ウェブサイトは安全に使える？偽サイトの見分け方とリスク対策を徹底解説

インターネットが世界中で拡大し続けるにつれて、ハッキングやサイバー攻撃の危険性も高まっています。悪意ある攻撃者が人々からデータを盗む手口として特に多いのが、偽サイト（フィッシングサイト）です。すでに何百万人もの人が、こうした悪質なサイトの被害に遭っています。

では、こうした攻撃から身を守るにはどうすればよいのでしょうか？この記事では、偽サイトを利用することのリスクと、その見分け方について詳しく解説します。

偽サイトにはどんなリスクがある？

詐欺的なウェブサイトを訪れること自体に、いくつかの危険が潜んでいます。

1. ハッキング

不正なサイトにアクセスすると、サイトのファイルやダウンロードファイルに仕込まれた悪意のあるコードによって、セキュリティファイアウォールを突破され、パソコンへの侵入を許してしまう可能性があります。

2. フィッシング詐欺

フィッシング攻撃とは、攻撃者が信頼できる企業や組織になりすまして信用を得ようとし、データや個人情報を盗み出す手口です。多くの場合、偽のメールを開かせたり、悪意のあるリンクをクリックさせたり、セキュリティシステムを侵害するソフトウェアをインストールさせたりします。

典型的な例がスパムメールです。「ログイン情報やクレジットカード情報を入力してください」と誘導するメールで、カード情報を入手されると、クレジットカードの不正利用や金銭被害につながります。

3. コンピューターマルウェア

オンラインの犯罪者は、ポップアップ、ページの改ざん、広告、検索エンジンの警告などに悪意のあるコードを仕込むことがあります。こうしたリンクをクリックすると、マルウェアが自動的にインストールされ、データを盗まれたり、ランサムウェア攻撃によって情報を暗号化されたりする恐れがあります。

4. 個人情報の盗難

不正なサイトのフォームに個人情報を入力すると、なりすまし被害のリスクに大きくさらされます。攻撃者は盗んだ情報を使ってあなたになりすまし、データやお金を奪ったり、あなたの名前で他の犯罪を行ったりします。

偽サイトの見分け方

意外に思われるかもしれませんが、少し注意を払えば偽サイトは簡単に見分けられます。以下のポイントに注目しましょう。

1. デザインやテーマの粗雑さ

まずはサイトのレイアウトを確認しましょう。オンライン詐欺師はデザインにお金をかけたがらないため、短時間で雑に作られたサイトが多くなります。

そうしたサイトでは、多くの要素が正しく機能しません。例えば、トップページのスライダーが動かなかったり、画像が表示されなかったり、埋め込み動画が再生されなかったりします。ユーザーインターフェース全体が古びて見えることもあります。また、企業のブランドカラーが間違っているケースも多く、これも有力な見分けポイントです。

2. 文法ミスや誤字脱字

詐欺グループが手間をかけない限り、サイト上の文章には言語的なミスが残りがちです。ひどい文法ミスがないかをチェックしましょう。

きちんと運営されている企業は、構成や文法のエラーを避けるためにコンテンツを入念に校正しています。さらに、正規サイトから文章や画像などを無断コピーしていないかも確認するとよいでしょう。

3. 感情に訴えかける表現

サイトがどんなトーンで情報を伝えているかにも注目してください。詐欺師は感情に訴えるのが得意で、恐怖感や焦り、怒りを煽って目的の行動（クリックや入力など）をさせようとします。操作的な言葉で脅しをかけてくるようなサイトは、正当なサイトとは言えません。

4. サポートページの欠如

多くの偽サイトには、正規のサイトなら必ず存在する重要なページがありません。ハッカーは匿名性を保つため、連絡先やサポートページを奥深くに隠そうとします。

仮にページが存在しても、連絡先は偽物であることがほとんどです。メールアドレスの拡張子が「.xyz」「.site」「.contact」など奇妙なものであったり、電話番号に海外の国番号が付いていたり、そもそも繋がらなかったりします。

そのウェブサイトは安全に使える？

安全なサイトの見分け方を少し学んでおくだけで、多くの偽サイトから身を守ることができます。

1. HTTPSとSSL証明書を確認する

サイトを開いたら最初に確認したいのが、ドメインの直前に「HTTPS://」と表示される安全な通信プロトコルの有無です。HTTPSはHTTPのセキュア拡張版です。HTTPのみのサイトが必ずしも詐欺サイトというわけではありませんが、安全性は低いと言えます。

HTTPSを使用しているということは、サイトがSSL証明書（Secure Socket Layer）を導入していることを意味します。SSLはサーバーとあなたのPCとの間にエンドツーエンドの暗号化を確立し、すべての通信を保護して、マルウェアや攻撃を防ぎます。

アドレスバーのドメインの横に灰色の鍵マーク（南京錠）が表示されていますか？それもSSL証明書の有無を確認する方法の一つです。鍵マークをクリックすると、SSL証明書の発行元や接続の安全性を確認できます。

2. サイト評価チェックツールを使う

サイトの正当性を素早く確認するもう一つの方法が、サイト評価チェックツールの活用です。代表例として挙げられるのが「Google Safe Browsing（Googleセーフブラウジング）」です。

サイトにGoogleが危険と判断するコンテンツがないかを調べるには、Safe BrowsingのサイトステータスチェッカーにURLを貼り付けて「Search」をクリックします。

もう一つの便利なツールが「VirusTotal」です。VirusTotalは70種類以上のアンチウイルススキャナーを使って、サイト内の悪意のあるコードやマルウェアを検査します。Google Safe Browsingと同じように、ドメインの安全性を判定できます。

3. ドメイン名を再確認する

ブラウザでサイトを開く前に、URLが正しいかどうか必ず再確認しましょう。ChromeやFirefoxなら、リンクにカーソルを合わせるだけで確認できます。

ブラウザの左下に完全なURLとパスが表示されるはずです。URLのスペルに細心の注意を払いましょう。サイバー犯罪者が正規サイトを複製し、有名サイトによく似たリンクを使うことがあります。注意深く見ていないと、詐欺に引っかかる可能性があります。

4. プライバシーポリシーページを探す

プライバシーポリシー（個人情報保護方針）のページには、サイトがどのように情報を収集・利用・保護しているかが記載されています。EUなど一部の国や地域では、プライバシーポリシーの設置が法的義務となっています。個人情報を入力する前に、必ず内容を目を通しておきましょう。

現在、プライバシーポリシーの設置は世界的な標準的な慣行になっており、それがないサイトは大きな危険信号です。

5. 信頼のバッジ（Trust Badge）をテストする

トラストバッジとは、第三者機関が発行する認証トークンで、サイトの正当性を証明するものです。通常、サイトのフッター、決済ページ、ログインページ、ホームページなどに表示されます。

バッジをクリックしたとき、発行元の公式サイトへリダイレクトされ、そのサイトが信頼できるセキュリティ基準を満たしていることが説明されるはずです。単なる画像としてしか表示されない場合は、それも危険信号です。

6. ブラウザのセキュリティ機能を活用する

多くのWebブラウザには、Operaの内蔵VPNをはじめ、ユーザーを守るためのセキュリティ機能が備わっています。これらの機能は、安全性が疑われるサイトを識別して警告するのにも役立ちます。

7. サイト運営者に連絡してみる

正規のサイトには、必ずメールアドレス、所在地、SNSアカウント、電話番号などの連絡先があります。これらの情報が記載されていれば、実際に運営者へ連絡してみましょう。

運営者がサイトの存在を知らない様子であれば、それは悪意のあるサイトである兆候です。その他の危険信号としては、電話が繋がらない、住所が実在しない、メールが戻ってくる、リダイレクトが多すぎる、などが挙げられます。

よくある質問

1. サイトを閲覧するだけでハッキングされることはある？

はい、安全でないサイトを訪れただけでも、ハッキングされる可能性はあります。ハッカーは悪意のあるリンクやコード、ポップアップ、広告、自動ダウンロードなどを利用します。

感染したサイトを訪れると、画面に積極的に表示されてクリックや操作を促してくるものもあれば、バックグラウンドで処理を実行してマルウェアをPCにインストールするものもあります。

2. 詐欺師はどんな情報を盗むの？

詐欺師は、銀行口座番号、パスワードなどのログイン情報、マイナンバーや社会保障番号、住所、電話番号といった個人情報を狙います。

盗まれた情報はダークウェブで売却されたり、預金口座から金銭を引き出されたりします。また、ランサムウェアでファイルをロックされ、金銭を要求されることもあります。

3. リンクを開くだけでスマホもハッキングされる？

PCと同様に、スマートフォンでも感染したサイトを開くと同様の攻撃にさらされる可能性があります。さらに、公共Wi-Fiにスマホを接続することも、ブルートフォース攻撃（総当たり攻撃）のリスクを高め、ハッカーに個人情報へアクセスされる恐れがあります。

_{画像クレジット：Unsplash}