールだと気づけることがよくありました。でも今は、生成AIを使えば、自然で丁寧な日本語の詐欺メールが簡単に作れます。送るたびに文面を少しずつ変えることもできるので、過去の例と照らし合わせる検知方法をすり抜けやすくなります。

DMARCが「p=none」だと拒否にならない

ひとつ補足を。DMARCには、確認に失敗したときの扱いを決める設定があり、「p=none」は監視するだけで、メールを止めない設定です。「quarantine（隔離）」や「reject（拒否）」にして初めて、なりすましを実際に止められます。送信側の会社がこの設定をどうしているかも、受信トレイに届くかどうかに影響するんです。

私はここまで調べて、「Gmailだから大丈夫、ではないんですね」と素直に思いました。Gmailは強い。でも、攻撃する側も、そこをすり抜ける方法を日々探しているんです。

「Amazon」「楽天」「Google」と書いてあっても安心できない

表示名は送信者が自由に変えられる

メールの一覧に出てくる「Amazon」「楽天」「Google」という名前は、表示名と呼ばれます。実はこれ、送る側が自由に設定できます。だから表示名だけでは、本物かどうかは判断できません。

見るべきはメールアドレスとドメイン

確認するのは、表示名ではなくメールアドレスです。@より後ろの部分をドメインといい、住所でいう「番地」にあたります。たとえばAmazonなら、amazon.co.jpのように、公式のドメインと一致しているかを見ます。見た目が似ているだけの別のドメインは、よくある手口です。

httpsや鍵マークは「安全」の証明ではない

「アドレスがhttpsで始まっていて、鍵マークもあるから安心」と思っていませんか。実は、現在のフィッシングサイトの多くも、無料の証明書でhttps化されているとセキュリティ企業は指摘しています。鍵マークが示すのは「通信が暗号化されている」ことだけで、運営者が信頼できるかどうかは保証していません。

「日本語がおかしい＝詐欺」はもう使いにくい

前の章でも書きましたが、生成AIの普及で、不自然な日本語を手がかりにする見分け方は使いにくくなりました。「文章がきれいだから本物」とも言えません。だからこそ、文面ではなく、送信元と行動の流れで判断するほうが確実です。

たとえば、楽天のアカウントをねらった詐欺は、実際にさまざまな形で出ています。手口の全体像は、こちらの記事にまとめています。

→ 【2026年最新】楽天で何が起きてる？アカウント乗っ取りと詐欺の全手口と今すぐできる防衛策

Gmailで怪しいメールが来たらまず確認したい6項目

Gmail フィッシング 見分け方の基本を、6つに整理しました。ただ、先にいちばん簡単で安全な方法をお伝えします。

いちばん簡単な方法は「メールのリンクを押さない」

Amazonから「支払い方法を確認してください」と来たら、メールのボタンを押すのではなく、Amazonアプリを自分で開く。楽天なら楽天の公式アプリ、カード会社ならカード会社の公式アプリを開く。これだけでも、かなり違います。本物の通知なら、アプリの中にも同じお知らせが出ているはずです。

6つの確認項目の一覧

アプリを開いても迷うときや、メールそのものが気になるときは、次の6つを順番に見てみてください。

確認項目	見るポイント
①送信元アドレス	表示名ではなく、実際のメールアドレスを見る
②ドメイン	@の後ろが公式のドメインと完全に一致しているか
③Mailed-by／Signed-by	パソコン版Gmailで「詳細を表示」を押し、送信元と署名元が公式ドメインか確認
④リンク先	クリックせず、マウスを合わせて表示されるURLを見る
⑤急がせる表現	「24時間以内に停止」など、焦らせる文面か
⑥公式アプリ・公式サイト	メールではなく、自分で開いて確認する

③の「Mailed-by／Signed-by」を補足

Mailed-byは「どこのサーバーから送られたか」、Signed-byは「誰の電子署名が付いているか」を表します。ここが公式ドメインと一致していれば、一つの手がかりになります。ただ、前の章のとおり、Googleの正規サービスを経由する手口もあります。この項目だけで「本物」と決めつけず、あくまで目安として使ってください。

スマホでリンク先を見るときの注意

スマホには、パソコンのようにマウスを合わせて確認する方法がありません。リンクを長押ししてURLを見る方法もありますが、環境によってはプレビューのためにリンク先が読み込まれることがあります。迷ったときは、押さずに公式アプリを開くのがいちばん安全です。

この「急がせる表現」への警戒は、ほかの詐欺でも共通しています。給付金を装った通知の見分け方は、こちらも参考になります。

→ 【注意】スマホの「給付金5万円」通知は詐欺？本物と偽物を一瞬で見抜く方法

Gmailの赤・黄色の警告は何を意味する？

警告表示の種類と意味

Gmailは、怪しいメールに対していくつかの警告を出します。主な条件は次のとおりです。あくまで目安として見てください。

表示	主な意味の目安	取るべき行動
赤い警告「このメッセージは危険な可能性があります」	既知のフィッシングやウイルスと一致した場合など	リンクも添付も触らず、削除する
黄色い警告「このメールにはご注意ください」	送信元の認証に失敗したり、送信者の評価が低かったりする場合	送信元アドレスを詳しく確認する
「送信者になりすましている可能性があります」	表示名と実際の送信元が一致しない場合など	別ルート（公式サイト）で確認し、返信しない
アイコンの「？」マーク	送信元の認証がとれていない場合	安全性が保証されていないと考える

「警告が出ていない＝安全」ではありません

大事なことなので、はっきり書きます。警告が出ていないからといって、安全とは限りません。警告は、既知の脅威や、はっきりした認証エラーに対して出るものです。新しい手口や、Googleの正規サービスを使った手口には、警告が出ないこともあります。

警告が出たときの心がまえ

黄色い警告を見ると「自分は大丈夫」と思いたくなります。私もそうでした。でも、警告が出たメールは、リンクを押さずに一度止まる、が基本です。警告は、立ち止まるためのサインとして使ってください。

フィッシングメールを開いてしまった！どこまでなら大丈夫？

「うっかり開いてしまった」「リンクを押してしまった」という声は少なくありません。状況ごとの対応を、4段階の表にしました。

4段階の対応表

状況	リスク	すべきこと
①メールを開いただけ	低い	リンクと添付には触れず、「フィッシングを報告」して削除する
②リンクをクリックした	中程度	何も入力せず、ダウンロードもしていなければ、まずタブを閉じる
③ID・パスワードを入力した	高い	メールに戻らず公式サイトから直接アクセスし、パスワード変更・不審なログインの確認を行う。同じパスワードを使い回しているサービスもすべて変更する
④カード情報を入力した	非常に高い	カード会社の公式窓口へ直ちに連絡し、利用停止と再発行を相談する

①メールを開いただけの場合

現在のGmailは、画像をGoogleのサーバー経由で表示するなど、開いただけで危険なプログラムが動きにくい作りになっています。そのため、開封しただけで即感染する可能性は、一般には低いとされています。ただし「低い」であって、ゼロではありません。リンクや添付ファイルには触れないでください。

②リンクをクリックした場合

何も入力せず、ファイルをダウンロードもしていなければ、実害が出ていないことが多いです。まずタブを閉じましょう。念のため、不審なファイルが保存されていないかも見ておくと安心です。

③④入力してしまった場合

IDとパスワードを入力したなら、スピード勝負です。メールのリンクは使わず、公式アプリやブックマークから開いて、パスワードを変更します。Googleアカウントなら、セキュリティの画面で見覚えのない端末がないかも確認できます。カード情報まで入力した場合は、まず電話で、カード会社の公式窓口に連絡してください。警察のサイバー犯罪相談窓口やフィッシング対策協議会への相談もできます。

個人情報が漏れた後の対処は、実際に起きた事例が参考になります。

→ えきねっと情報漏洩

二段階認証だけでは突破される？注目したい「パスキー」

二段階認証のコードが盗まれることがある

二段階認証はとても大事な対策です。ただ、SMSで届くコードや認証アプリのコードを、リアルタイムで盗む形のフィッシングがあります。これがAiTM（エーアイティーエム）と呼ばれる手口です。

仕組みはこうです。本物そっくりの中継サイトを用意して、本物のサイトとあなたの間に割り込みます。あなたが偽サイトでIDとパスワード、さらに認証コードまで入れると、攻撃者はそれをそのまま本物のサイトに渡してログインしてしまいます。コードを入力したのに、乗っ取られることがあるんです。

パスキーはなぜフィッシングに強いのか

そこで注目したいのが、パスキーです。パスキーは、パスワードの代わりに、スマホなどの指紋認証や顔認証で本人確認をするしくみ（FIDO2／WebAuthnという規格）です。

ポイントは、パスキーが「どのサイトで使うか」を記憶していることです。登録したGoogleのサイトでなければ、認証情報を渡しません。偽サイトに誘導されても、パスキーは反応しないんです。そのため、認証情報を偽サイトに渡してアカウントを乗っ取られるタイプのフィッシングに、非常に強いとされています。

パスキーでも万能ではない

ただし、パスキーを使えばすべてのフィッシング被害を防げる、というわけではありません。たとえば、カード情報を偽サイトに入力してしまう被害は、パスキーでは防げません。また、パスワードなど別のログイン方法が残っていると、そこが狙われることもあります。パスキーは、アカウントの乗っ取りを防ぐ強い味方。そのうえで、メールのリンクから入力しない習慣も続ける。この二本立てが現実的です。

Gmail利用者が覚えておきたい3つのこと

① Gmailは非常に強い。でも100%ではない

Gmailは、何重もの対策で守られています。だから、必要以上に怖がらなくて大丈夫。ただ、Googleの正規サービスを悪用した手口や、乗っ取られたアカウントからのメールのように、すり抜けるものはあります。

② メールのリンクからログインしない

お知らせの確認、支払い方法の更新、アカウントの確認。こうしたときは、メールのリンクからではなく、自分でアプリやブックマークを開いて入ります。

③ 迷ったら公式アプリ・公式サイトから確認する

メールから確認しない。公式アプリから確認する。これが、この記事でいちばん覚えてほしい言葉です。

Gmailは非常に優秀な防御システムを持っています。だから怖がりすぎる必要はありません。ただ、「Gmailに入ってきたから大丈夫」とは考えない。怪しいメールが来たら、リンクを押さずに、公式アプリや公式サイトから確認する。この習慣がいちばん簡単で、いちばん効果的です。

よくある質問

Q. Gmailならフィッシングメールは届かない？

いいえ、届くことがあります。Gmailは迷惑メールの99.9%以上をブロックしているとGoogleは公表していますが、Googleの正規サービスを悪用した手口など、すり抜けるものもあります。

Q. Gmailの迷惑メールを開くだけで感染する？

現在のGmailでは、開いただけで感染する可能性は一般に低いとされています。ただし、リンクのクリックや添付ファイルの開封は別の話なので、触れないようにしてください。

Q. プロモーションタブなら安全？

安全とは言えません。タブは、メールの種類（広告やメルマガなど）を自動で分類しているだけで、安全性を確認したしるしではないからです。

Q. 「迷惑メールではない」を押しても大丈夫？

確証のないメールには押さないほうが安心です。その送信者のメールが、今後あなたの受信トレイに届きやすくなる可能性があります。怪しいメールには「フィッシングを報告」を使いましょう。

Q. Amazonからの本物のメールか確認する方法は？

メールのリンクは押さず、Amazonアプリを自分で開いて、メッセージや注文履歴を確認します。メールの詳細でMailed-byやSigned-byがamazon.co.jpなどの公式ドメインかを見るのも手がかりになりますが、それだけで決めつけないでください。

Q. Gmailの警告が出なければ安全？

いいえ。警告は、既知の脅威や、はっきりした認証エラーに対して出るものです。新しい手口には警告が出ないこともあります。

Q. 二段階認証なら安心？

とても大事な対策ですが、安心しきれません。AiTMのように、入力したコードごとリアルタイムで盗む手口があるからです。可能なら、パスキーも設定しましょう。

Q. パスキーならフィッシングを防げる？

認証情報を偽サイトに渡してアカウントを乗っ取られるタイプには、非常に強いとされています。ただ、カード情報の入力など、すべてを防げるわけではありません。

Q. Gmailの「フィッシングを報告」って何をするボタン？

怪しいメールをGoogleに知らせるための機能です。報告された情報は、同じ手口のメールを減らすことに役立つとされています。ただの削除より、報告してから削除するのがおすすめです。

Q. iPhoneのGmailアプリで、リンク先を安全に確認する方法は？

スマホでは、パソコンのようにマウスを合わせてURLを見ることができません。リンクの長押しで確認できる場合もありますが、環境によってはプレビューのためにリンク先が読み込まれることがあります。迷ったら押さず、公式アプリから確認するのがいちばん確実です。

おすすめアイテム

パスワード管理は1Password

Gmailの守りが強くても、うっかり偽サイトに入力してしまう日はあるかもしれないよね。そんなとき同じパスワードを使い回していると、被害が他のサービスへ広がりやすいんだ。1Passwordならサイトごとに別々のパスワードを作って管理してくれるから、使い回しを減らす助けになるよ。

ビサイユのトートバッグ

メールのリンクを押さずにアプリで確認する習慣がつくと、スマホを出し入れする回数も自然と増えるよね。ポケットが多くて軽く、スキミング防止の工夫もあるこのトートなら、通勤にも休日の街歩きにも頼れる相棒になるよ。

軽量ショルダーBCS-140

支払いも確認もアプリで済ませる今、スマホもカードも身につけて持ち歩くほうが気楽かも。撥水で軽いBCS-140は斜めがけで両手があくから、ちょっとしたお出かけにちょうどいいよ。