フィッシングとは？偽サイトの見分け方3つと、開いた後の対処

「アカウントを停止します。本日中に確認してください」。夕方、こんなメールやSMSが届いたことはありませんか。ロゴも文面も本物そっくりで、リンクの先にはいつものログイン画面が待っています。押してよいのか、どこを見れば分かるのか。

フィッシングとは、本物そっくりのメールやSMS、サイトで、パスワード・確認コード・カード番号を本人に入力させてだまし取る詐欺です。

守り方は一つに絞れます。届いたリンクや電話番号は使わず、いつもの公式アプリか、保存してあるブックマークから同じお知らせを探す。入口を変えるだけで、偽の画面には入らずに済みます。

すでにパスワードやカード番号を入れてしまった人は、開いてしまったときの安全な動き方へ先に進んでください。手口を読み終えるより、入れた情報に合わせた対応が先です。

フィッシングサイトの見分け方｜入力前に見る3か所

見た目で本物を当てようとすると、相手の得意な土俵に乗ることになります。見るのは画面の作りではなく、入口と宛先です。

1. 届いたリンクを使わず、公式アプリかブックマークから入り直す。 本物の用件なら、公式アプリやマイページの中からも同じ手続きができます。まずこれを試し、見つからなければそのメッセージは使いません。
2. 入力する前に、アドレス欄のサイト名（ドメイン名）を右から読む。 入れた内容は、そこに書かれたサイトへ送られます。1文字違いや余計な単語が足してあれば別のサイトです。読み方はURLとはで練習できます。
3. 急がせる文面と、心当たりのない要求に気づく。 「今すぐ」「停止」「不正利用」は、考える時間を奪うための言葉です。自分で始めていない手続きなのにログインや確認コードを求められたら、そこで閉じます。

三つを通っても、分かるのは「怪しい所が見つからなかった」ことまでです。だから1が本命で、2と3は押してしまったあとの保険と考えてください。

イト

フィッシングっぽいメールが来たら、どこで止まればいいの？

ピコ

リンクを押す手前と、入力する手前。届いたリンクはいったん置いておこう

マコト

いつもの公式アプリに同じお知らせがあるか見ればいい。本物らしさで決めなくていいんだ

第52話「フィッシングはどこで見抜く？」では、第51話で見つけた偽の入口にイトたちが立ち止まります。画面のむこうで何をだまし取ろうとしているのかは、入力欄を見ると分かります。

フィッシング詐欺が狙う情報｜入力欄を見れば相手の目的が分かる

偽の画面が入れさせようとするものは、そのまま相手のほしい物の一覧です。

• IDやメールアドレスと、パスワード
• 2段階認証の確認コード
• クレジットカードの情報
• 銀行や決済サービスの情報
• 住所や電話番号、本人確認書類の画像

たとえば「本人確認のため、確認コードを入力してください」と出たら、相手はそのコードで、こちらのアカウントに自分がログインしようとしているところです。何を入力させるかを見れば、何を取られるかが先に分かります。ログインと確認コードが何を守っているかは、2段階認証とはで見えます。

同じ物を狙っていても、入口はメールだけではありません。

フィッシングの入口はメールだけではない｜SMS・SNS・検索広告

ふだん使う連絡手段や、検索結果のいちばん上からも現れます。

どの入口でも、使う言葉は同じです。「今すぐ」「停止」「期限」「不正利用」。不安にさせて、考える時間を減らすためです。

名前やサービス名を知っていても、本物の証拠にはならない

自分の名前や住所の一部、使っているサービス名が書いてあると、本物に見えます。けれど、相手がこちらを知っていることと、連絡元が本物であることは別の話です。どこかから漏れた情報が、本人向けに見せる材料になります。

ロゴ、差出人の名前、画面に出た電話番号も同じです。警察庁のフィッシング対策は、表示される送信元の名前やメールアドレスだけで真偽を見分けるのは難しいと案内しています。米国の連邦取引委員会（FTC）の注意喚起も、相手が個人情報を知っていることを信頼の根拠にしないよう呼びかけています。

ユイ

鍵マークが付いていたので、安心して入力しかけました

ピコ

鍵が守るのは、ここからサイトまでの通り道だけ。相手が偽サイトなら、入力した中身は守られたまま偽サイトに届くよ

鍵マークがあってもフィッシングサイトはある｜HTTPSが守る範囲

HTTPSと鍵マークが示すのは、通り道が暗号化されていて、途中で盗み見されないことです。相手が本物かどうかは示しません。偽サイトもHTTPSを使えるので、鍵マークの付いた偽ログイン画面は作れます。

通り道が守られていても、宛先が偽物なら、パスワードはそのまま偽物へ届きます。あとから入れる確認コードも同じです。鍵マークは通り道の確認、サイト名と公式の入口は相手の確認。この二つを分けて見ます。鍵マークの見方と、ブラウザの警告を含めた入力前の三つの場所は、HTTPとHTTPSの違いにまとめてあります。

相手の確認をすり抜けられると、2段階認証のコードまで取られます。

2段階認証のコードもフィッシングで盗まれる｜承認通知の罠

2段階認証を使っていても、入力先が偽物なら守りは効きません。偽サイトは、ID、パスワード、確認コードの順に入力させ、受け取ったそばから本物のサイトへ打ち込みます。確認コードは使える時間が短いのですが、その場で入力させれば相手は間に合います。

確認コードを入れる前に見るのは三つです。

• いま自分がログインしようとして始めた操作か
• 開いているのは、公式アプリかブックマークから入ったサイトか
• 入力の順番や画面が、いつもと違っていないか

自分が始めていないログインの承認通知は、許可しません。通知を止めたくて承認するのも避け、公式の案内やサポート情報を確かめます。もう入力や承認をしてしまっていたら、ここから先は見分け方ではなく、行った操作に合わせた対応です。

フィッシングを開いてしまったときの安全な動き方

開いただけか、入力したか、アプリを入れたか。この三つで、やることが変わります。どの場合も、メッセージの中の連絡先は使わず、公式アプリやブックマークから動きます。

入力した・承認した場合は、パスワードの変更と公式窓口

• パスワード：すぐに変えます。同じパスワードを使い回していた別のサービスも変えます。放っておくと、そちらのログインにも使われます。サービスにログイン履歴があれば、知らない端末が入っていないかも見ます。
• 確認コード・承認通知：対象のサービスへ連絡し、知らないログインや登録情報の変更がないかを、公式の復旧手順に沿って確かめます。
• カード・銀行の情報：カード会社や銀行の公式窓口へすぐ連絡します。被害が出るまで待ちません。

ログインできなくなったら、同じ画面で何度も試さず、そのサービスのアカウント復旧や問い合わせの窓口へ進みます。仕事用のアカウントなら、会社のルールに沿って担当者へ報告します。

アプリを入れた・端末の設定を変えた場合は、閉じるだけでは終わらない

ページを閉じても、入れたアプリや変えた設定はそのまま残ります。IPAの偽SMS対策と対処と、端末やサービス提供元の案内に沿って進めてください。会社の端末なら、自分で初期化する前に担当者へ報告します。

何も入力していない場合は、閉じて公式の入口から入り直す

ブラウザを閉じ、公式アプリやブックマークから入り直して、同じお知らせがあるかを見ます。確かめたくても、同じリンクは開き直しません。

フィッシングの見分け方を試すワーク

次に「アカウントを停止します」という案内が来たら、開く前に三つを分けてみてください。練習は、残してある古いメールで足ります。怪しいリンクは開きません。

1. どこから届いたように見えるか（差出人の名前ではなく、本物の入口はどこか）
2. どこへ連れていこうとしているか（サイト名を右から読む）
3. 何を入力させようとしているか（取られる物の一覧）

フィッシングでよくある質問

Q1. リンクを開いただけなら、情報は取られていませんか？

入力も許可もしていなければ、パスワードやカード番号は渡っていません。ブラウザを閉じて、公式アプリやブックマークから入り直します。アプリを入れた、設定を変えた場合は、上の手順へ進みます。

Q2. 鍵マークがあればフィッシングではありませんか？

いいえ。偽サイトもHTTPSを使うので、鍵マークは付きます。鍵マークは通り道の確認、サイト名と公式の入口が相手の確認です。

Q3. 2段階認証を使っていれば、確認コードはどこに入れても大丈夫ですか？

いいえ。偽サイトはコードを受け取ったその場で使います。自分が公式の入口から始めた操作のときだけ入力します。

次に「至急」のメールが来たら｜フィッシング対策は30秒の一歩から

冒頭の「アカウントを停止します」に戻ります。ロゴや文面で本物を当てる必要はありません。届いたリンクは置いておき、公式アプリから同じお知らせを探せば足ります。鍵マークは通り道の確認で、相手の確認は別だとも知っています。

今日できる一歩は一つです。いちばんよく使う銀行か通販のアプリを開くか、ログインページをブックマークに入れておく。次に急がせるメールが来たら、そこから入ります。家族に伝えるなら「その『至急』のメール、公式アプリにも同じお知らせある？」の一言で足ります。

公式の入口から入れば、偽サイトは避けられます。それでもパスワードが別の場所から漏れたとき、もう一つの確認はどこまで守ってくれるのか。2段階認証とはで、コード・認証アプリ・セキュリティキーの違いと、スマホをなくしたときの備えが分かります。