「サーバーの契約が期限切れになります」「アカウントに不審なログインがありました」。こうしたメールが届いて、思わずリンクを開きそうになった経験はないでしょうか。
フィッシング詐欺とは、実在する会社になりすましたメールで偽のページへ誘導し、IDやパスワード、クレジットカード番号などを入力させる手口のことです。以前は日本語の不自然さで気づけるものが多かったのですが、近年は文面も見た目も本物とほとんど区別がつかなくなっています。
この記事では、会社宛てに届きやすい手口と、確認のしかたを整理します。
なぜ会社宛てのメールが狙われるのか
個人宛てのものだけでなく、会社のメールアドレスも同じように狙われます。ホームページに掲載している問い合わせ用のアドレスは、誰でも見られる状態にあるためです。
また、会社は複数のサービスと契約しているのが普通です。ドメイン、サーバー、金融機関、通販サイト、業務用のクラウドサービス。それだけ「本物らしく見えるメール」の題材が多いということでもあります。担当者が一人で複数の契約を管理している場合、どれがいつ更新されるかを把握しきれず、判断が甘くなりがちです。
会社に届きやすい代表的な手口
ドメインやサーバーの契約更新を装うもの ホームページの管理担当者が狙われやすい種類です。「更新手続きが完了していないため停止されます」といった内容で、支払い情報の入力を求めてきます。ドメインやサーバーは実際に更新期限があるため、たまたま時期が重なると信じてしまいがちです。
ログイン確認を装うもの GoogleやMicrosoftなどのアカウント、あるいはホームページの管理画面への「不審なアクセスがありました」という連絡です。確認のためと称してログイン画面そっくりのページへ誘導します。
取引先や社内からの連絡を装うもの 請求書の送付、振込先の変更依頼、社内の共有ファイルの通知など、業務そのものに見える形で届きます。実際にやりとりのある相手の名前が使われることもあります。
宅配便や公的機関を装うもの 不在通知や還付金の案内など、個人宛てに届くものが会社のメールにも紛れ込みます。
確認したいポイント
送信元のメールアドレスを最後まで見る 表示されている名前は自由に設定できるため、名前だけでは判断できません。アドレスの「@」より後ろの部分が、その会社が本来使っているドメインと一致しているかを確認します。「例:@google-security-check.com」のように、本物の名前を含んだ別のドメインが使われることがあります。
リンク先のURLを開く前に確かめる パソコンならリンクの上にマウスを重ねると、スマートフォンなら長押しすると、実際の飛び先が表示されます。ここでもドメイン部分を確認します。判断に迷うときは、メール内のリンクからではなく、ブラウザのお気に入りや検索から公式のページを開き直すのが確実です。
急がせる表現がないか 「24時間以内に手続きがない場合は停止します」「至急ご確認ください」といった、考える時間を与えない書き方は代表的な特徴です。
心当たりのある内容かどうか 契約していないサービスからの請求、申し込んだ覚えのない確認メールは、それだけで疑う理由になります。
日本語の自然さは判断材料になりにくい 以前は不自然な言い回しが手がかりになりましたが、現在は自然な文面のものが増えています。文章がきれいだから本物、とは考えないほうが安全です。
開いてしまったときの対応
リンクを開いただけであれば、多くの場合は情報を入力しなければ被害には至りません。落ち着いて次の順で対応します。
- 情報を入力してしまった場合は、そのサービスのパスワードを変更する。同じパスワードを別のサービスでも使っている場合は、そちらも変更します。
- 二段階認証を設定する。パスワードが漏れても、それだけでは入られない状態にします。
- クレジットカード情報を入力した場合は、カード会社の窓口に連絡する。
- 社内で共有する。同じメールが他の人にも届いている可能性が高く、隠さず伝えることが被害を止める近道です。
- 添付ファイルを開いた場合は、そのパソコンをネットワークから外して確認を依頼する。
責める空気があると報告が遅れ、被害が広がります。「開いてしまっても、すぐ言えば大丈夫」という共通認識を作っておくことが、実は最も効果があります。
日ごろの備え
- 重要なアカウントには二段階認証を設定しておく
- パスワードは使い回さず、サービスごとに変える
- 振込先の変更依頼は、メールだけで判断せず電話で確認する手順を決めておく
- ホームページの管理画面のIDに、推測されやすい名前を使わない
- 契約しているドメインやサーバーの更新時期を自社で把握しておく(いつ更新されるか分かっていれば、偽の通知に気づけます)
まとめ
フィッシング詐欺メールは、見た目で完全に見分けるのが難しくなっています。そのため「文面を読んで判断する」よりも、「メールのリンクからは手続きをしない」「公式のページを自分で開き直す」という手順を習慣にするほうが確実です。
あわせて、二段階認証の設定と、社内で報告しやすい雰囲気づくりを進めておくと、万一のときの被害を小さく抑えられます。
