フィッシングメールの見分け方（クリックしてしまったときの対処も）

フィッシングが成立するのは、他人の信用を借りているからです。メールは銀行、取引先、あるいは自社の情報システム部門のように見え、ごく日常的なことを求めます。パスワードの確認、支払いの承認、請求書の確認。防御に必要なのは頭の回転ではなく、行動する前に二つ三つ確かめる習慣です。

手がかり

緊急性と脅し。 「24時間以内にアカウントが停止されます」。実在の機関がメールで期限を切ることはまれで、停止をこの形で告げることはありません。

通常の手続きを飛ばす依頼。 取引先が新しい口座への振込を求める、役員がギフトカードの購入を指示する、同僚がパスワードを尋ねる——どれも理由があって存在する手順を回避しています。

表示と異なるリンク先。 リンクにカーソルを合わせ（スマートフォンでは長押しし）、実際のドメインを読みます。secure-bank-login.example.com は銀行ではありません。意味を持つのは最後のドットの直前の部分です。

わずかに違う差出人ドメイン。 micros0ft.com、yourbank-support.com、company.com のつもりで company.co。表示名は何とでも書けます。アドレスそのものを読んでください。

予期しない添付。 とくにマクロの有効化を促す文書や、実行ファイルを含む圧縮ファイル。

宛名のない挨拶や不自然な言い回し。 AIが書くフィッシングは自然な日本語になったため以前ほど当てになりませんが、他の兆候と重なるときは依然として手がかりです。

差出人が本物でも証明にならない理由

認証（SPF・DKIM・DMARC）が示すのは、そのメールが名乗ったドメインから本当に送られたということだけです。そのドメインが信用に値するかは示しません。攻撃者はよく似たドメインを取得し、完璧に認証設定できます。逆に、実在企業の乗っ取られたメールボックスからは、完全に認証された詐欺メールが送られます。認証は判断材料の一つであり、証明ではありません。

別の手段で確認する

最も効果的な習慣はこれです。金銭、認証情報、振込先の変更を求めるメールが来たら、すでに知っている手段——メールに書かれた番号ではなく、自分で調べた番号——で確認します。2分の電話が、ビジネスメール詐欺のほとんどを防ぎます。

クリックしてしまったら

次の順で対応します。

1. 該当アカウントのパスワードを変更します。 信頼できる端末から行い、使い回していた先も変更します。
2. 有効なセッションとアプリパスワードを確認し、心当たりのないものを失効させます。
3. 二段階認証を有効にします（未設定の場合）。
4. メールボックスのルールを確認します。 攻撃者は痕跡を隠すために転送や自動削除のルールを追加することがよくあります。
5. 関係先に連絡します。 情報システム部門、銀行、名前を使われた取引先へ。早さが被害を抑えます。
6. マルウェア検査を実行します（添付を開いた場合）。

よくある質問

開いただけで危険ですか。 現在のソフトなら通常は問題ありません。危険なのはリンクを開くこと、添付を開くこと、コンテンツを有効化することです。

リンクを安全に確認するには。 クリックせずにドメインを読みます。そのサイトが必要なら、アドレスを自分で入力します。

フィッシングは報告すべきですか。 はい。メールソフトでフィッシングとして報告し、社内のセキュリティ担当へ転送してください。報告は全体の判定精度を上げます。

標的型は違いますか。 違います。実在の案件名や人名が使われます。だからこそ、誤字探しより「別の手段で確認する」ほうが重要です。

imail.com.tr の対策

imail.com.tr は受信メールを送信者認証と評価情報に照らして検査し、すべてのメールボックスで二段階認証に対応しています。アカウント側の対策は二段階認証のガイドを、広告のない新しいメールボックスは無料アカウントをご覧ください。