「第一生命」をかたるフィッシングメールが流通 — 正規サービス「資産形成プラス」に便乗、「資産Plus」偽サイトでログイン情報を詐取

項目	内容
発生日	2026年4月16日（フィッシングサイトの稼働確認日）
対象組織・業界	第一生命（生命保険。ブランドを悪用された側）
攻撃手法	正規サービスに便乗したフィッシング（偽サイトでのログイン情報詐取）
情報源	Security NEXT（2026年4月16日）

概要

フィッシング対策協議会は、2026年4月16日、「第一生命」のブランドを悪用したフィッシングメールが出回っているとして注意喚起を行いました。

第一生命は2023年1月より、資産形成などの支援サービス「資産形成プラス」を展開していますが、今回の攻撃はこの正規サービスに便乗した手口と見られています。フィッシングメールでは正規サービスと酷似した「資産Plus」などと称し、利用開始の手続きを行うとポイントをプレゼントするとだまして誘導先の偽サイトへ誘い込み、ログイン情報を詐取しようとしていました。

2026年4月16日時点でフィッシングサイトの稼働が確認されており、同協議会は閉鎖に向けてJPCERTコーディネーションセンターへ調査を依頼するとともに、類似した攻撃への注意を呼びかけています。

経緯

• 2023年1月: 第一生命が資産形成などの支援サービス「資産形成プラス」の展開を開始
• 2026年4月16日: 同サービスに便乗したフィッシングメールの流通をフィッシング対策協議会が確認、注意喚起を実施。同日時点でフィッシングサイトの稼働を確認
• 同協議会がJPCERTコーディネーションセンターへ閉鎖に向けた調査を依頼

原因

本件は第一生命のシステムが侵害されたものではなく、同社のブランドと正規サービス名を第三者が無断で悪用した攻撃です。攻撃者の身元・メール送信基盤・偽サイトのホスティング先は公表されていません。

考えられる原因（推測）: 攻撃者が「資産形成プラス」という実在サービスを選んだ点に、この手口の設計意図が表れています。受信者が検索して確認しても実在するサービスが出てくるため、「聞いたことがない＝怪しい」という第一の判断基準が機能しません。サービス名を「資産Plus」とわずかに変えているのは、正規名称そのままだと商標監視やブランド保護サービスの自動検出に引っかかりやすいためと考えられます。「ポイントプレゼント」という誘因は、金銭的な得を提示することで受信者の確認行動を省略させる典型的な設計です。資産形成サービスは口座情報・資産状況と結びつくため、詐取されたログイン情報の換金価値が高いことも、攻撃対象として選ばれた理由と推測されます。

対策

組織が学ぶべきこと

1. 自社ブランドが騙られていることを、自社は最後に知る

本件を検知したのはフィッシング対策協議会であり、第一生命ではありません。ブランドを悪用されるフィッシングでは、攻撃メールが自社の受信箱に届かないため、社内の監視やログには一切痕跡が残りません。顧客からの問い合わせ、業界団体からの通報、外部の監視サービス——この三つ以外に気づく手段がないという前提で、通報を受け付ける窓口と、受け付けてから注意喚起を出すまでの手順をあらかじめ決めておく必要があります。

2. 「実在するサービス名」に便乗されると、知識だけでは見抜けない

「知らないサービスからのメールは開かない」「URLを確認する」といった一般的な教育は、正規サービスに便乗されると効きが落ちます。本件では、受信者が「資産形成プラス」を検索すれば実在が確認でき、むしろ安心材料になってしまう。見抜くポイントを「サービスの実在」から「メールが届いた文脈」（申し込んだ覚えがあるか、送信元ドメインが公式か、URLの遷移先はどこか）へ移す訓練が要ります。

3. 顧客向けのフィッシングは、従業員にも同じ形で届く

自社ブランドを騙るメールは、自社の従業員の私用アドレスにも届きます。そして従業員が業務パスワードを他サービスで使い回していれば、顧客被害が組織内部の侵害に転化します。顧客向けの注意喚起を出すタイミングで、社内にも同じ手口を共有するのが定石です。

ヤグラの視点 — 二次攻撃の連鎖を断つ：詐取されたログイン情報は、別のログイン画面で試される

フィッシングの被害は、偽サイトにパスワードを入力した瞬間には確定しません。確定するのは、そのパスワードが別のサービスで試された時です。

資産形成サービスのログイン情報を詐取した攻撃者は、同じメールアドレスとパスワードの組み合わせを、他の金融サービス、ECサイト、クラウドメールで順に試します。パスワードの使い回しがあれば、被害は当初のサービスの外へ広がります。逆に言えば、最初の一件から二件目までの間には時間差があり、そこが介入できる唯一の窓です。

この窓を活かせるかどうかは、報告の速さで決まります。「入力してしまった」と本人が言い出すまでの時間、それが組織に伝わるまでの時間、影響範囲が特定されるまでの時間。合計が数日になれば、二件目はすでに起きています。

前提に置くべきなのは、人は騙されるし、間違えるという事実です。訓練でクリック率を下げても、ゼロにはなりません。だからこそ、騙された後の初動を短縮する設計が要ります。報告の間口を1クリックまで下げ、報告されたメールをAIが数分で分析し「同じメールが社内の誰に届いているか」まで自動調査する体制が、二次被害を断ちます。→ PhishAI

そのうえで、本件のように実在サービスへ便乗する手口は、知識ではなく体験でしか身につきません。最新の攻撃手口を反映したマルチチャネル型の訓練が、人的要因への対策として有効です。→ ヤグラ アウェアネス

今後の対応

フィッシングサイトは2026年4月16日時点で稼働中で、JPCERTコーディネーションセンターによる閉鎖調査が進められています。同一ブランドを騙る類似サイトの再出現、および他の金融サービス名への便乗事例の広がりを注視します。

更新履歴

日時	内容
2026-08-07	初稿公開（2026年4月16日注意喚起時点）