フィッシングメールか迷ったら、メール内のリンクではなく、普段使っている公式アプリや登録済みのブックマークから確認します。文章が自然で、差出人の名前も認証結果も正しく見えることは、安全の証明にはなりません。

急いで本物か偽物かを言い当てる必要はありません。支払いやパスワードの入力をいったん止め、依頼が本当に存在するかをメールの外で確かめます。仕事のメールなら、自分だけで解析し続けず、社内の報告先へ相談する方が良いです。

最初に依頼された行動を止める

「今日中に支払う」「本人確認のためログインする」といった要求が来たら、まず操作を保留します。心当たりがあっても、メールから直接進む必要はありません。添付ファイルや本文中のQRコードも、確認が済むまでは開かないでください。

Googleのフィッシング回避の案内でも、疑わしいリンクの先で情報を入力せず、利用するサイトへ直接アクセスすることが勧められています。取引先を名乗るメールなら、過去に確認済みの電話番号などで連絡します。今回のメールに書かれた電話番号や返信先だけを使うと、同じ相手へ確認してしまう場合があります。

たとえば振込口座の変更依頼なら、金額や請求書の見た目が合っていても保留します。従来の担当者へ別経路で変更の事実を確認してから、社内の承認手順へ戻します。これは不自然な日本語を探すより、被害につながる操作を止めるための確認です。

差出人とリンクは手がかりであり証明ではない

メールアプリの差出人名は、アドレスとは別の表示です。会社名や担当者名が合っていても、それだけで信頼しないでください。アドレスを展開して確認すると手がかりになりますが、実在するアカウントが不正利用される場合もあります。

URLを見るときも、有名な名前が含まれているかではなく、接続先のホスト名を確認します。たとえば正規のサービスを example.com とした場合、example.com.login.example.net はそのサイトとは別のホストです。HTTPSの表示も通信の保護を示すもので、運営者の誠実さを保証しません。

読み方に自信がなければ、リンク先を開いて調べる必要はありません。短縮URLやQRコードで移動先が分かりにくい場合も、公式アプリから同じ通知があるか確認する方が安全です。

認証がpassでもフィッシングは否定できない

SPF・DKIM・DMARCはメール認証の仕組みですが、本文の依頼が正しいかを判定するものではありません。攻撃者が自分のドメインを正しく設定したメールや、乗っ取られたアカウントから送られたメールを、passだけで除外することはできません。

反対に、転送などで正規のメールの認証に失敗する場合もあります。認証成功と安全、認証失敗と詐欺を一対一で結び付けないことが重要です。この限界はGmailのメール認証の説明でも確認できます。

ヘッダーで表示されるFromとReturn-Pathのドメインが違うだけでも、偽装とは断定できません。通常の返信先と配送エラーの通知先は役割が異なります。技術的な調査が必要なら、メールヘッダーの読み方で受信側の認証記録を確かめます。利用者が支払いを保留するために、先にヘッダーを読み切る必要はありません。

公式の通知と照合してから判断する

確認は、メールと独立した経路で行います。ブラウザを開き直しても、同じメールのリンクをコピーして使えば確認先は変わりません。公式だと以前から確認しているアプリやブックマークを使ってください。

  1. メール内のリンク・添付・QRコードを使う操作を止める。
  2. 公式アプリなどからログインし、同じ通知や請求があるか確認する。
  3. 判断できなければ、既知の窓口または社内担当者へ問い合わせる。
  4. 不審なメールは、組織の手順やメールサービスの報告機能で報告する。

公式画面に同じ案内がなかった場合も、その一点だけで偽物と断定しません。反映待ちや別の連絡手段という可能性もあるため、操作を保留したまま窓口へ確認します。Gmailには「フィッシングを報告」の機能がありますが、会社で証拠保全の手順が決まっている場合は、その手順を優先してください。

すでに開いた場合は何をしたかで対応を分ける

リンクを開いただけなのか、情報を入力したのか、ファイルを実行したのかで初動は変わります。何もなかったように見えるから安全とも、開いただけで必ず感染したとも判断しません。次の表を使い、実際に行った操作を整理してください。

行った操作先に行うこと
ページを開いたが入力・ダウンロードはしていないページを閉じ、日時と操作内容を記録する。業務端末なら担当者へ報告する
パスワードや認証コードを入力した公式の回復経路から保護を進め、不審なログインやセッションを確認する
カード情報を入力した、送金したカード会社・金融機関の正規窓口へ速やかに連絡する
添付を実行した、アプリや拡張機能を入れた使用を止め、業務端末は管理者へ直ちに連絡する。隔離などは組織の手順に従う

IPAの不正ログインに関する注意喚起でも、カード情報を入力した場合はカード会社への相談を案内しています。何を入力したかによって連絡先が変わるため、操作内容を隠さず伝えてください。

Googleアカウントなら、不正使用されたアカウントの保護手順から、ログイン状況や回復情報も確認します。パスワードを使い回していた場合は、同じものを使う他のサービスも保護する必要があります。端末自体が疑わしい場合、保護操作は信頼できる別端末から行い、管理者へ相談します。

相談前にメールやファイルをすべて消してしまうと、調査に必要な情報が失われる場合があります。疑わしいものをもう一度開かず、受信日時と行った操作を伝え、原本の扱いは担当者の指示を受けてください。

判断できないまま保留して構わない

ヘッダー解析やWebサイトの安全性チェックは補助的な確認です。検査で問題が見つからなかったことを、ログインや送金の許可に置き換えないでください。解析サービスへ個人用トークンや機密情報を送らないことにも注意が必要です。

次に行うことは、メールの真偽を推測し続けることではありません。届いた要求を保留し、普段から使っている正規の窓口で、その依頼が存在するか確かめることです。