そのPayPalメールは本物？フィッシング詐欺を見分ける6つのポイント

PayPalは世界で最も人気のある決済プラットフォームの一つです。その人気こそがPayPalの大きな魅力でもあります。誰かにお金を送りたいとき、相手がすでにPayPalを使っている可能性は非常に高いでしょう。

しかし残念ながら、この人気は犯罪者にとっても利用価値が高いということです。現在では、PayPalのアカウント情報を盗み出すことだけを目的としたフィッシングメールが数多く出回っています。そして、もしそうしたメールに引っかかってしまえば、失うものはPayPalの残高だけでは済まないかもしれません。

では、こうしたメールはどのような仕組みで動いているのでしょうか。さらに重要なのは、どうすれば本物と偽物を見分けられるのかという点です。

PayPalのフィッシングメールとは？

PayPalのフィッシングメールとは、スパムメールの一種で、ユーザーをだしてPayPalアカウントのパスワードを入力させることを目的としています。「PayPalから連絡が来た」と思わせることで、メール内の指示に従わせる仕組みです。しかし実際には、指示に従った先でやり取りしているのはPayPalではなく、第三者なのです。

PayPalがフィッシングの標的にされやすい理由は、金融サービス企業であることに加え、多くのユーザーがすでにPayPalからの正規のメールを受け取っているため、「PayPalからのメール」というものに馴染みがあるからです。

PayPalのフィッシングメールはどのように機能するのか

典型的なフィッシングメールは、「あなたのアカウントに何らかの問題が発生しています」という内容で始まります。送信者はあなたが最後にアカウントを使用した日時などを知り得ないため、その内容は概して曖昧で汎用的なものです。例えば、「不審なログイン試行が検出されました」や「通常とは異なるアクティビティがありました」といった文面が使われます。

また、行動を促す理由も添えられているのが一般的です。例えば、「対応するまでアカウントが制限されます」などといった文言です。

問題を解決するには、メール内のリンクをクリックしてPayPalアカウントにログインするよう促されます。しかしこのリンクをクリックすると、悪意のある偽サイトへ誘導されてしまうのです。

偽サイトは本物のPayPalサイトとほぼ見分けがつかないほど精巧に作られていますが、そこでログイン情報を入力すると、パスワードは盗まれてしまいます。攻撃者はそのパスワードを使ってアカウントにログインし、金銭を奪うことができます。被害はPayPalの残高にとどまらず、紐づけられたクレジットカードや銀行口座にも及ぶ可能性があります。

場合によっては、偽サイトが追加情報を求めてくることもあります。例えば、「アカウント確認のため身分証明書の写真を提出してください」といった具合です。こうして集められた個人情報は、なりすまし犯罪（ID盗用）に悪用される恐れがあります。

さらに、ソフトウェアのダウンロードを求めるタイプのフィッシングメールも存在します。そのソフトウェアの多くはキーロガーであり、以降にデバイス上で入力されたあらゆるパスワードを記録・盗取できてしまうのです。

盗んだお金はどこへ消えるのか

多くのユーザーは「PayPalには不正利用保護機能があるし、送金できる相手もPayPalユーザーだけだから、比較的安全だろう」と考えています。

しかし残念ながら、それは窃盗を防ぐことにはなりません。犯罪者は匿名のPayPalアカウントを作成し、お金が返還される前に引き出してしまうのです。また、盗んだアカウントを使って高額商品を購入し、それを転売する手口もあります。

つまり、PayPalアカウントの乗っ取りは銀行口座のハッキングほど深刻ではないとはいえ、決して油断できるレベルではないということです。

PayPalのフィッシングメールを見分ける方法

フィッシングメールには、一目で偽物とわかる粗末なものから、本物と見分けがつかない精巧なコピーまで幅広く存在します。どのタイプに遭遇しても対応できるよう、以下のポイントを押さえておきましょう。

1. メールアドレスを確認する

フィッシングメールを見抜く最も簡単な方法は、差出人のメールアドレスをよく確認することです。PayPalからの正規のメールは、必ず「@PayPal.com」で終わるアドレスから送信されます。

詐欺師たちは、メールアドレスを本物らしく見せるためにさまざまな手口を使ってきます。表示名だけを「PayPal」にしたり、よく似たドメインを使ったりするケースもあるため、細部まで注意深くチェックしましょう。

2. 自分の名前が書かれているか確認する

PayPalユーザーであれば、会社側があなたの個人情報を保有しているのは明らかです。そのため、PayPalが「お客様各位」のような汎用的な挨拶で始まるメールを送ることはありません。

詐欺師が汎用的な挨拶を使うのは、単純にあなたの名前を知らないからです。一方、PayPalの担当者は実名を使用します。それが正当性を示す一助となるからです。

ただし注意が必要なのは、名前がないことはスパムの兆候ですが、名前があることが必ずしも正当性の保証にはならないという点です。犯罪者があなたのメールアドレスを入手している場合、同じ経路で氏名などの追加情報も入手している可能性があります。

3. 情報の要求に注意する

PayPalは、ユーザーが詐欺の標的になりやすいことを十分に認識しています。そのため、パスワードなどの機密情報をメールで求めることは絶対にありません。

メールがどんなに本物らしく見えても、パスワードやその他の個人情報を求められた場合は無視してください。これは電話でのやり取りにも当てはまる鉄則です。

4. 添付ファイルをダウンロードしない

PayPalが添付ファイル付きのメールを送信することはありません。添付ファイルはマルウェア拡散の手段としてあまりにも有名なため、大手企業の多くは使用を完全に避けています。

何かのダウンロードを求めるメールが届いたら、常に疑ってかかるべきです。

5. 小さなミスを見つける

中にはプロフェッショナルな文章で書かれたフィッシングメールもあり、外見だけで見分けるのは困難です。しかし大多数のフィッシングメールには、決定的なミスが潜んでいます。

スペルミス、不自然な言い回し、乱れたフォーマットに注目しましょう。PayPalからの正規メールは校正されており、完璧な体裁で送られてきます。何らかのミスがあれば、疑ってかかる理由になります。

6. 悪意のあるURLをクリックしない

メールにリンクが含まれていること自体は、必ずしも危険なサインではありません。PayPalの正規メールにも、ウェブサイトへのリンクが含まれていることはよくあります。

しかし、悪意のあるメールと正規のメールを見分ける簡単な方法があります。それは、リンクの実際のリンク先を確認することです。

リンク先を確認するには、リンクテキストを選択して右クリックし、「リンクのアドレスをコピー」（ブラウザによって表記は異なります）を選択します。その後、そのアドレスをブラウザやテキストエディタに貼り付けて確認します。Enterキーは押さないでください。

リンク先がPayPal.com以外のドメインであれば、それはフィッシングメールです。

疑わしいメールは無視する

PayPalのフィッシングが効果的なのは、ほとんどのユーザーが自分のアカウントを大切にしているからです。そのため、確信が持てない怪しいメールにもつい反応してしまう人が多いのです。

そのようなメールを受け取ったら、まず別のタブや別のブラウザで直接アカウントにログインしてから判断しましょう。言うまでもなく、その際はURLを手動で入力することが重要です。

本当にアカウントに問題があるなら、公式サイトにログインした時点で通知が届いているはずです。