そのメール、本物ですか｜フィッシングを現場でどう見分けているか

本記事はアフィリエイト広告（PR）を含みます。紹介料の有無で内容や評価は変えていません。

「このメール、開いても大丈夫でしょうか」というご相談を、月に何度かいただきます。多くは事務の方からで、すでに開いてしまった後のご連絡もあります。中小企業の現場では、メールを開くかどうかの判断を、専門の担当者ではなく受け取った本人がその場で決めなければならないのが実情です。

先日も1通、お客様から転送いただいて判定したメールがありました。セキュリティに関する案内を装ったもので、結論から言うとウイルスが添付されたメールではなく、偽のページに情報を入力させるタイプ（フィッシング）の可能性が高いと判断しました。この1通を題材に、私が実際にどこを見ているのかを書きます。特別な道具は使っていません。

実際に届いたメールの形

そのメールは、件名に「本人確認のご案内」と入っていました。差出人の表示名はセキュリティ関連の事業者らしい名前。本文は「アカウントの情報が流出している可能性があるので、本人確認をしてください」という内容で、確認用のリンクが貼られていました。

文面そのものは日本語として自然で、いかにも怪しい機械翻訳という感じではありません。昔のように「文章がおかしいから偽物」という見分け方は、もう通用しないと考えたほうがよいです。

それでも、確認していくといくつも引っかかる点が出てきました。

私が見た5つの点

1. 差出人のアドレスの「後ろ半分」

メールアドレスの「＠」より後ろの部分を見ます。ここがその会社のものかどうかが判断の中心です。今回のメールは、本物らしい事業者の名前をそのまま使いながら、末尾だけが本来と違うものになっていました。よく知られた社名やサービス名を含んでいると、人はそこで安心してしまいます。読むのは前半ではなく末尾です。

表示名（差出人の欄に日本語で出る名前）は、送る側が自由に決められます。表示名だけを見て判断しないでください。

2. 「本人確認をさせる」構造そのもの

メール内のリンクを押させて、その先でIDやパスワードを入力させる。これがフィッシングの基本形です。メールから誘導して本人確認をさせる時点で、形式としてはすでに怪しいと考えて構いません。正規の事業者も似たようなメールを出すことがあるので紛らわしいのですが、だからこそ「メールのリンクは押さない」を習慣にしたほうが安全です。

3. 不安をあおる言葉が入っている

「情報が流出している可能性」「本人確認が必要」。こうした言葉は、読んだ人を落ち着かせないためにあります。判断を急がせるのが目的です。急かされていると感じたら、いったん手を止める。これだけで防げるものが相当あります。

4. 表示されているリンクと実際の行き先が違う

本文に見えているアドレスと、実際にクリックしたときに開くアドレスは、別々に設定できます。パソコンなら、リンクの上にマウスを乗せると（クリックせずに）行き先が画面の隅や吹き出しに表示されます。ここが見えているものと違えば、それで判断は付きます。

5. 「心当たりがなければ破棄してください」の一文

一見すると良心的に見えますが、偽メールでもよく使われる逃げ文句です。この一文があるから安心、とは言えません。

迷ったときの確認表

社内で共有していただくなら、この程度の粒度がちょうどよいと思います。

見るところ	安全側の見え方	疑う見え方
差出人アドレスの末尾	取引のある会社の見慣れたもの	社名は合っているが末尾が見慣れない
求められている行動	お知らせを読むだけ	リンクを押して情報を入力させる
文面の調子	淡々としている	流出・停止・至急などで急かす
リンクの行き先	表示と実際が一致	表示と実際が違う
添付ファイル	なし、または予告済み	心当たりのない添付がある

そして一番確実な確認方法は、メールの中のリンクを使わないことです。その会社のサービスを本当に使っているのなら、メールは閉じて、ふだん使っているブックマークや検索から公式サイトへ入り、そこでお知らせが出ているか確認する。これなら偽のページに入る余地がありません。

やってはいけないこと

• 本文内のリンクを押す
• メールに返信する（返信した時点で「生きているアドレス」だと相手に伝わります）
• ID・パスワード・個人情報を入力する
• 心当たりのない添付ファイルを開く

もう押してしまった場合

ご相談の多くは「押してしまった後」です。慌てる必要はありませんが、やることは押した後に何をしたかで変わります。

開いただけ・何も入力していない場合

1. そのままブラウザを閉じる
2. ウイルス検査を実行する
3. 念のため、そのメールアカウントのログイン履歴を確認する

IDやパスワードを入力してしまった場合

1. そのアカウントのパスワードをすぐ変更する
2. 同じパスワードを使い回している他のサービスも変更する（ここを飛ばす方が多いのですが、被害が広がるのはたいていここからです）
3. 可能なら多要素認証（ログイン時にスマートフォンなどで追加確認する仕組み）を有効にする
4. 社内のメール管理者、必要なら取引先にも状況を伝える

入力してしまったこと自体を責めても、何も戻りません。言い出しにくい空気を作らないほうが、結果的に被害は小さくなります。私が伺う現場でも、早く連絡をいただけた案件ほど軽く済んでいます。

会社として決めておきたいこと

• 迷ったら開かずに転送して相談する先を決めておく（社内の誰か、または保守業者）
• メールのリンクからログインしないを、全員の共通ルールにする
• パスワードの使い回しをやめる。最低でも、メールと銀行と業務システムは別のものにする
• 押してしまった人を責めない、と決めておく

（PR）判断を一人に背負わせないための備え

ここまで書いたとおり、フィッシングは人の判断を突いてくるものなので、ソフトを入れれば防げるという性質のものではありません。実際、上のメールも添付でウイルスを送り込む形ではありませんでした。

そのうえで、危険なページを開こうとしたときに警告を出す機能や、添付ファイルの検査は、判断を助ける層としては有効です。パソコンに何も入っていない状態の会社は今どき少ないと思いますが、期限が切れたまま使い続けているケースは現場でよく見かけます。更新が止まっていないかだけは確認しておいてください。

なお、上記は家庭向けの製品です。会社の業務で使うパソコンに導入する場合は、法人向けのライセンス条件を確認してください。台数や管理方法の条件が異なります。

まとめ

• 日本語が自然でも偽物はある。文面の上手さで判断しない
• 見るのは差出人アドレスの末尾とリンクの実際の行き先
• メールから本人確認をさせる形そのものを疑う。確認は公式サイトへ自分で入って行う
• 入力してしまったら、そのアカウントと、同じパスワードを使っている全サービスを変更する
• 「迷ったら誰に聞くか」を先に決めておくほうが、教育より効く

画面に警告が出て電話番号が表示されるタイプの手口については「ウイルスに感染しました」の画面に電話番号が出たら、それは偽物ですに、感染を疑ったときの初動については「LANケーブルを今すぐ抜いてください」と言う理由にまとめています。