フィッシング詐欺の見分け方｜偽メール・偽サイトの確認手順

フィッシングが成立する仕組み

フィッシングは、本物そっくりのログイン画面を用意し、そこへ誘導して入力させる手口です。技術的に高度な攻撃ではなく、成否を決めているのは文面の作り方のほうです。共通しているのは、考える時間を与えない構造になっている点です。

• 期限を切る：「24時間以内に手続きがない場合、アカウントを停止します」
• 損失をちらつかせる：「不正利用が検知されました」「荷物を返送します」
• 手間が小さく見える：「下記リンクから確認するだけ」
• 文面が短い：判断材料を意図的に減らしている
• 実在の企業名を使う：見慣れたロゴと配色で違和感を消す

逆に言えば、「急いでいる」と感じた時点で、いったん手を止めるだけで大半は防げます。本当に重要な通知であれば、公式アプリやブックマークから入り直しても同じ内容が確認できるはずです。メールやSMSのリンクを踏まずに確認する経路を持っておくことが、いちばん確実な対策です。

メール・SMSを開いたときの確認順

1. 1

   ①差出人のドメインを最後まで見る

   表示名は自由に設定できるため、見るのは「@」以降です。amazon.co.jp.example.com のように、本物のドメインを前半に置いて別ドメインにぶら下げる手口が定番です。ドメインは右端から読むのが基本です。

2. 2

   ②リンク先URLをタップせずに確認する

   PCならリンクにカーソルを合わせると表示されます。スマホなら長押しでプレビューできます。ここでも見るのはドメインの右端です。

3. 3

   ③自分の状況と照らす

   頼んでいない荷物、使っていないサービス、心当たりのない決済。前提が合わないなら、それ以上読む必要はありません。

4. 4

   ④リンクを踏まずに公式から確認する

   公式アプリ、あるいは自分のブックマークから開きます。本当に手続きが必要なら、そこにも同じ通知が出ています。

5. 5

   ⑤判断がつかないなら公式の問い合わせ窓口へ

   メールに書かれた電話番号ではなく、公式サイトに掲載された番号にかけてください。連絡先まで偽装されている前提で動きます。

5行目は特に誤解が多い点です。鍵マーク（HTTPS）は「通信が暗号化されている」ことしか示しません。偽サイトでも取得できるため、安全の証明にはなりません。判断に使うのはドメイン名そのものです。

ログイン画面が出たときの確認

リンクを開いてしまっても、入力する前なら被害は出ません。ログイン画面が出たら、入力する前に次を確認してください。

• アドレスバーのドメインを右端から読む。サブドメインではなく、末尾の2つが公式のものか
• パスワード管理アプリが自動入力しない場合、URLが登録済みのものと違う可能性が高い
• 日本語が不自然、フォントや余白が公式サイトと違う、リンクの多くが機能しない
• 個人情報をまとめて聞いてくる。暗証番号、カード裏面のセキュリティコード、口座番号を同一画面で要求する
• 本来ログイン後にしか出ない情報が、ログイン前から表示されている

なお、二段階認証のコードを聞き出す手口もあります。偽サイトに入力させたIDとパスワードを攻撃者が本物のサイトへ即座に流し込み、届いたコードを続けて入力させる方法です。「コードを入力してください」と表示されても、その画面が本物かどうかは別に確認する必要があります。

入力してしまったときの対処

気づいた時点で、順番に手を打ちます。慌てて全部を同時にやろうとすると抜けが出るので、上から順に処理してください。

1. 1

   ①そのサービスのパスワードを変更する

   偽サイトからではなく、公式アプリかブックマークから入り直して変更します。すでにログインできない場合は、次の手順へ進みます。

2. 2

   ②同じパスワードを使い回している他のサービスも変更する

   被害が広がるのはここです。同じ組み合わせで他サービスへのログインが試されるため、心当たりのあるものはすべて変えます。

3. 3

   ③二段階認証を有効にする

   パスワードが漏れても、追加の確認がある状態にします。認証アプリを使う方式がSMSより強固です。

4. 4

   ④カード情報を入力した場合はカード会社へ連絡する

   利用停止と再発行を依頼します。連絡先はカード裏面か公式サイトに記載されたもので、メールに書かれた番号は使いません。

5. 5

   ⑤ログイン履歴と連携アプリを確認する

   身に覚えのないログインや、勝手に追加された連携アプリ・転送設定がないかを見ます。メールの自動転送設定は特に見落とされます。

6. 6

   ⑥必要に応じて相談する

   金銭被害が出た場合や、勤務先のアカウントに関わる場合は、警察の相談窓口や社内の情報セキュリティ担当へ連絡します。

パスワードを作り直すときは、以前のものを少し変えただけの文字列にしないでください。漏れたパスワードは推測の起点になります。ランダム生成した文字列を、サービスごとに別々に割り当てるのが確実です。

次に備える設定

最も効果が大きいのは1行目です。フィッシングの実害は、盗まれた組み合わせが他のサービスで試されることで広がります。サービスごとにランダムな文字列を割り当てておけば、被害はその1件で止まります。パスワード生成ツールでは、長さと文字種を指定してその場で作れます。

• 重要度の高いアカウント（メール・決済・SNS）から順に対処する
• メールアカウントは最優先。ここを取られると他サービスの再設定に使われます
• 使っていないサービスは退会しておく。管理対象を減らすことも対策のひとつです
• 家族と共有しているアカウントは、共有をやめるか、専用の方法に切り替える

よくある質問

鍵マークがついていれば安全ですか？

いいえ。鍵マークは通信が暗号化されていることを示すだけで、運営者が本物かどうかは示しません。証明書は誰でも取得できるため、偽サイトにも鍵マークは表示されます。確認すべきはドメイン名そのもので、右端から読んで公式のものかを見てください。

メールを開いただけでも危険ですか？

本文を表示しただけで直ちに被害が出ることは通常ありません。危険なのは、リンクを開いて情報を入力すること、添付ファイルを開くことです。ただし画像の読み込みで開封が相手に伝わることはあるため、明らかな詐欺メールは開かず削除するのが無難です。

リンクを開いてしまいましたが、何も入力していません。

その時点では、情報は渡っていません。ページを閉じ、そのサイトから届く通知を無視してください。念のため、そのサービスのログイン履歴を公式アプリから確認し、身に覚えのないログインがないか見ておくと安心です。

パスワードを入力してしまいました。何から手をつけるべきですか？

まずそのサービスのパスワードを公式アプリかブックマークから変更し、次に同じパスワードを使い回している他のサービスをすべて変更してください。続けて二段階認証を有効にします。カード情報も入力していた場合は、カード裏面の番号からカード会社へ連絡してください。