どこかで話題になっているインターネットがらみの犯罪、IDやパスワードの流出、TwitterやInstagramなどソーシャルメディアのアカウント乗っ取り。それらは「フィッシング」という手法で詐欺に遭っているケースが多く見られます。フィッシングは魚釣りの「Fishing」ではなく「Phishing」というスペルで表されるネット詐欺の一種であり、偽サイトに誘導してログインIDやパスワードなどを奪います。実際に、近年のフィッシングの手口はより精工に、巧妙になっており、騙される少しでも可能性を低くするには必要最低限の知識が必要になってきました。あなたには以下のInstagramログイン情報入力画面が偽物に見えますか?本物のページと同じデータをそのままコピーして使えば、全く同じ見た目のページを作ることもそう難しいことではありません。精工に、巧妙に進化するフィッシング詐欺とはどのようなものか?その手口や実例、どうすれば被害に遭わないかということをなるべく簡単にまとめてみました。フィッシング詐欺とは?フィッシングとは金融機関や企業など、信用できると思われる送信元を装ったメールなどを不特定多数、または特定の標的に送り、IDやパスワード、クレジットカード番号や、個人情報、財産や企業秘密などを騙し取るネット詐欺の一種です。特定の標的に狙いを定めて行うフィッシング詐欺は「スピアフィッシング」と言われます。スピアフィッシングは被害者となる標的が既に下調べされているため、送信される偽のメールなども「上司」や「得意先企業」といった送信元になっているケースが多々報告されています。フィッシングはウイルスなどのマルウェアと同様にネット犯罪の一つの手口として多用されますが、大きな違いはマルウェアが被害者の使うコンピュータを標的にしていることに対し、フィッシングはコンピュータではなく「人」を標的にしていることです。あなたの使うコンピュータがWindowsであっても、Macであっても、そしてスマートフォンであっても攻撃者にとってはさほど大きな問題ではありません。ネットにつながり、本物そっくりに作られたフィッシングサイトを正しく表示し、あなたの大切な情報を攻撃者に運ぶことさえ出来ればどんなOSでもどんな機器でも良いのです。怖いことに多くのケースが「自分が被害に遭って初めて気付く」ということです。具体的に、自分の銀行口座からお金が盗まれた、クレジットカードで覚えの無い買い物がされている、自分以外の人が勝手に自分のSNSアカウントで投稿したりメッセージを送ったりしている、等が該当します。一時は被害総額年間30億円を超えたインターネットバンキング不正送金ですが、近年は減少傾向にあります。同庁調べ)とされています。セキュリティレベルが高い銀行のインターネットバンキングよりも、比較してセキュリティが甘くログインIDとパスワードだけ(二段階認証は任意で設定の場合が多数)分かれば盗みが可能な暗号資産に犯罪者のターゲットが移った可能性が高いと思われます。いった被害を未然に防ぐために、まずはフィッシングの基本的な手口を知り、事例を知り、対策を知るしかありません。フィッシングの一般的な手口フィッシングは先にもある通り「信用できる」と思われる送信元を装って標的に連絡をします。その一般的な手口は以下の通りです。攻撃者は標的となるユーザーに対し送信元を装った偽のメールやメッセージで連絡を取ります。新システムの導入に伴いもう一度お客様にログインしてユーザー情報の再設定をしていただく必要があります。□月△日までに設定いただけない場合は、お客様のデータを削除の上サービスを中止させていただきますので、お手数ですがこちらのページにアクセスして再設定をお願い致します。ユーザーは送信元を信頼できると思い込み、メール内にあるリンクをクリックして、攻撃者が作った偽サイト(フィッシングサイト)にアクセスし、ユーザーID、パスワードや秘密の質問とその答などの情報を入力します。入力された情報が攻撃者の元に送信されます。この騙し取ったデータを使い攻撃者は標的となったユーザーになりすますことができます。ご覧の通り、この手順の中にマルウェアは必要ありません。偽のフィッシングサイトも本物のサイトからデータをそのまま流用しているケースが大半のため、見た目は全く同じです。冒頭にあったInstagramなどのソーシャルメディアのデータが全て削除されるという通知を受け取ったとき、フィッシング詐欺の知識が無ければ焦って情報を入力してしまうかもしれません。情報を奪った攻撃者はそのユーザーIDやパスワード、クレジットカード情報などを使って直接金銭を盗取することもありますが、その情報をダークウェブのブラックマーケットに売り出して金品を稼ぐというケースも多々見られます。攻撃者は手っ取り早くお金を騙し取ることができる銀行や暗号資産の口座に狙いをつけ、その関連機関を名乗るケースが多く見られますが、実際にはそれだけではありません。Googleアカウントなども魅力的な標的のようです。ここでは使用している方も多いTwitterとGoogleアカウントについて実際にあったフィッシング詐欺の例とテクニックを今回は被害者の視点で見てもらいます。攻撃者の巧みな誘導に気付くことはできるでしょうか?海外の実例なので、スクリーンショットは英語ですが、日本語のページを作ることなど攻撃者にとっては簡単なことです。Twitterアカウントを狙ったフィッシング詐欺ある日親しい友人からTwitterのDMで「この写真すっごく良く撮れてるよ。(笑)」というメッセージと共にリンクが送られて来ました。知らない人であれば無視するところですが、親しい友人だったので、特に疑いを抱くことなくリンクをクリックすると以下の画面が表示されました。サーバーとの接続が切れたらしいので、もう一度ログインをして欲しいようです。Found)」の画面が表示されるだけです。結局写真を見ることはできませんでした。そんな写真は最初から無いのですから。Twitterのログイン情報は攻撃者の元に送られています。次はあなたのログイン情報でログインした攻撃者があなたのフォロワーに同じようにDMを送ったりTweetするのです。ダークウェブの商品としてあなたのログイン情報が売られるのかもしれません。多くの人が持つGoogleアカウント。ドライブ、Googleフォト、Android用アプリの購入、その他いろいろな機能がほぼ無料で使えるなんて本当に便利ですよね。そんなGoogleアカウントを持つあなたに一通のメールが届きます。「重要なお知らせがあります。このリンクの先にあるGoogleドキュメントをご確認ください。」重要なお知らせは何でしょうか?GoogleドメインのURLリンクをクリックすると以下の見慣れた画面が表示されます。ログイン情報を入力するとGoogleドライブからドキュメントが開きます。重要なお知らせとは何だったのでしょうか?この時点で既にGoogleアカウントのログイン情報は攻撃者の元に送られています。Googleアカウントはいろいろな機能を使えて本当に便利です。他のフィッシング詐欺の事例詳細については以下の記事をご参照ください。フィッシング詐欺の被害に遭わないために知っておきたい対策5つブラウザにはフィッシング対策機能が実装され、セキュリティソフトはフィッシングサイトやフィッシングサイトへのリンクがあるメールを判別することができるものもありますが、100%というわけではありません。そこで、フィッシング詐欺に遭わないために知っておきたい対策を5つ紹介します。送られてきたメールやメッセージが本物かどうかを確認する攻撃者はメールなどを使用して標的にコンタクトし、フィッシングサイトに誘導する行動を取らなくてはなりません。攻撃者が送る偽のメッセージを見破ることができれば被害に遭う可能性を大きく下げることができます。確認すべきポイントとしては「送信元メールアドレス」や「ヘッダー情報」がありますが、この点は偽装することができますので全てを信用できるわけではありません。するなど、差出人のメールアドレスを少々変更した紛らわしいメールアドレスを使う場合もあります。SNSでメッセージを知り合いから受け取るケースもあるかもしれません。その場合も送り主のTwitterアカウントなどが乗っ取られている可能性もあります。送信元のメールアドレスは詐称できるので、アドレスのみで偽のメールを完全に見分けるのは困難ではありますが、そのメールが本物かどうかということを常に意識しておけば騙されるケースも少なくなるでしょう。リンクを不用意にクリックしない仮に本物のメールやメッセージであったとしても、その内容に違和感があったり、パスワードなどの入力を求めるサイトに誘導するURLを不用意にクリックしないように気をつけましょう。友人や知人であったとしても事前に何の連絡も無しで急にURLだけを送信するようなSNSのメッセージや書き込みも要注意です。IDやパスワードを入力するサイトのURLを確認するメールやSNSの内容に書かれているURLをクリックして、ユーザーIDやパスワードの入力画面が出たとき、そのページのURLは本当にそのサービスが提供しているURLでしょうか?「実例」でも示した通り、画面そのものは同じデータを使用している事が多いので表示される画面だけを見ただけではフィッシングサイトを見分けるのは事実上不可能です。よって、URLを確認することも重要になってきます。SSLサーバー証明書の導入を確認するSSLサーバー証明書は通信情報を暗号化する機能とサイトを運営する会社の身元を確認する機能を備えており、近年ではほぼ全てのWebサイトがSSLサーバー証明書を導入したサイトとなっています。SSLサーバー証明書の導入が標準となる前は詐欺を働くフィッシングサイトは身元を確認されると不都合なため、ほとんどの場合このサービスを使用していませんでしたが、近年のフィッシングサイトもこの流れに合わせこのサービスを導入してきています。SSLを導入しています。SSLが導入されているかを確認するのも安全の一つの目安になります。SSLの場合はそこに法的に実在性が確立されいるなどの発行条件を満たした企業名が記載されています。セキュリティソフトを導入する多くのセキュリティソフトはフィッシング詐欺対策の機能を備えています。フィッシングメールを排除したり、フィッシングサイトを表示する際にアクセス遮断するなどの処理を行い、ユーザーが騙されるのを未然に防ぐことができます。多くの偽装されたサイトを判別することができますが、100%安心というわけではありません。近年はフィッシングとマルウェアを組み合わせた詐欺の手法もあるため、セキュリティソフトは入れておくべきでしょう。ネットを介しての買い物、インターネットバンキングや暗号資産(仮想通貨)などを扱う場合は必須と言えます。セキュリティソフトが導入されていない場合は、無料体験版でも良いので有名な有料のセキュリティソフトを入れてチェックすることをオススメします。Defenderをはじめとする無料のセキュリティソフトは最低限の機能しか搭載されていないものもあり、状況によっては有料のものでしか駆除できないものがある可能性があるからです。実際、仮に駆除できなかったとしても、(ウイルスバスター以外は)それぞれ最適化されたファイアウォールを搭載しており、Windowsの内部から外部に向けての通信を監視しているため、無料ソフトと比べて大切な情報が盗まれる可能性は低いと言えます。(ウイルスバスターはWindows標準のファイアウォールをチューンすることでほぼ同様の機能を実現しています)以下が無料体験版を用意している代表的なセキュリティソフト一覧です。これらの有料版セキュリティソフトは期限内であればどの製品も有料版と同様の機能が無料で使用できます。体験版使用にクレジットカード番号などは不要です。30日間なお、フィッシング詐欺対策の詳細については以下の記事をご参照ください。フィッシング詐欺の被害に遭ってしまったときどうするか?フィッシング詐欺は多くの場合、実際に口座からお金が無くなるなどの被害があって初めて気がつくケースがほとんどです。盗まれた情報によって対処法は異なりますが、かんたんに説明します。インターネットバンキングで預金を引き出された場合まずは銀行に連絡をする必要があります。その後は銀行の指示に従い処理を進めれば、個人口座については「口座所有者自身に過失が無い場合」払い戻しがなされます。クレジットカードをインターネットで不正利用された場合まずはカード会社に連絡をする必要があります。その後はカード会社やカードの種類によって対応も異なります。インターネット上でクレジットカードが不正利用された場合、その損失が補填されないカードがあります。インターネットショッピングでの不正利用の補償サービスがあるものを選んでおくと安心です。ノートンの自動延長サービスをご利用のお客様はクレジットカードの不正使用を補償するサービスが付帯しています。アカウントなどを乗っ取られた場合すぐに乗っ取られたサイトにログインし、パスワードを変更してください。ログインパスワードを変更されていてログインできない場合はそれぞれのサイトの「パスワードを忘れた場合」のサービスを利用してパスワードを変更してください。同様のログインIDとパスワードを他のサービス(インターネットショッピングなど)で使い回している場合は早急にパスワードの変更を行うべきです。フィッシング詐欺の対処法の詳細は以下の記事をご参照ください。まとめフィッシングの狙いは「あなた」です。あなたの使用するコンピュータではありません。攻撃者はあなたを騙すために日々新たな攻撃手法を考えています。セキュリティソフトやブラウザのフィッシング対策機能も頼りになりますが、フィッシングサイトにアクセスする前に偽のメールやメッセージに気付ける知識を持つことが重要です。この記事に書いた基本事項を頭の片隅にでも置いておくことによって、多くのフィッシング詐欺を未然に防ぐことができるでしょう。※記事内容の利用実施は、ご自身の責任のもとご判断いただくようお願い致します。近年、ネット犯罪が増加し、様々なトラブルが発生しています。知らないうちに、悪質なウイルスに感染してしまうことも少なくありません。あなたのパソコンが安全かどうかを調べるもっとも確実な方法は、セキュリティソフトを使った『ウイルススキャン』です。この方法は、以下のようなメリットがあります。危険なウイルスを発見次第、そのまま駆除ノートンセキュリティは30日間(最大60日間)無料で最新版がご利用いただけます。今すぐインストールして、ウイルススキャンをしてみてください。無料ダウンロードページへ製品をご購入の際は以下のリンクをご利用ください。危険なサイトはすぐ見抜ける!簡単な判別法と万が一の対処法フィッシング詐欺に引っかかったときの対処法ケース別4種類Facebookでのご購読が便利です。ノートンTwitter・Feedlyでもご購読できます。IDのロック解除とIDロック詐欺への対処法LINEの通知をオフにしたい方へ、状況に合わせた対処法4選iPhoneの指紋認証の設定方法と今後実装される可能性についてTwitterのアカウント削除の手順と注意すべき4つのポイント人気のある記事LINE乗っ取りの手口と被害に遭った時の対処法、被害に遭わない対策まとめVPNとは?その基本と無料Wi-Fiを安全に利用する方法iPhoneを売りに出す前に!端末の初期化/バックアップと復元の全手順Googleからのウイルス警告への対処法と今後の対策iPhone乗っ取りを今すぐ調べる方法と乗っ取られていた場合の対処法Facebookでのご購読が便利です。ノートンTwitter・Feedlyでもご購読できます。個人情報盗難保護サービスが利用できない国があります。関連会社の米国およびその他の国における商標または登録商標です。