フィッシングメールの見分け方と対策ガイド

メールボックスに一通のメールが届きました。差出人はPayPal。「アカウントが不正利用されたため、ロックされました」という内容です。「くそっ、またハッカーがパスワードを推測しようとしているのか!」と思ってしまいます。

そして、アカウントを再有効化して新しいパスワードを設定するために、メール内のリンクをクリックする必要がある……と書かれています。しかし、そこで立ち止まってください。今読んでいるそのメールは、あなたを騙すために巧妙に作られたフィッシングメールなのです。メールに書かれている情報は偽りであり、実際にはあなたのアカウントはロックされても制限されてもいません。

フィッシングメールは年々高度化しています。では、どうすればそれを見抜き、被害を回避できるのでしょうか?

フィッシングメールを見分けるのは難しい

フィッシングメール(正規企業を装い、個人情報を盗み出そうとするメッセージ)を見破ることは不可能ではありませんが、CBS NewsとIntel Securityの調査によると、大多数の人にとっては非常に困難です。ただし悪い話ばかりではありません。以前のIntelの調査では、情報セキュリティの専門家でさえ94%が少なくとも一度はフィッシングメールに騙されたことがあるという結果が出ています。つまり、誰にでも起こりうる問題なのです。

フィッシングメールに騙されることは、単に個人情報を流出させるだけでは済みません。詐欺師は十分な情報を集めてなりすまし(ダークウェブではわずかな金額で売買されています)、あなたの名前で借金をし、金銭的なトラブルを残していく可能性があります。さらに、その資金は麻薬取引や人身売買などの違法産業に流用されます。

騙されてしまい、銀行やクレジットカード会社に後始末を任せるというのは得策ではありません。少なくとも大きなリスクを負うことになります。フィッシングメールの見分け方を学ぶことで、こうしたリスクは回避できるのです。

なお、フィッシングはメール以外でも発生します。SNS上のフィッシング詐欺にも注意が必要です。

フィッシングメールの実例

すべてのフィッシングメールの例を挙げることはできませんが、今後数ヶ月のうちにこのようなメールを受け取る可能性は十分にあります。たとえ届かなくても、これらの例から、フィッシングメールがいかに巧妙化しているかを理解できます。現在では、あまりにも本物らしく見えるため、見分けるのが難しくなっています。

PayPalを装ったメール

これはPayPalアカウントを狙った、非常に説得力のあるフィッシングメールです。過去のフィッシングメッセージはリンクだらけでしたが、このメールには「Log in here(ここからログイン)」というリンクが1つあるだけです。デザインと洗練さが勝っており、偽物だと気づく要素はほとんどありません。しかし、次の3つの手がかりがあります。

• スペルミスがあります:「its just an error...」(it'sであるべき)という箇所が文末近くにあります。
• 送信者アドレスが「confirmagain@ppservice.com」——これは明らかにPayPalのドメインではありません。
• PayPalはログインリンク付きのメールを送信することはありません。

Apple?それとも銀行?

これはAppleからのものと思われる、非常に完成度の高いフィッシングメールで、受信者に未読メッセージの確認を求めています。しかし、このメールに騙されるようではまだまだ修行が必要です。

• 送信者が「drowley@midwestbank.com」と表示されている——Appleからのメールなのか、銀行からのメールなのか?
• 「Read Now >」リンクにマウスを合わせると、Appleのサイトでも銀行のサイトでもないURLが表示されます。
• App Storeはメッセージを保存したり転送したりする機能を持っていません。

WhatsAppを装ったメール

このメールは見た目はまずまずですが、内容が簡潔すぎる点が特徴的です。「WhatsAppのメッセージがあります」という短い内容だけで、受信者は誰から連絡が来たのか確かめようとPlayボタンをクリックしたくなります。しかしここにも手がかりがあります。

• 送信者メールアドレス「dajohns@mixom.com」はWhatsAppとはまったく関係ありません。知らないメールアドレスの場合は避けるべきです。
• 「Whats App」という表記が、ヘッダーでは2語、フッターでは1語になっています。
• そもそもWhatsAppアカウントを持っていない場合もあります。

上記3つの例では、よく観察すれば、メッセージが偽物だと判断できるだけの情報が必ず含まれています。こうしたメールや疑わしいものを受け取った場合は、「迷惑メール」としてマークしましょう。

フィッシングメールをブロックするためのツール

まだ100%自信がないなら(自信を持つべきではありません。これは難しいゲームです)、フィッシングメールの検出とブロックに役立つさまざまなツールを活用しましょう。

たとえば、MicrosoftのOutlook(www.outlook.com)を使っている場合、フィッシングメールを検出するスパムフィルターが組み込まれています。約95%の確率でうまく機能しますが、時折フィッシングメールが受信箱に入り込むこともあります。そうしたメールを見つけたら「迷惑メール」としてマークし、他のユーザーが被害に遭わないよう協力しましょう。また、PCにインストールされたマルウェアによって、友人に危険なメールを送信していないかも確認しておきましょう。

同様に、GoogleのGmailサービスもスパムやフィッシングメールを検出して迷惑メールフォルダに振り分けてくれるため、犯罪者の干渉を受けることなく安心してメールを読み続けられます。

さらに、Bitdefenderなどの有料オンラインセキュリティスイートには、フィッシング攻撃から保護するツールが含まれています。これらのツールは受信箱レベルではなくブラウザレベルで保護し、詐欺サイトへのアクセスや情報入力を防いでくれます。

フィッシングメールの見分け方はもうお分かりですか?過去に騙された経験はありますか?ぜひコメント欄でお聞かせください。

さらに詳しく知りたい方は、類似の手口である「ファーミング(pharming)」についても調べてみましょう。