自社をかたるフィッシングサイトを見つけたら：48 時間でやる 7 つのこと

「会社のブランドを名乗るフィッシングサイトが発見されました」——この一報が情シスや広報担当に入った瞬間から、対応の質はその後 48 時間で決まります。

実際にフィッシング被害の報告を受けた企業が直面する最大の問題は、「何を・どの順序で・誰が」やるのか、社内に整理された手順がないことです。多くの場合、広報が独自にアナウンスを準備し、法務が別ルートで対応を検討します。その間にもフィッシングサイトは稼働し続け、被害は拡大します。

この記事は 「発見直後から 48 時間以内の 7 ステップ」 を、各ステップの責任者と成果物とともに並べたものです。社内で完結するものと、外部の事業者が関わるものがあります。外部が関わる部分は時間がかかり、手間も多い工程で、OpenBait がブランドに代わって扱っているのもその部分です。

Step 1（発見後 1 時間以内）— 被害の範囲を特定する

責任者：情シス / セキュリティ担当 成果物：「被害サマリ」1 ページ

最初の 1 時間でやるのは事実の確定だけです。外部への通報やお客様向けの告知は、事実が違えば間違ったものになるので、まだ出しません。次の点を確定させます。

• 偽ページのアドレス（途中のリダイレクトを含む）
• いつ現れたか、ドメインとその背後のサーバーを誰が運営しているか
• 自社のどの要素がコピーされているか（ロゴ / 文言 / 画面構成 / ログインフォーム）
• すでに被害に遭った可能性のある人数の見当（サポートへの連絡、SNS での言及）
• サイトの目的（認証情報の収集 / 偽の決済 / 偽の配送通知など）。お客様向けの注意喚起の書き方が変わります

ページの見方にも注意が必要です。社用ネットワークからのアクセスに気づいて挙動を変えるキットがあるため、確認は社外の一般的な回線から行うほうが安全です。

自社で継続監視を入れていれば、この Step 1 の大半は自動で埋まります。検知の仕組みについては類似ドメイン検知の実務ガイド — 5 つの手法と使い分けを参照してください。

Step 2（発見後 2 時間以内）— 社内ステークホルダーへの即時共有

責任者：情シス部長または CSIRT リード 成果物：Slack / Teams / メールでの初報（1 つの宛先リスト）

48 時間対応で一番よく失敗するのは 「共有が遅いこと」 です。次のメンバーに、最初の 2 時間以内に共有してください。

避けるべきパターンは、情シス内だけで抱え込むことです。「広報に出すかまだ決めかねる」という段階でも、**「広報に入れるかどうかも含めて判断したいので、状況を共有します」**という形で早めに引き込むのが鉄則です。

Step 3（発見後 4 時間以内）— 証拠を保全する

責任者：セキュリティ担当 or SOC 成果物：タイムスタンプ付きで保存した証拠一式

証拠は、あとで外部への通報、正式な手続き、お客様向けの説明、社内監査のいずれでも使います。キットは攻撃者が停止の動きに気づくと途中で消えることがあるため、ページが残っているうちに集めておく価値があります。

知っておくとよいことが一つあります。2026 年 9 月に OpenBait が扱った偽ネットショップの案件では、最初の通報から数時間のうちに、サイトが一部の接続を拒むようになりました。対応できたはずの事業者の担当者が、サイトを開けなくなったのです。自社だけが持っている証拠より、外部の第三者が自分で確かめられる証拠のほうが効きます。具体的な方法はここでは書きません。

Step 4（発見後 6〜12 時間以内）— ユーザーへの警告アナウンス

責任者：広報、カスタマーサポート、情シスの共同 成果物：自社サイトでの告知、メール、SNS 投稿

「アナウンスするかどうか」を迷う時間は短くしてください。なお、第三者が勝手に立てたフィッシングサイトについて、告知する法的義務は通常ありません。個人情報保護法の報告・通知義務は自社のデータが漏えいした場合の話で、フィッシングサイトの存在そのものはそれに当たりません。告知するのは、自社の名前でお客様が被害に遭っているからです。自社のシステムや顧客データも侵害されていた場合は義務が生じ得るので、そこは法務に確認してください。文面の実例は「偽サイトにご注意ください」注意喚起の例文集にまとめています。

告知する内容は次のとおりです。

• 偽サイトのドメイン名（誤ってクリックされない形で）
• 正規サイトのアドレス（正しいものを明示してそれ以外を踏まないよう誘導）
• パスワードや決済情報を入力してしまった可能性がある場合の対応（パスワードの変更、カードの停止、サポートの連絡先）
• 企業側で進めている対応
• 今後の最新情報をどこで確認できるか

ブラウザの警告が出るまで告知を待つ必要はありません。反映までの時間は公表されておらず、OpenBait の実測でも 3 日間変化が見えない例がありました。告知は警告の有無にかかわらず出します。

Step 5（発見後 12〜24 時間以内）— 対応できる事業者への通報

責任者：情シス / 法務共同 成果物：適切な外部事業者への通報と、その記録

フィッシングサイトは、層ごとに管理している事業者が違います。

• ドメイン登録事業者はドメイン名そのものを管理しています。名前を取り上げられるのはドメイン登録事業者だけです。
• ホスティング事業者はサーバーを管理しています。ホスト側の「停止」が、実際には一部の接続を拒んでいるだけで、ほかの人には表示され続けている場合もあります。
• ブラウザやセキュリティ製品のブロックリストは訪問者への警告を担います。何かを消すものではありません。
• 検索エンジンは掲載の有無を決めます。

どの窓口にも、速く答える義務はありません。そして窓口ごとに、動く前に必要とするものが違います。宛先を誤った通報や、担当者が自分で確認できない通報は、後回しになりがちです。社内対応で数日を失うのはこの段階です。OpenBait はここをブランドに代わって担当し、通報ごとに結果まで追跡しています。

通報の先にある正式な手続きや裁判所を通じた対応は、案件ごとに弁護士が判断することです。

Step 6（発見後 24〜36 時間）— 効果が出たかを確かめる

責任者：セキュリティ担当 成果物：何が変わったかを日時つきで記したインシデントチケット

通報は結果ではありません。ページがまだ開けるか、訪問者に警告が出ているか、ドメインがまだ引けるかを改めて確認し、見たものを日時とともに記録します。監査や事後レビューで必ず問われます。窓口によって、動く速さも、そもそも動くかどうかも大きく違います（.cn のフィッシングサイト：Tencent 経由なら 1 日で停止）。

Step 7（発見後 24〜48 時間以内）— 次の一件のコストを下げる

責任者：情シス + CISO 成果物：監視体制の判断と、次回発見時の通知ルート

今回のインシデント対応が終わる前に、次の一件のコストを下げておきます。継続監視がなければ、同じ 48 時間対応を毎回手作業で繰り返すことになります。有効な監視は、自社ブランドに関わる新規の証明書、新規登録ドメイン、類似の名前、SNS の投稿を見ています。

これを自前で回し続けるのはプロジェクトではなく常設の仕事で、一部を外に任せる最大の理由もそこにあります。内製・代行・SaaS のそれぞれが勝つ場面はフィッシングサイト削除：内製・代行・SaaS の比較にまとめました。

48 時間の全体像

発見後 1 時間:      範囲を特定し、被害サマリを 1 ページにまとめる
発見後 2 時間:      情シス・広報・法務・CS・事業責任者・CISO に共有
発見後 4 時間:      証拠一式を保全
発見後 6-12 時間:   ユーザー告知（自社サイト、メール、SNS）
発見後 12-24 時間:  各層を握る事業者への通報
発見後 24-48 時間:  効果の確認、継続監視の判断、事後レビューの設定

被害が出なかったときこそ、記録を残す

「お客様が入力する前に見つけた」という案件ほど手順は磨かれますが、いちばん記録されにくいのもこの種の案件です。キットの特徴、どのページを複製していたか、発見から停止までの時系列、動いた窓口と黙ったままだった窓口を書き残してください。半年分たまれば、来年どこに予算を使うべきかは、どのベンダーの提案書よりも正確にそこから読み取れます。

OpenBait がどこを担当するか

OpenBait は担当者の判断の代わりにはなりません。決まった手順で進められる部分を担当し、Step 2 と Step 4 は社内に残ります。

• Step 1（範囲特定）：継続監視により、範囲の特定まで済んだ状態でアラートが届きます
• Step 3（証拠保全）：検知ごとに取得します
• Step 5・6（外部への通報と確認）：OpenBait がブランドに代わって行い、結果まで追跡します
• Step 7（再発防止）：OpenBait の中心となる機能です

意図的に任せない範囲は、誰をどう巻き込むか（Step 2）、告知文のトーン・用語・法務レビュー（Step 4）、そして正式な法的手続きに進むかどうかの判断です。

発見から対応開始までの時間を最短にすることが、被害拡大を抑える最大の手段です。Free プランで試してみることから始められます。

関連記事

• 類似ドメイン検知の実務ガイド — 5 つの手法と使い分け
• フィッシングサイト削除：内製・代行・SaaS の比較
• .cn のフィッシングサイト：Tencent 経由なら 1 日で停止