フィッシングサイト削除：内製・代行・SaaS の比較

自社をかたるフィッシングサイトを止める作業は、社内に持つ・外に出す・ツールで回すの 3 つに分かれます。結論から言うと、判断軸は金額ではなく「立ち上げに何日かけられるか」と「監督官庁に第三者監視として示す必要があるか」です。価格は公開しているベンダーがほとんどないため、比較表の数字を信じるのではなく、見積りを取るしかありません。

この記事では、自社をかたるフィッシングサイトを見つけたら：48 時間でやる 7 つのことの Step 5（ドメイン登録事業者への abuse 通報）と Step 6（ブラウザのブロックリストへの提出）を、誰が担うか（内製・代行・SaaS）で比べます。

比較の枠組み

金額の入っていない軸だけを並べます。工数や年間コストを「目安」として書いた表はよく見かけますが、OpenBait にはそれを裏づける実測がありません。

価格について分かっていること

公開価格が確認できるのは限られています。

• Phish.Report — 2026 年 9 月時点で月額 500 ドルの単一プラン。以前は無料で使えるツールでした（比較ページ）。
• OpenBait — 料金ページに掲載しています。1 ブランドは Free プランで利用でき、有料プランでは OpenBait の担当が削除依頼を提出します。
• Memcyco、Axur、ZeroFox などの海外エンタープライズ製品 — 公開価格はなく、見積り対応です。
• 国内の代行サービス — 公開価格はなく、被害件数と対応範囲によって個別見積りになります。

つまり、比較のために最低 2 社から見積りを取る必要があります。見るべきは月額だけでなく、従量課金かどうか（1 件いくらの体系だと、被害が増えた月に予算が読めなくなります）と、途中解約の可否です。

内製で運用する

被害が年に数件で、社内に abuse 通報の実務に通じた人がいるなら、内製は現実的です。外部に証拠を渡さずに済み、ナレッジも自社に残ります。つまずくのは次の 3 点です。

通報が読まれない形で届く。 件名「お問い合わせ」、本文「弊社ブランドを騙るサイトがあります。対応お願いします」という形の通報は、ドメイン登録事業者の abuse キューで後回しになります。審査担当者が自分で確認できない通報は、事業者の判断次第で動かないことがあります。ドメイン登録事業者への通報で何が起きるかはフィッシングサイトをドメイン登録事業者に通報する方法で説明しています。

ブラウザのブロックリストが抜け落ちる。 ドメイン登録事業者がドメインを止めるまでの数日間も、お客様はフィッシングサイトに着地し続けます。ブロックリストはドメイン登録事業者とは別の層で、別の時間軸で動きます。仕組みはフィッシングサイトをブラウザのブロックリストに通報する方法で説明しています。

担当者の異動で巻き戻る。 通報の経験や経緯は担当者個人に溜まりがちで、引き継ぎでは受け継がれにくいものです。社内で継続して回せる体制がないなら、外に出すか SaaS を挟んだほうが実質の負担は軽くなります。

代行サービスを使う

国内の情報セキュリティ事業者が、フィッシングサイトの調査と通報を代行するサービスを提供しています。向いているのは、監督官庁の指導下にある業種で、監査や規制対応の場面で第三者監視を示す必要がある企業、あるいは被害件数が多く、専任を置くより外注したほうが総額で安くなる規模の企業です。

依頼側の手間はほとんどありません。契約・押印・請求書払いといった日本の商習慣にもそのまま乗ります。定期レポートが内部監査や当局への報告材料として使える点も、実務では効きます。

弱点は立ち上がりの遅さです。商談から契約までの期間、フィッシングサイトは待ってくれません。その空白は内製か SaaS で埋めることになります。もう一つは対応範囲で、大手のドメイン登録事業者との関係があっても、小規模な事業者に登録されたドメインについては代行会社も同じように abuse メールを書いて送るだけです。そこでは依頼側が直接送るのと差が出ないこともあります。

確認すべき項目は次のとおりです。実績の業種構成、対応できるドメイン登録事業者とホスティング事業者の一覧、ブラウザのブロックリストへの並行提出が契約に含まれるか、SLA の「初動」と「完了」の定義、月次レポートの形式、途中解約の可否。

SaaS で運用する

SaaS が向くのは、契約したその日に動かしたい場合、そしてフィッシングサイトへの対応を情シスだけでなく広報や事業部でも触れる形にしたい場合です。管理画面に経過が残るため、報告資料もそこから出せます。

限界もはっきりしています。ドメイン登録事業者が「これは DMCA の対象です」といった誤分類で拒否してきたときのエスカレーション——法的な申立てや上位機関への苦情——は多くの SaaS の範囲外で、最後の判断は依頼側に残ります。監督官庁との対話で「第三者監視契約」として並べたい場面でも、SaaS は社内ツールとして扱われやすく、代行のほうが通しやすいことがあります。

海外製 SaaS を日本企業で採用する場合は、調達側の条件を先に確認してください。年契約・銀行振込・円建ての請求書払いに対応していない場合、実質的に採用できません。日本語 UI とドキュメント、日本語サポートの応答時間、ISMS / ISO 27001 認証の有無も、取引条件として求められることがあります。

どれを選ぶか

• 被害が年に数件、社内に通報の経験がある → 内製。テンプレートとブロックリストへの提出までは自前で回せます。
• 当日から動かしたい、複数部門で触りたい → SaaS。重い案件だけ外部の弁護士に個別で出す形が現実的です。
• 監督官庁に第三者監視として示す必要がある → 代行。立ち上がるまでの空白を、内製か SaaS で埋めてください。
• 被害が常態化している → 代行と SaaS の併用。代行を当局対応に、SaaS を可視化と記録に。「代わり」ではなく「重ね」になります。

フィッシング対策協議会に報告すれば、サイトは閉鎖されるのか

報告は無駄ではありませんが、それだけで閉鎖が約束されるわけではなく、報告者に結果も返ってきません。フィッシング対策協議会は、稼働を確認したフィッシングサイトの URL を JPCERT/CC に共有し、JPCERT/CC がサイト閉鎖に向けた調整を行うと案内しています。一方で報告ページには、報告が非常に多いため受領の返信は割愛する、と明記されています。2026 年 8 月の月次報告によれば、その月に寄せられた報告は 82,338 件でした。

つまり協議会への報告は、注意喚起と情報共有の経路としては機能しますが、「自社をかたるフィッシングサイトがいつ止まるのか」を追う手段にはなりません。経過を自分で把握したいなら、ホスティング事業者とドメイン登録事業者への通報を自分たちで進め、誰に何をいつ送ったかを記録しておく必要があります。上の 3 つの選択肢は、その作業を誰が担うかの違いです。

OpenBait の位置付け

OpenBait は SaaS 型のなかでも、入口を「お客様からの通報」に置いたサービスです。ヘルプページの phishing@ を 1 本のリンク（openbait.com/report/{ブランド名}）に置き換えると、お客様が貼ったリンクの判定が数秒で返り、フィッシングと確認できたものはブラウザのブロックリストへ通報されます。ホスティング事業者とドメイン登録事業者への削除依頼は有料プランの内容です（Free プランでは 1 件 $199 の追加購入）。ブランド側が偽サイトと確認すると、OpenBait の担当が固定の通報者名義で提出し、経過は案件として記録に残ります。実際の流れは通報からテイクダウンまでにまとめています。

Free プランは 1 ブランドまで使えます。Free プランでできるのは、通報ページとブラウザのブロックリストへの提出までです。ホスティング事業者・ドメイン登録事業者への削除依頼は有料プラン（月 3 件の Pro $299 から）の内容で、Free プランでも 1 件 $199 で追加できます。プランごとの違いは料金ページをご覧ください。

---

関連記事

• 自社をかたるフィッシングサイトを見つけたら：48 時間でやる 7 つのこと
• 「偽サイトにご注意ください」注意喚起の例文集
• フィッシングサイトをドメイン登録事業者に通報する方法
• フィッシングサイトをブラウザのブロックリストに通報する方法