情報ラボ ＞ あやしいメールを見分ける
本物そっくりの偽メールが届いたとき、どこを見れば気づけるでしょうか。
クリックすると答えと解説が表示されます。
URLで最も重要なのは、最初の「/」までの部分です。ここがドメイン名で、どこのサイトかを決めています。
さらにドメイン名は、右から読みます。上の例なら「jp（日本）の co（企業）の example」という組織です。左側の www は、その組織が自由に付けられる部分です。
つまり example.co.jp.evil.com は、example とは無関係の evil.com のサイトです。左側だけ見て安心してはいけません。
実在する企業や公的機関になりすまし、偽のメールやメッセージを送って、偽のサイトへ誘導する詐欺をフィッシングといいます。そこでIDやパスワード、クレジットカード番号を入力させて盗み取ります。
語源は釣り（fishing）ですが、洗練された（sophisticated）という語と混ざって phishing と綴られるようになったといわれます。魚を釣るように、大量にばらまいて引っかかる人を待つ手口です。
フィッシング対策協議会への報告件数は年間100万件を超える規模で推移しており、身近な脅威になっています。特にスマートフォンでは画面が狭くURLが省略されて表示されるため、見分けにくくなります。
近年のフィッシングメールは、非常によくできています。企業の本物のメールをそのままコピーして、リンク先だけ差し替えているものも多くあります。
かつては「日本語が不自然」という見分け方が有効でしたが、いまは通用しません。自動翻訳や生成AIの普及により、自然な日本語の偽メールが簡単に作れるようになったためです。文章の巧拙で判断するのは、もはや危険です。
文面が完璧でも、変えられないものがあります。リンク先のURLです。本物のドメインは持ち主がいるので、攻撃者は使えません。だから似せた別のドメインを用意するしかないのです。
URLの構造を正しく理解しておくことが、最大の防御になります。
最初の「//」から次の「/」までがドメイン名です。そして、ドメイン名は右から読みます。上の例は「jp の co の example」という組織を指します。左端の www は、その組織が自由に決められる部分にすぎません。
この性質を悪用したのが、次のような偽装です。
| URL | 実際にどこか |
|---|---|
| amazon.co.jp.security-check.com | security-check.com（無関係） |
| arnazon.co.jp | arnazon（rn を m に見せている） |
| amazon-support.net | amazon-support.net（別組織） |
1つ目は、左側に本物の文字列を置いて安心させる手口です。2つ目は、r と n を並べて m に見せる視覚的なトリックです。フォントによっては、ほぼ区別がつきません。
「httpsで鍵マークがあれば安全」と説明されることがありますが、これは正確ではありません。鍵マークが意味するのは通信が暗号化されていることだけです。
証明書は無料で取得できるため、詐欺サイトもhttpsに対応しています。実際、フィッシングサイトの大半がhttpsを使っています。「暗号化されて安全に偽サイトへ送られている」という状態になりうるのです。
鍵マークは「盗み見されていない」ことの証明であって、「相手が信頼できる」ことの証明ではありません。ここを混同しないことが重要です。
フィッシングは技術だけでなく、人の心理を利用します。よく使われるのは次の3つです。
いずれも、冷静に考える時間を奪うことが狙いです。急がせるメールは疑うというだけで、多くの被害は防げます。本当に重要な連絡なら、メール以外の手段でも届きますし、公式アプリを開けば確認できます。
結論はとても単純です。メールのリンクを押さないことです。
気になる連絡が来たら、そのメールは閉じて、いつも使っているアプリやブックマークから自分でアクセスします。本当にアカウントに問題があるなら、公式サイトにログインすれば必ず表示されます。この習慣ひとつで、フィッシングはほぼ防げます。
加えて、二段階認証を設定しておくと、万一パスワードを入力してしまっても被害を防げる可能性が高まります。パスキーを使えば、そもそも偽サイトでは認証が成立しないため、より根本的な対策になります。
フィッシングはメールだけではありません。手段によって呼び名があります。
SMS（ショートメッセージ）を使うものをスミッシング（SMS + phishing）といいます。宅配便の不在通知を装うものが多く、スマートフォンでは送信元が電話番号で表示されるため、正規の通知と見分けにくいのが特徴です。
電話をかけてくるものはビッシング（voice + phishing）と呼ばれます。銀行や警察を名乗り、口頭で情報を聞き出したり、操作を指示したりします。「今すぐATMへ」といった指示が典型です。
手段は違っても、狙いと対策は同じです。相手が名乗った組織に、自分が知っている連絡先から確認する。これだけで防げます。
気づいた時点で、すぐに行動することが被害を小さくします。
相談窓口として、消費者ホットライン（188）や、都道府県警察のサイバー犯罪相談窓口があります。恥ずかしいことではありません。巧妙な手口に引っかかるのは誰にでも起こりうることで、早く相談するほど被害を抑えられます。
ここで扱っているメールやURLは、すべて学習用に作成した架空のものです。実在の企業を装う意図はありません。