フィッシング詐欺の見分け方|怪しいメールの5つのチェックポイントと対処法

「お客様の口座が制限されました」「お荷物のお届けに伺いましたが不在でした」――このようなメールやSMSをきっかけに、偽サイトへ誘導してIDやカード情報を盗む詐欺がフィッシング詐欺です。

手口は年々巧妙になっており、「自分は騙されない」と思っている人ほど危険です。この記事では、実際の手口をもとにした見分け方のチェックポイントと、万一入力してしまったときの対応手順を解説します。

フィッシング詐欺の仕組み

フィッシングの流れはシンプルで、①本物そっくりのメール・SMSを送る → ②偽のログインページへ誘導する → ③入力されたID・パスワード・カード情報を盗む、という3段階です。銀行・クレジットカード会社・宅配業者・ECサイト・税務署などを装うケースが定番です。

重要なのは、メールの見た目やロゴは本物と区別がつかないレベルで偽装できるということ。見た目ではなく、これから紹介する「構造的な特徴」で見分ける必要があります。

怪しいメールの5つのチェックポイント

① 差出人のメールアドレス(ドメイン)を確認する

表示名は自由に偽装できるため、「〇〇銀行」という名前ではなく@以降のドメインを見ます。公式のドメインと少しでも違う(綴りが違う、見慣れない末尾など)場合は疑ってください。

② 不安を煽る言葉が使われている

「凍結」「制限」「不正利用」「未納」など、受け取った人を動揺させる言葉はフィッシングの定番です。正規の企業が、メール1通でいきなり重大な処分を通告することはまずありません。

③ 期限を切って焦らせる

「24時間以内に」「本日中に」といった期限は、冷静な判断をさせないための仕掛けです。焦らせる文面を見たら、いったんメールを閉じるくらいでちょうど良いです。

④ リンクやボタンで「ログイン」させようとする

メール内のボタンからログインページに誘導するのが典型的な手口です。本人確認・パスワード変更・支払い情報の更新をメールのリンクから行わせる時点で、危険信号と考えてください。

⑤ リンク先のURLが公式と異なる

パソコンではリンクにマウスを重ねると、実際のリンク先URLが表示されます。公式ドメインと無関係なURLなら確実に偽物です。スマホでは長押しでURLを確認できますが、誤タップの危険があるため、確認自体を控えて次の「大原則」に従うのが安全です。

最強の対策:「メールからログインしない」

見分け方をすべて覚えなくても、この習慣ひとつで被害はほぼ防げます。

• 通知メールが来たら、メールのリンクは使わず、ブックマークや公式アプリからログインして確認する
• ログイン情報はパスワード管理ツールに保存する(偽サイトでは自動入力が働かないため、異変に気づける)
• 重要なサービスには2段階認証を設定しておく(情報が盗まれてもログインさせない最後の砦)

入力してしまったときの対応手順

1. パスワードを即変更する。同じパスワードを使い回している他のサービスもすべて変更
2. カード情報を入力した場合はカード会社・銀行へ連絡し、利用停止・再発行を依頼(24時間受付の紛失・盗難窓口が使えます)
3. 証拠を保存する。メール本文や偽サイトのスクリーンショットを残しておく
4. 公的窓口に相談する。警察相談専用電話(#9110)や、都道府県警のサイバー犯罪相談窓口へ

サポート詐欺の画面が出たときの、正しい閉じ方

ネットを見ていると突然、警告音とともに「ウイルスに感染しました。この番号に電話してください」という画面が現れることがあります。マウスが効かなくなったように見え、閉じることもできない。これはウイルスではなく、ブラウザの全画面表示機能を使った、ただのWebページです。

感染はしていません。落ち着いて、次の順に試してください。

再起動後、ブラウザが「前回のタブを復元しますか」と聞いてきたら復元しないでください。復元すると同じ画面がまた出ます。

いま主流の手口は、メールだけではない

「フィッシング＝メール」というイメージのままだと、現在の主要な入口を見逃します。

共通する構造は、「不安を作り、時間を奪い、判断させる前に入力させる」という流れです。逆に言えば、急かされたら必ず一度手を止めるだけで、大半は防げます。

URLは「右から読む」と、偽物が見抜ける

偽サイトのURLは、本物のドメイン名を含んでいることがよくあります。人間はURLを左から読むので、先頭に見慣れた文字列があると安心してしまう。しかし実際に接続先を決めているのは、右側の部分です。

読み方のコツは、最初のスラッシュ（/）より前だけを見て、そこから右端に向かって最後の2つの区切りを探すことです。「secure-check.xyz」が本体で、その左にあるものは全て相手が自由に付けられる飾りです。

また、鍵マーク（https）は安全の証明にはなりません。証明書は誰でも無料で取得できるため、偽サイトの大半も鍵マーク付きです。鍵マークが保証しているのは「通信が暗号化されている」ことだけで、「相手が本物である」ことではありません。

技術的に防ぐ｜個人でできる4つの設定

見分ける努力に頼りきらず、そもそも届かない・開けない状態を作るほうが確実です。

2番目の使い方が特に優秀です。パスワードマネージャーは登録されたドメインでしか自動入力しないため、「いつも自動で入るのに、今日は入らない」という違和感が、偽サイト検知器として働きます。

相談先と、届け出るべき場所

被害に遭った、あるいは遭いそうになった場合の相談先です。

なお、情報処理推進機構（IPA）が公開している「情報セキュリティ安心相談窓口」でも、個人からの相談を受け付けています。判断に迷ったら、自己判断で進める前に相談してください。

まとめ

フィッシング詐欺は「見抜く」より「引っかからない仕組みを作る」ほうが確実です。メールからログインしない・パスワード管理ツールを使う・2段階認証を設定する。この3点セットを今日から実践してください。パスワード管理の具体的な方法は関連記事で詳しく解説しています。