フィッシングって結局なに？（1分で解説）
フィッシングとは、銀行や配送業者、Netflix、上司、ときには友人など、あなたが信頼している相手になりすまして、大切なものを差し出させようとするメッセージのことです。狙われるのはたいてい、パスワード、ワンタイムコード、カード情報、あるいは悪質なソフトを仕込むリンクへのワンクリックです。
フィッシングがなくならない理由は、とにかく安上がりだからです。詐欺師はほとんどタダで100万通のメールを送れますし、ほんの数人が引っかかるだけで十分に元が取れます。だからこうしたメールは「スピード勝負」で作られています。あなたが考える前に反応させたいんです。正直なところ、10秒だけ立ち止まることが一番の防御策です。そして、その10秒で何を確認すればいいかを教えてくれるのが、これから紹介する危険サインです。
12の危険サイン
1. 送信元アドレスが会社のものと一致しない
表示名は何とでも書けます。「PayPal Support」なんて、ただの文字列にすぎません。大事なのは、その後ろにある実際のメールアドレスです。名前をタップするか、マウスを乗せて確認してみてください。
- 問題なし：
[email protected] - 危険サイン：
[email protected] - 危険サイン：
[email protected]
大企業は自社のドメインからメールを送ります。無料のGmailやOutlookのアドレスから連絡してくることはありませんし、社名に「secure」「verify」「account」のような余計な単語をくっつけることもありません。
2. ドメインのつづりが「そっくりさん」
詐欺師は、ぱっと見では正しく見えるドメインを登録します。たとえば arnazon.com（r と n が並ぶと m に見える）、paypa1.com（小文字の l ではなく数字の 1）、micros0ft.com（o ではなくゼロ）などです。スマホの小さな画面ではまず気づけませんし、だからこそ使われるんです。ドメインは1文字ずつ、ゆっくり読みましょう。
3. 急かしてくる、脅してくる
「24時間以内にアカウントを閉鎖します」「最終通告」「法的措置を取ります」。本物の企業がメールでカウントダウンを突きつけてくることは、めったにありません。急かすのは、あなたに考える隙を与えないためです。メールを読んで焦りや怖さを感じたら、その感覚そのものを警告サインだと思ってください。
4. リンク先が別の場所になっている
ボタンには「アカウントにログイン」と書いてあっても、実際にはどこにつながっているのでしょう？ パソコンなら、リンクにマウスを乗せてブラウザの下隅に表示されるアドレスを見てください。スマホなら、リンクを長押しすれば開かずにプレビューできます。
- 銀行からのメールを名乗っているのに、リンク先が
secure-login-bank.xyzになっている - リンクは正しい名前で始まっているのに、本当のドメインは後ろのほうに隠れている：
https://netflix.com.account-update.info/login（この場合、本当のサイトは Netflix ではなくaccount-update.infoです）
https://netflix.com.account-update.info/login なら account-update.info です。それが、あなたが本当にやり取りすることになる相手です。5. 宛名が誰にでも当てはまる
「お客様各位」「ユーザー様」「大切な会員の皆様」。アカウントを持っている会社なら、普通はあなたの名前を知っています。汎用的な宛名だけで偽物と決めつけることはできませんが、このリストのほかのサインと重なっていたら、かなり怪しいと考えていいでしょう。
6. パスワードやコード、カード情報を聞いてくる
これはシンプルです。本物の銀行やショップ、メールサービスが、パスワードやカード番号、さっきSMSで送ったばかりのワンタイムコードを「返信で教えてください」と頼んでくることは絶対にありません。あのコードは、あなただけが使えるようにするために存在しているんです。メールでもチャットでも電話でも、それを聞いてくる人がいたら詐欺です。例外はありません。
7. 心当たりのない添付ファイル
「Invoice_0423.zip」「Payment_details.html」「Scanned_document.pdf.exe」。予想外の添付ファイル、特にZIPファイルやHTMLファイル、「編集を有効にする」「マクロを有効にする」を求めてくるものは、マルウェアを仕込む昔ながらの手口です。請求書が届く予定がないなら、その請求書は開かないでください。
8. うますぎる話
「iPhone 16が当選しました」「500ドル分のギフトカードをお受け取りください」「1,240ドルの税金還付があります」。応募していないなら、当選しているはずがありませんよね。こうしたメールはたいてい、「送料のため」と称してカード情報を入力させるフォームにつながっています。
9. 不自然な日本語やレイアウト（ただし過信は禁物）
妙な言い回し、おかしな文字の使い方、ぼやけたロゴは、かつては一番わかりやすい手がかりでした。でも今では、AIツールで書かれた、完璧に整ったフィッシングメールがたくさん出回っています。文章の不自然さはあくまで「おまけのヒント」として扱い、メインの判断材料にはしないでください。きれいな文章でも偽物はあります。
10. 返信先アドレスが送信元と違う
なかには、本物そっくりのアドレスから届いたのに、こっそり別の「返信先（Reply-To）」が設定されているフィッシングメールもあります。返信ボタンを押すと、あなたの返事は詐欺師に届いてしまうわけです。大事な情報を返信しようとしているときは、まず返信画面の「宛先」欄のアドレスを確認しましょう。
11. 申し込んだ覚えのないもの
使ったことのない配送業者からの発送通知、頼んでいないパスワードリセット、買った覚えのない商品の領収書。詐欺師は、あなたが注文を「キャンセル」したり「異議申し立て」したりしようとしてクリックするのを狙って、こうしたメールを送ってきます。メール内のリンクは使わないでください。気になるときは、その会社のアプリを開くか、アドレスを自分で入力してアクセスしましょう。
12. メールアプリが出す認証の警告
Gmail、Outlook、Apple Mailは、メールが名乗っているドメインから本当に送られてきたのかを裏側でチェックしています。そのチェックに失敗すると、「このメッセージは送信者を偽っている可能性があります」といった警告や、送信者の写真の代わりにクエスチョンマークが表示されることがあります。こうした警告は真剣に受け止めてください。このチェックの仕組みが気になる方は、SPF・DKIM・DMARCをやさしく解説の記事で、専門用語抜きで説明しています。
本物そっくりの例を分解してみよう
毎日のように受信箱に届いているのが、こんなメールです：
差出人：Amazon カスタマーサービス <[email protected]>
件名：【要対応】ご注文 #112-8842 は一時停止されました
お客様各位
お支払い情報を確認できませんでした。24時間以内にお客様情報をご確認いただけない場合、ご注文およびアカウントはキャンセルされます。
[アカウントを確認する]
危険サインを数えてみましょう：
- ドメインが
amaz0n-orders-support.comで、ゼロが混ざっているうえに余計な単語までついています。Amazonはこんなところからメールを送りません。 - あなたの名前ではなく「お客様各位」。
- 24時間という脅し。
- おそらく心当たりのない注文。
- 長押ししてみれば、まったく関係のないサイトを指しているはずのボタン。
たった数行に5つもの危険サイン。正しい対応は、削除するか、自分でAmazonアプリを開いて注文履歴を確認することです。本当に問題があるなら、そこにちゃんと表示されているはずです。
もうクリックしてしまったら
まず、慌てないでください。そして自分を責めないでください。こうしたメールは、人をだますことを本業にしている人たちが作っているんです。大切なのは、今すぐ動くことです：
- メールを開いただけの場合：ほぼ間違いなく大丈夫です。削除するだけでOKです。
- リンクをクリックしたけれど何も入力していない場合：そのページを閉じてください。セキュリティスキャンの機能があれば、端末をスキャンしておきましょう。
- パスワードを入力してしまった場合：本物のサイト（アドレスは自分で入力）ですぐにパスワードを変更し、同じパスワードを使っているほかのサービスでも変更してください。
- カード情報を入力してしまった場合：カードの裏面に書かれている番号でカード会社に電話し、カードを止めてもらいましょう。
- ワンタイムコードを教えてしまった場合：すぐにそのアカウントにログインし、パスワードを変更して、ほかのすべてのセッションからログアウトしてください。
- まだなら、メール、銀行、ショッピングのアカウントで2段階認証をオンにしましょう。
報告しよう。それがみんなを守ります
メールアプリの「フィッシングを報告」や「迷惑メールを報告」を使いましょう。Gmailなら3点メニューの中、Outlookなら「報告」の中にあります。これが、何百万人もの人を守るフィルターの学習に役立ちます。専用の報告先アドレスを用意している企業も多く、たとえば偽のPayPalメールは [email protected] に転送できます。アメリカならFTCの reportfraud.ftc.gov、イギリスなら [email protected] にも報告できます。
そもそもフィッシングメールを減らすには
フィッシングをゼロにすることはできませんが、受信箱を狙われにくくすることはできます：
- メインのメールアドレスを、あらゆるサイトや懸賞、無料ダウンロードに渡さないこと。アドレスを知っている場所が少ないほど、出回るリストも少なくなります。
- 一度きりの登録には使い捨てメールアドレスを使いましょう。あとでそのサイトが情報漏えいを起こしたりリストを売ったりしても、迷惑メールは自然に消える受信箱に届くだけです。
- パスワードマネージャーを使いましょう。
paypa1.comではパスワードを自動入力しないので、実は意外なほど優秀なフィッシング検知器になってくれます。 - スマホとブラウザは常に最新の状態に。アップデートが、悪質なリンクが狙う穴をふさいでくれます。
もしあなたのアドレスがすでに情報漏えいに巻き込まれているなら、メールアドレスが情報漏えいに含まれていたときの対処法を、日々の習慣についてはメールのプライバシーを守るためのベストプラクティスをぜひ読んでみてください。
10秒の習慣
この記事からひとつだけ覚えて帰るなら、これにしてください。メールが急いで行動させようとしてきたら、10秒だけ立ち止まること。本当の送信者を確認し、リンクを長押ししてどこにつながるかを見て、少しでも違和感があればクリックせずに自分でそのサイトへ行きましょう。そのちょっとした間が、世の中のフィッシングメールの大半を打ち負かしてくれます。
どうぞ気をつけて。このリストにない巧妙なフィッシングの手口を見つけたら、ぜひ教えてください。本当に知りたいと思っています。連絡先はこのすぐ下にあります。