フィッシングは、銀行、ECサイト、宅配業者などを装った偽のメールやWebサイトで、パスワードやクレジットカード番号を騙し取る攻撃です。システムの隙ではなく、人の判断の隙を突いてきます。
本物の繁盛店にそっくりな偽店舗が、同じ看板、同じ内装、同じ制服で営業している。気づかずに入ってしまえば、差し出したカード情報はそのまま相手の手に渡ります。フィッシングの偽メールも、送信元のアドレスやサイトのデザインを本物そっくりに装い、「アカウントに異常が発生しました」「今すぐ確認してください」と急かして、偽のサイトで情報を入力させます。
よくある入口
お荷物をお届けに上がりましたが、ご不在のため持ち帰りました。再配達のお手続きはこちら：（リンク）
あれ、何か頼んでたっけ……とりあえず開いてみようかな。
指が動くのは、ちょうどこの瞬間です。よく使われる入口には、次のようなものがあります。
- 銀行やカード会社を装ったメールから、偽のログインページへ誘導する
- 宅配業者を装った SMS から、偽サイトへ誘い込む（スミッシングと呼ばれる）
- 社内の上司や取引先を装って、パスワードや振込先の変更を求める
- SNS や求人サイトのメッセージに、偽のリンクを貼り付けてくる
見た目ではなく行き先で判断する
巧妙なものは、画面の見た目では本物と区別がつきません。見るべきは、そのリンクがどこへ行くかです。
URL をよく確かめます。「0（ゼロ）」と「O（オー）」を混ぜるなど、本物に似せたアドレスが使われます。鍵マーク（HTTPS）が付いていても、それは通信が暗号化されているという意味で、相手が本物だという証明にはなりません。
いちばん確実なのは、メールの中のリンクを使わないことです。気になる連絡が来たら、ブックマークや検索から公式サイトへ自分で行き、そこで確かめる。見た目が本物らしいときほど、急かされていると感じたときほど、いったん手を止めてください。
組織として決めておくこと
不審なメールが届いたら IT 担当者や上司へ報告する、というルールを社内で決めておきます。一人の報告が早ければ、同じメールを受け取ったほかの人に注意を呼びかけられます。
パスワードが盗まれた場合に備えて、二要素認証を設定しておくと被害を抑えやすくなります。ただし、偽サイトがパスワードと確認コードをまとめて盗む手口もあるので、二要素認証があるから安心、とは考えないでください。