フィッシング

警察庁の説明は次のとおりです[1]。

実在のサービスや企業をかたり、偽のメールやＳＭＳ（携帯電話のショートメッセージ）で偽サイトに誘導し、ＩＤやパスワードなどの情報を盗んだり、マルウェアに感染させたりする手口です。

— 警察庁「フィッシング対策」

総務省も、送信者を偽ったメールやSMSのリンクから偽のホームページへ誘い、「クレジットカード番号や アカウント 情報（ユーザ ID 、 パスワード など）などの重要な情報を盗み出す詐欺」と説明しています[2]。米国 NIST の用語集も、犯人が正規の企業や信頼できる人物になりすまし、メールやWebサイトでのだましの誘いで重要なデータを手に入れようとする手口、と定義しています[3]。

本物を名乗る → 偽の入口へ誘う → 自分で入力させる、が基本の形です。盗む情報だけでなく、マルウェアを入れさせる場合もあります[1]。

警察庁は「情報を盗まれると、アカウントを乗っ取られてお金を奪われたり、インターネット通信販売サイトで勝手に買物をされたりします。」と書いています[1]。盗まれたIDとパスワードでアカウントに入られる部分は、不正アクセスの話でもあります。

• 入口はメールとSMSだけではない。 警察庁は「検索サイトの広告から誘引する方法など、様々な誘導方法が確認されています。」としています[1]。
• 急がせる文面が多い。 「「個人情報の漏えい」、「不正アクセス検知」、「取引の停止」等、切迫感を煽り、ログインさせようとするものが多数確認されています。」[1]
• 送信元の表示は当てにならない。 「メールソフトに表示される「送信元名称」や「送信元メールアドレス」だけを見てメールの真偽を判断することは困難です。」[1]
• 鍵マークがあっても偽物のことがある。 総務省は「WebブラウザのURLに鍵マークが表示されているにもかかわらず、フィッシングサイトであるケースが増えています。」としています[2]。
• URLの見間違いを狙う。 総務省は、アルファベットの o を数字の 0 にするなど、本物に見間違えるURLの例を挙げています[2]。

警察庁のページから、要点だけを挙げます[1]。

• 金融機関はメールやSMSでパスワードを聞かない。 「なお、金融機関が、ＩＤ、パスワード等をメールやＳＭＳで問い合わせることはありません。」
• リンクから入らない。 「電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください。」
• 入力してしまったら、同じパスワードを使う所をすべて変える。 「そのＩＤやパスワード等を利用している全てのサービスにおいて、パスワード等を速やかに変更してください。」
• 被害に遭ったら警察へ。 「最寄りの警察署又はサイバー事案に関する通報等のオンライン受付窓口に通報・相談してください。」

情報漏えいの発表に、その会社を装ったフィッシングへの注意が添えられることがあります。漏えいの事実と、その後に届くかもしれない偽の連絡は、別々の話です。 発表が何の情報について書いているのかと、どんな偽の連絡に注意を呼びかけているのかを分けて読むと、取り違えにくくなります。

1. 警察庁「フィッシング対策」
2. 総務省「国民のためのサイバーセキュリティサイト」フィッシング詐欺とは？
3. NIST「CSRC Glossary」phishing