セミナー情報フィッシング詐欺とは？最新の手口と見分け方、被害時の対策を解説
銀行やECサイトなどを装った不審なメールやSMSが届き、対応に迷った経験がある方も多いのではないでしょうか。実在するサービスになりすまして個人情報を盗み出す「フィッシング詐欺」は、年々手口が巧妙化しており、誰もが被害に遭うリスクを抱えています。
本記事では、近年増えている最新の手口や見分け方のポイント、個人・組織で実践できる具体的な対策方法から、万が一情報を入力してしまった際の正しい対処法までわかりやすく解説します。
・【手口別】フィッシング詐欺の主な誘導経路
・本物そっくり？フィッシング詐欺を見破るための5つのチェックポイント
・フィッシング詐欺に備える！今日から実践できる事前対策4選
・被害にあってしまったら？すぐにおこなうべき対処法
・フィッシング詐欺に関するよくある質問 ・まとめ
そもそもフィッシング詐欺とは？巧妙な手口で個人情報を盗むネット犯罪
フィッシング詐欺とは、実在する金融機関やECサイトといった著名な組織を装い、偽のウェブサイトへ誘導してID・パスワードやクレジットカード番号などの重要な個人情報を不正に取得する手口のことです。
「フィッシング（Phishing）」という名称は、魚釣り（Fishing）と、洗練された手法を意味する「Sophisticated」や電話ハッキングを指す「Phreaking」を組み合わせた造語といわれています。最大の特徴は、受信者の不安を煽るような緊急性の高い内容で冷静な判断を奪い、本物と見分けがつきにくい巧妙な偽サイトへ誘導する点です。
近年はフィッシング対策協議会などへの報告の件数が急増しており、不正送金などによる被害額も深刻化の一途をたどっています。こうした状況を受け、警察庁をはじめとする公的機関からも頻繁に注意喚起が出されています。
【手口別】フィッシング詐欺の主な誘導経路
フィッシング詐欺といえば、以前は不審なメールによる誘導が中心でした。しかし近年ではそれだけでなく、スマートフォンの普及やWebサービスの進化に伴い、SMSや検索エンジンの検索結果、さらにはQRコードを悪用するなど誘導経路は多様化しています。
実在する組織を騙る偽メール・SMS（スミッシング）
現在もフィッシング詐欺の主流となっているのが、実在する組織を装った偽のメールやSMSを送りつける手口です。特にSMSを利用する手口は「スミッシング」と呼ばれ、スマートフォンの普及とともに急増しました。
例えば、宅配業者を装い「お荷物のお届けにあがりましたが不在のため持ち帰りました」というSMSを送りつけたり、通信キャリアを騙り「料金が高額になっています」と不安を煽ったりして、記載されたURLへアクセスさせようとします。
これらはスパムの一種であり、安易に信用しない注意が必要です。
（宅配業者を装ったSMSの例）
検索エンジンの広告枠や検索結果を悪用する手口
近年、検索エンジンの広告枠やオーガニック検索の結果を悪用する手口も増加しています。
これは、ユーザーが特定のキーワードで検索した際に、公式サイトになりすました偽サイトを広告枠や検索結果の上位に表示させ、誤ってアクセスさせようとするものです。ユーザー自身が能動的に検索してたどり着いたサイトであるため、本物だと信じ込みやすく、警戒心が薄れがちです。
リンク先のURLが公式サイトのものとわずかに違う場合が多いため、アクセスする前によく確認することが求められます。
QRコードを悪用した手口（クイッシング）
QRコードを偽のものにすり替えて、偽サイトへ誘導する手口は「クイッシング」と呼ばれます。これは比較的新しい手口で、公共の場所に掲示されたポスターや、イベントのチラシなどに印刷された正規のQRコードのうえに、不正なQRコードのシールを貼り付けるといった方法がとられます。
スマートフォンで手軽に読み取れる利便性を逆手にとったもので、リンク先がどのようなサイトか瞬時に判断しにくいため、安易に読み取らない注意深さが最新の対策として必要です。
本物そっくり？フィッシング詐欺を見破るための5つのチェックポイント
フィッシング詐欺のメールやサイトは、年々巧妙化しており、一見しただけでは判別が非常に難しくなっています。しかし、注意深く観察すれば、偽物特有の不審な点をみつけだすことが可能です。以下の注意点を意識して、冷静に判断する習慣をつけましょう。
送信元のメールアドレスやSMSの番号に不審な点はないか
まず確認すべきは、送信元の情報です。
フィッシングメールの場合、送信元として表示される名称やメールアドレスは偽装されている可能性があります。そのため、正規のドメインと微妙に異なる文字列になっていないかを確認することが重要です。
例えば、公式サイトのドメインが「example.co.jp」であるのに対し、「example-security.net」やランダムな文字列のドメインから送信されている場合は偽物の可能性が高いです。SMSの場合も、見慣れない番号や国際番号からのメッセージは注意深く扱うべきで、送信元の特定が判断の一助となります。
（送信元とドメインが一致しない不審なメールの例）
本文の日本語表現や漢字に違和感はないか
次に、メッセージの本文内容を精査します。
海外の犯罪グループが機械翻訳ツールなどを使って文章を作成しているケースも多く、その場合は不自然な日本語表現や誤字脱字、普段使われない旧字体の漢字などが含まれることがあります。例えば、「あなたのアカウントは閉鎖されます」「至急、下記リンクよりご確認ください」といった、やや不自然で高圧的な表現もフィッシング詐欺の特徴のひとつです。
文章全体をみて、国内の組織からの公式な通知として違和感がないか冷静に判断しましょう。
URLの文字列が公式サイトと完全に一致しているか
メッセージ内に記載されたリンク（URL）の確認は、最も重要なチェックポイントです。ただし、安易にクリックしてはいけません。
PCの場合はURLにマウスカーソルをあわせる、スマートフォンの場合はURLを長押しすると、実際のリンク先アドレスが表示されます。そのアドレスが、公式サイトのURLと完全に一致するかを慎重に確認してください。ドメインの一部が異なっていたり、数字の「0」とアルファベットの「O」を入れ替えていたりと、巧妙に偽装されているケースがあります。
なお、一見すると公式サイトのURLに見える場合でも、自動転送機能（リダイレクト）を悪用して偽サイトへ飛ばす手口や、見た目がそっくりな別言語の文字を混ぜたドメインなども存在します。「URLが合っていそうだから安心」と過信せず、重要な手続きはメッセージ内のリンクからではなく、ブックマークや公式アプリからアクセスするのが最も確実です。
SSL/TLS（鍵マーク）だけで安全だと判断していないか
かつては「URLの横に鍵マーク（SSL/TLS暗号化の印）があれば安全なサイト」といわれていましたが、今ではその常識は通用しなくなっています。
SSL/TLSは、ブラウザとサーバー間の通信が暗号化されていることを示すだけであり、ウェブサイトの運営者が正規の組織であることを保証するものではありません。昨今では、フィッシング詐欺目的の偽サイトでも無料でSSL/TLS証明書を取得できるため、鍵マークがあるからといって安全だと判断するのは非常に危険です。
前述したURLの文字列そのものなど、ほかの要素とあわせて総合的に判断するセキュリティ意識が求められます。
「緊急」「アカウント停止」など不安を煽る言葉はないか
フィッシング詐欺の常套手段として、受信者の正常な判断力を奪うために、わざと不安を煽る言葉を使う特徴があります。「緊急のご連絡」「アカウントがロックされました」「24時間以内に更新しないと失効します」といった件名や文言で焦らせ、冷静に考える時間を与えずにリンクをクリックさせようとします。
このように、もっともらしい口実や作り話（シナリオ）を用意して相手の心理を巧みに操る手口は「プリテキスティング」とも呼ばれ、ソーシャルエンジニアリングの代表的な手法のひとつです。
正規のサービス提供者が、合理的な理由なくこのような極端に緊急性を強調する通知を送ることは稀です。こうした焦りを誘う文面をみたら、まずは詐欺を疑い、一呼吸おいて慎重に行動しましょう。
フィッシング詐欺に備える！今日から実践できる事前対策4選
巧妙化するフィッシング詐欺から身を守るには、怪しい連絡を見分けるだけでなく、技術的・習慣的な事前の備えを講じておくことが重要です。また、万が一偽サイトにアクセスしてしまったり、情報を入力してしまったりした場合でも、被害を最小限におさえる対策を整えておきましょう。
迷惑メールフィルターやフィッシング対策機能（ブラウザ・セキュリティソフト）を活用する
フィッシング詐欺メールを目視だけで100%見分けることには限界があるため、ツールを活用することも非常に有効な対策のひとつです。多くのメールサービスには、送信元ドメインの認証技術（DMARCなど）やAIを活用した「迷惑メールフィルター」が備わっており、危険なメールの多くを受信トレイに入る前に自動で隔離・警告してくれます。
また、主要なWebブラウザやセキュリティソフトに搭載されている「フィッシング対策機能（危険サイト検知機能）」の有効化も欠かせません。万が一誤って偽サイトのリンクを開いてしまった場合でも、アクセス時に警告画面を表示して接続を遮断するため、情報漏洩のリスクを大幅に低減できます。
OSやセキュリティソフトを常に最新の状態に保つ
前述したブラウザの危険サイト検知機能やセキュリティ機能を正しく機能させるには、OSやWebブラウザを常に最新の状態へアップデートしておくことが重要です。フィッシング詐欺の手口や偽サイトの技術は日々進化しているため、こまめにアップデートを適用することで、最新の攻撃パターンへの防御力や検知精度を高く維持できます。
また、万が一フィッシングメールのリンクを開いてしまった場合でも、ブラウザやOSのパッチが適切に適用されていれば、システムの脆弱性を悪用して不正なプログラムを勝手に送り込まれるような二次被害の防止にもつながるでしょう。
組織においては、個々の従業員任せにせず、IT資産管理ツールなどを活用してOSやブラウザの更新状況を一元的に把握・管理することが推奨されます。組織全体でパッチの適用漏れを防ぐ運用体制を整えることが、巧妙化する攻撃から重要な情報資産を守る強固な土台となるはずです。
パスワードの使い回しをやめ、多要素認証（MFA）を設定する
IDとパスワードが漏洩してしまった場合に被害を最小限におさえるための事前策も大切です。
まず、複数のサービスで同じパスワードを使い回すのは絶対にやめましょう。そして、可能な限り多要素認証を設定します。これは、IDとパスワードによるログインに加え、SMSで送られる確認コードや認証アプリが生成するワンタイムパスワードの入力を求めることで、本人以外の不正アクセスを強力に防ぐセキュリティ対策です。
【組織向け】従業員へのセキュリティ教育と訓練を定期的におこなう
どれほど強固なセキュリティシステムやツールを導入していても、最終的にメッセージを受け取り、判断するのは従業員自身です。そのため、組織におけるフィッシング対策では、人的なリスクを低減するための教育と訓練が必須となります。
具体的には、最新の詐欺手口や見分け方を周知するセキュリティ研修をおこなうだけでなく、実際に偽のフィッシングメールを従業員に送信して対応をみる「標的型攻撃メール訓練」の実施が効果的です。
実践形式の訓練を重ねることで、従業員は自分事としてリスクを認識し、不審な連絡に対する初動対応力を養えます。組織全体で一貫したセキュリティ意識を醸成していくことが、うっかりミスによる重大な情報漏洩を防ぐ鍵となります。
被害にあってしまったら？すぐにおこなうべき対処法
どれだけ注意していても、騙されてしまう可能性はゼロではありません。もしフィッシング詐欺の被害にあい、個人情報を入力してしまった場合は、パニックにならず、迅速かつ冷静に対応することが被害の拡大を防ぐ鍵となります。
ここでは、入力してしまった情報ごとにおこなうべき具体的な対処法を解説します。
クレジットカード情報を入力した場合：カード会社へ連絡し利用停止
偽サイトにカード番号や有効期限、セキュリティコードなどのクレジットカード情報を入力してしまった場合は、直ちにカードの裏面に記載されている発行会社の連絡先に電話し、フィッシング詐欺の被害にあった旨を伝えてください。カード会社はすぐにそのカードの利用停止措置を取り、不正利用を防ぎます。
多くの場合、不正利用された金額については、カード会社の補償制度が適用される可能性がありますので、その点もあわせて相談しましょう。迅速な連絡が被害を最小限におさえるための対処法です。
ID・パスワードを入力した場合：公式サイトから即時変更
特定のウェブサービスのIDとパスワードを偽サイトで入力してしまった場合、まずは慌てずに正規の公式サイトへアクセスし、直ちにパスワードを変更してください。
このとき、同じIDとパスワードの組み合わせをほかのサービスでも使い回している場合は、それらすべてのパスワードも変更する必要があります。犯人は盗んだ認証情報リストをもとに、別のサイトでも不正ログインを試みる可能性があるためです。パスワード変更後は、不審なログイン履歴や登録情報の変更がないかも確認する対処法が有効です。
不正送金された場合：金融機関と警察へ通報
インターネットバンキングのIDやパスワードなどを盗まれ、口座から身に覚えのない送金がおこなわれる不正送金の被害にあった場合は、まず取引のある金融機関の窓口に速やかに連絡してください。
そのあと、最寄りの警察署、または各都道府県警察のサイバー犯罪相談窓口へ被害届を提出します。被害回復分配金の支払い手続きなどを受けるためにも、警察への連絡は不可欠です。
フィッシング詐欺に関するよくある質問
フィッシング詐欺に関して多くの方が抱く疑問について、以下にてQ&A形式で回答します。被害のリスクやほかの詐欺との違いなどを正しく理解し、適切な対応ができるようにしましょう。
Q. フィッシング詐欺のメールやSMSを開いただけでも危険ですか？
結論からいうと、メールやSMSを開封しただけで、直ちにウイルス感染や情報漏洩といった被害にあうリスクは低いです。ただし、本文中のリンクをクリックしたのみであっても、悪意のあるスクリプトが埋め込まれたサイトへ誘導されてマルウェアに感染する可能性はゼロではありません。
最も危険なのは、本文中のリンクをクリックしたり、添付ファイルを開いたりする行為です。不審なメールやSMSは、開封せずに削除するのが最も安全な対応です。
Q. フィッシング詐欺とワンクリック詐欺はどのように違うのですか？
両者の最も大きな違いは、その目的にあります。
フィッシング詐欺は、偽サイトに個人情報（ID、パスワード、カード情報など）を「入力させて盗む」ことを目的としています。一方、ワンクリック詐欺は、ウェブサイト上のリンクなどを一度クリックさせただけで「会員登録完了」といった虚偽の画面を表示し、高額な料金を「不当に請求する」ことが目的です。
情報の窃取を目的とするか、金銭の請求を目的とするかが根本的な違いです。
Q. スマートフォンでもフィッシング詐欺の被害にあう可能性はありますか？
はい、PCと同様、あるいはそれ以上にスマートフォンでの被害リスクは高いといえます。
スマートフォンは画面が小さく、メールの送信元アドレスやウェブサイトのURL全体を確認しづらいため、偽装を見破りにくいという弱点があります。また、SMSを使ったスミッシングの主な標的は携帯電話であり、日常的に利用するツールであることから警戒心が薄れがちです。
PCと同じように、スマートフォンでも十分な警戒と対策が求められます。
まとめ
フィッシング詐欺の手口は年々巧妙化・多様化しており、誰もが騙されてしまうリスクを抱えています。実在する組織を装ったメールやSMS、検索結果などを通じて、本物そっくりの偽サイトへ誘導し、個人情報を盗み出そうとします。
この記事で紹介した「送信元を確認する」「安易にリンクを開かない」「日本語に違和感がないか確かめる」といった見分け方のポイントを日頃から意識することが、被害を防ぐ第一歩です。万が一被害に遭った場合も、慌てず迅速に関係各所へ連絡し、パスワードを変更するなどの対処をおこないましょう。
SS1LAB編集部IT資産管理ツールSS1/SS1クラウドを開発・販売している、株式会社ディー・オー・エスの営業企画部メンバーで構成されています。IT資産管理・ログ管理・情報セキュリティ対策など、情シス業務の効率化に役立つ最新トレンド情報を随時発信中！
