フィッシングメールの見分け方：クリック前の確認
ChatGPT
Claude
Gemini
Perplexity
Grok要旨
フィッシングメールの見分け方は、何を求めているか、送信元ドメインが本当に一致するか、リンク先、心当たりの有無を確かめることです。確認はメール以外の経路でしましょう。
フィッシングメールを見分けるには、見た目の出来より先に、何を求めているかを確かめます。思いがけないリンク、添付ファイル、電話番号、支払いの要求、パスワードや確認コードの要求があれば、手を止める合図です。次に、自分で開いたアプリ、Webサイト、明細、連絡手段で、書かれている出来事を確認します。ロゴ、見慣れた表示名、急かす件名は、この確認の代わりになりません。
概要
要点
- ロゴや文章の質ではなく、求められている行動から見ます。
- 確認が取れるまで、クリック、電話、返信、ダウンロード、サインインはしません。
- 送信者のアドレス全体と、各リンクの実際の行き先を読みます。
- 書かれている内容を、別に開いたアカウントや記録と照らし合わせます。
- メールボックスの機能と、なりすまされた組織の現在の公式窓口で報告します。
- すでに操作してしまったら、分析より先に該当アカウントを守ります。
フィッシングメールの一番の特徴は？
フィッシングメールの一番の特徴は、判断のすべてを送信者が選んだ経路の中で完結させようとすることです。問題を解決するボタン、電話番号、返信先、開くべき添付ファイルが用意されています。安全に戻る道がすべて同じ未確認のメールから来ているなら、独立した確認は何もできていません。
よくある口実は、アカウントのロック、支払いの失敗、身に覚えのない購入、返金、共有資料、留守番電話、税金の通知、配送の問題、セキュリティ警告などです。どれも行動する理由を作ります。求められる行動は、パスワードの入力、ワンタイムコードの共有、請求書の支払い、ソフトウェアのインストール、資料の開封、偽のサポート窓口への電話、口座情報の変更などです。
フィッシングの見分け方と報告に関するCISAのガイダンスは、急な依頼に流されず、怪しいリンクや添付ファイルを避け、既知の連絡手段でメッセージを確認するよう勧めています。急かされたら詐欺、という意味ではありません。急かされたときこそペースを落とし、別のところで証拠を集めるべきだということです。
誤字は疑う根拠になりますが、文法が正しくても本物とは限りません。今のテンプレートは、ブランド、法的なフッター、個人名、取引の詳細まで真似できます。見た目が本格的でも揺るがない判断をしましょう。
さまざまな手口の例は、フィッシングメールの事例集をご覧ください。このページでは、目の前のメールに使える確認方法を扱います。
表示名に頼らず、なりすましを見抜くには？
送信者の詳細を開き、アドレス全体を読みます。「Account Security」や社名などの表示名は、送信者が自由に決めた文字列です。最後の@より後ろのドメインは前の名前より重要ですが、それでも手がかりの1つにすぎません。
文字の置き換え、余分な単語、想定外のドメイン、長いホスト名やURLのパスに紛れ込んだ見慣れた単語を探します。見覚えのある単語が1つあっても、所有者だとは判断できません。ホスト名全体を、組織のアプリ、信頼できるブックマーク、手入力したアドレスなど、自分でたどり着いた行き先と比べます。
見慣れた送信元ドメインを1つ、ずっと許可リストに入れておくのはやめましょう。組織は承認済みのサービスを複数使うことがあり、乗っ取られたアカウントは正規のシステムから有害な内容を送れます。見慣れないドメインには警戒し、見慣れたドメインでも、依頼内容と自分で確認したアカウントの出来事に照らして確かめます。
返信先も重要です。Reply-Toが表示上の送信者と違う宛先になっていたら、その食い違いを記録します。返信して試すのはやめましょう。送信者が選んだ経路の中にとどまってしまいます。
リンクを開かずに確認する方法
パソコンならマウスを重ねる、スマートフォンなら長押しするなど、メールソフトのプレビュー機能を使い、移動はしません。表示された文字と実際の行き先を比べます。短縮リンク、エンコードされたリダイレクト、無関係なドメイン、つづりの違うホスト名は、どれも手を止める理由になります。
ボタンには注意が必要です。大きな「アクティビティを確認」ボタンは、テキストなら一目で分かる行き先を隠せます。表示された社名、鍵のアイコン、httpsがあっても、行き先がメールに書かれた組織のものとは限りません。
ページを確かめるためだけに怪しいリンクを開かないでください。権限のあるセキュリティチームがURLを必要とする場合は、アクセスせずに保存し、チームの証拠の取り扱い手順に従います。
フィッシングリンクチェックなら、行き先にアクセスせずにURLの公開情報を調べられます。問題なしの結果でも、メールやアカウントに関する主張が正当だという証明にはならないため、自分での確認は省かないでください。
メールに触れずに内容を確認する方法
メールに触れずに内容を確認するには、メッセージは参考として開いておくだけにします。新しいブラウザウィンドウを開く、保存したブックマークを使う、いつものアプリを開く、手元の明細を見る、カードや過去の書類にある番号に電話する、のいずれかで確認します。怪しいメッセージから連絡先をコピーしないでください。
具体的な主張には、具体的な証拠を照らし合わせます。
- 購入や支払いなら、自分で開いたアカウントと手元の支払い記録で取引を探します。
- パスワードやサインインの警告なら、アカウントのセキュリティ画面で最近のアクティビティを確認します。
- 共有ファイルなら、送信者とされる人に既知の経路で連絡し、何を送ったか尋ねます。
- 請求書や振込先の変更なら、いつもの番号で、知っている担当者や組織に確認します。
- 配送やサブスクリプションの問題なら、該当するサービスを直接開き、同じ状況になっているか確かめます。
フィッシングメールの報告方法
フィッシングメールは、受信したメールボックスで案内されている報告手順で報告します。使える機能、転送方法、削除の指示はプロバイダーや組織によって違うため、どのメールボックスも同じボタンだと思い込まないでください。業務用アカウントに届いた場合は、組織のセキュリティ手順にも従います。
なりすまされた組織に知らせるときは、自分で開いた公式サイトやアプリで、現在のセキュリティや詐欺に関する案内を探します。疑わしいメールにある報告先のアドレス、フォーム、番号は使いません。報告の窓口は変わることがあり、メッセージの種類によって経路が違う場合もあります。
意見を聞くために、生きた添付ファイルやリンクを同僚に転送しないでください。確認役がメッセージを必要とするなら、承認された報告の流れを使います。フィッシング詐欺メールの報告ガイドでは、怪しいメールを新たに広めることなく、証拠の保存と報告先を解説しています。
クリック、返信、情報の入力をしてしまったら？
すでにクリック、返信、情報の入力をしてしまった場合、対応は何が手を離れたかによって変わります。ページを閉じて操作をやめ、今の端末に何かがダウンロードやインストールされたおそれがあれば、信頼できる端末を使います。
- パスワードを入力したなら、本物のアカウントで変更し、同じパスワードを使い回したほかのアカウントも変更します。
- 確認コードを教えた、またはサインインを承認したなら、セッション、端末、復旧用の情報、最近のアカウント変更を確認します。
- カードや口座の情報を入力したなら、カードに記載の番号など確かな経路で金融機関に連絡します。
- ソフトウェアをインストールした、または思いがけない添付ファイルを開いたなら、インシデント対応手順が求める場合に限り切断し、セキュリティチームに連絡します。
- 送金したなら、すぐに決済事業者に連絡し、領収書、日時、メッセージの証拠を保管します。
認証に合格すれば安全なメールですか？
届いたからといって送信者の主張が本当とは限らず、認証に合格してもメッセージが誠実とは限りません。受信トレイへの到達やドメイン認証の結果は、まだ確認が必要なアカウント、支払い、資料、サポートに関する主張とは切り分けて考えます。
DMARCは、合格した認証結果をFromアドレスに表示されるドメインと結び付け、失敗時にドメイン所有者が求める処理ポリシーを公開します。この結果は、ドメインの身元を示す証拠です。メールの支払い、資料、サポート、アカウントに関する主張は、前述の別の手順で確認してください。
この境界は、PalisadeのフィッシングメールがSPFやDKIMに合格する理由の解説で説明しています。怪しいメッセージを手にした人にとって、決め手はやはり自分でのアカウント確認です。
繰り返し使える判断ルール
思いがけないメールが行動を求めてきたら、毎回同じ手順を踏みます。
- 主張を一文で言い表します。
- 求められている行動を一文で言い表します。
- 確認経路のうち、メッセージ由来の部分を特定します。
- その部分は使いません。
- 信頼できるアカウント、記録、アプリ、サイト、連絡手段を別に開きます。
- 主張された出来事を、独立した証拠と比べます。
- 現在の公式窓口でメッセージを報告します。
- 認証情報、金銭、コード、端末へのアクセスが漏れたなら、すぐに復旧を始めます。
根拠
出典と参考資料
よくある質問
よくある質問
誤字がなく、ブランドも完璧なフィッシングメールはありますか？
はい。文章の質やブランドのデザインはどちらも真似できる弱い身元の証拠なので、フィッシングメールでも誤字がなく、ブランドも完璧な場合があります。代わりに、求められている行動、送信者のアドレス全体、リンクの実際の行き先、自分で確認したアカウントの出来事で判断します。
正しいドメインから届いたメールなら安全ですか？
いいえ。見慣れたドメインは身元の証拠を補強しますが、支払い、資料、電話番号、アカウントに関する主張が誠実だとは証明できません。出来事はメールの外で確認します。
パスワードを入力しなければ、リンクを開いても安全ですか？
いいえ。パスワードを入力しなくても、リンクのクリックが安全になるわけではありません。同じアカウントには自分でたどり着けるので、リンク先を開く必要もありません。保存済みのアプリ、ブックマーク、手入力したアドレス、確認済みの連絡手段を使いましょう。
返信して本物か尋ねてもよいですか？
いいえ。返信は送信者が選んだ経路の中にとどまります。すでに信頼しているアドレスや番号で、本人や組織に連絡してください。
フィッシングメールは削除で十分？
削除だけでは不十分な場合があります。できればまずメールボックスや職場の手順で報告し、その手順に沿って削除します。すでに操作してしまった場合は、アカウント、支払い、端末の復旧もやり遂げてください。
執筆者
Ian BussieresPalisade 共同創業者・CTO
Ian BussieresはPalisade共同創業者兼CTO。PalisadeはIT部門・MSP向けのエージェント型DMARC。
Ianの記事 →