なりすましメールの対策方法を学ぼう!

セキュリティに関する記事をまとめる当マガジン。
今回は「なりすましメール」の対策について紹介します！

なお、記事を書いているのは一花本人であり、
なりすましや替え玉ではございません。
遠慮なくスキとフォローを！

さて、これまでの記事ではウイルス対策のために
「セキュリティソフトの重要性について」等を紹介しましたが、
なりすましメールは届いただけでは害が無いため、
原則的にウイルスとは認識されません。

中にはフィッシング対策機能をもつセキュリティソフトがありますが、
これに関しても100%偽物を見破れるとは限らないため、
最終的には「各自が対策する」必要が出てきます。

改めて、このなりすましメールの危険性や見分け方、
有効的な対処方法について説明していきます。

なりすましメールには大きく2種類ある？

さて、なりすましメールはその名の通り、
別人になりすまして虚偽の内容を伝えたり、個人情報を搾取するための
メール全般を指す言葉です。

なりすましのメールはその攻撃手段で分けると
大きく2つに分類することができます。

①標的型メール
>>>標的型メールは、メールに添付ファイルをつけて、
その添付ファイルを開くとウイルスが起動してしまう形式のものです。
添付ファイルはメールのデータの一部という扱いのため、
パソコン内に保存されている他のファイルとは別の扱いとなり、
原則的にセキュリティソフトの検出対象外となります。
よって起動する前に検出できず、起動後にその動作をセキュリティソフトが
感知したとしても対策が非常に困難になります。

②フィッシングメール
>>>フィッシングメールは、主に偽のホームページへ誘導することによって
その偽ホームページに個人情報を入力させることで情報を搾取します。
こちらはメール内にある情報が「とあるホームページのアドレス」なので、
根本的にウイルスのようなファイルとは異なります。
メールやホームページが偽物であることをセキュリティソフトの
フィッシング検出機能が見つけてくれるとは限らないため、
自分の目で見分ける必要が少なからず出てきます。

標的型メールの対策

さて、まずは標的型メールの対策です。
こちらに関してはプライベートでのメール利用か仕事での利用かで
若干内容が異なります。

まずプライベートで利用中のアドレスに企業から届くメルマガ等について。
企業から一般客に添付ファイルを送ることは絶対に有りえませんので、
もしそのようなメールが来たらそのメールは無視しましょう。
企業がお顧客に対して情報発信する場のメインはあくまでホームページ。
そのホームページを定期的に見てもらうことで新しいサービス等に
興味を持ってもらえるように、定期的にホームページを見てもらえるよう
定期的に語りかけるのがメルマガの主な目的です。
内容を個別に伝えるための添付ファイルをつけることは
1000%ありえないのです。　そもそも個別に用意して送る方も面倒です。

一方、ビジネス利用のメールについて。
こちらは仕事の都合上添付ファイルを活用する場合があるはずです。

こちらも、明らかに存在しない部署から来たものであれば嘘とわかります。
見分け方の例としては、メールアドレスのドメインなどで見分けれます。

しかし、最近の標的型メールでは、社内のパソコンをのっとった上で、
本物のアドレスから更にメールを送信するウイルスなどもあるため、
本物か否かが判別しにくい場合は、該当部署に電話等で確認をとって
対処するのが良いでしょう。

また、ビジネスメールの標的型では、タイトルに「至急」などと
入っているケースが多く見受けられます。
このような場合は大体フィッシングです。
(これは口が悪いかもですが、そんな至急になる案件を送りけるなど
スケジューリングミスかリスク管理ができていない証拠なので、
仮に本当でも責任感を背負い込まないのが良いでしょう。)

添付ファイルに関しては従来「Wordのフリをしたexeファイル」等を
見極めようなどと言われてきました。
しかし昨今のメールではWordファイル内に
ウイルスのマクロを組んでいる場合などが散見されます。
(参照IPAのサイト：Emotet)

何がともあれ、添付ファイルに関しては偽物を開くと
一発で爆発するたぐいのものなので十分に注意が必要です。

フィッシングメールはどうすればいい？

続いてはフィッシングメールについてです。

こちらはビジネスに限らず、一般的なメルマガにもURL記載があることは
珍しくないため、すべての人が注意しておく必要があるでしょう。

テレビや他サイトでも偽物を見分ける方法はいくつか紹介されていますが、
そのよくある内容に関する一花の所感と評価を紹介します。

①迷惑メールのブロック機能を利用する。
>>>こちらがまっさきに思いつく方法ではないかと思います。
怪しいセールスが来たときに「間に合ってまーす」と門前払いする方なら
この方法が一番安全だと考えることでしょう。

【良い点】
・根本的に被害を事前に防げる。
【悪い点】
・迷惑メールは少しだけアドレスを変えてまた発信するケースが多く、
一度設定してもまたすぐ届くかも。いたちごっこというクソゲー開幕！
・迷惑メール防止のソフトやサービスを利用して自動判別する場合、
全てを感知できるとは限らない。また、必要なメールを誤って
ブロックしてしまう場合もある。

一般個人の方でメルマガ受信しかしない方ならば
この方法はある程度有効ですが、仕事で利用する場合に、
必要なメールまで止まってしまう可能性を考えると微妙な気がします。
迷惑メールを100%ブロックできるとも限らないので、もし利用するにしても
「届く可能性はあるもの」として対策する必要はありそうです。

②メールアドレスがおかしくないか確認する。
>>>メールアドレスを確認することで普段やり取りしている相手かどうかは
見分けることができます。

しかし、メールアドレスを見分けようとしても、
「本物にそっくりのため見分けにくい」という場合はあるため、
100%見分けるという意味では若干の不安が残ります。

③掲載されているURLを確認する。
>>>偽メールということはリンクURLが偽サイトのものであるということ。
ならばそのURLを確認すればよいのではないか？と思われることでしょう。

しかし、この方法は「厳禁」です。

当サイトでも度々使っている手法ですが、根本的にリンクというものは、
「任意の文字で表示できる」ため、実際のリンクテキストは本物サイトでも
リンク先が偽サイトになっている可能性があります。
(※最近はSMSでフィッシングメールが届いている場合も多いようです。
アプリによるかもですがSMSでは任意の文字をリンク化する機能が
無いようなので、SMSについてはURLでも見分けれるかもです。
ただし、こちらも似たりよったりになっていると見分けにくいので注意！)

④日本語が片言ではないかをチェック。
>>>こちらもフィッシングあるあるですが、こちらも先入観を持つのはNG!

当たり前といえば当たり前ですが、カトコトな日本語で見破られると知れば
それに対する対策もしながら偽メールを送るように騙す側も気をつけます。
フィッシングメールのライターに日本人を加入させて送っている可能性も
十分に考えられますので注意が必要です。
最近は本当に見分けにくくなっています。

結局どうやってフィッシング対策をする？

「メール内のURLからアクセスしなければサービスが利用できない」のは
会員サイトの新規入会を行う際のメールアドレス確認くらいです。

よって、基本的にメルマガ等で確認できる内容というのは
「公式ホームページやアプリから見れる」ものなので、例外なく
メルマガ内のURLをクリックしないのが最善の方法になるでしょう。
なんせ、メールで紹介するくらいみんなに使ってほしいわけですから、
ホームページなどではトップに「どーん！」と載っているはずです。

「検索した結果偽ページが最初に出てくる可能性はないのか？」と
想像される方もいらっしゃるかもしれませんが、それは無いでしょう。
ひっそりと悪事を働く上でそんな簡単に足がつくようなことが無いよう、
騙す側も十分に気をつけているはずです。
もし、架空の団体であればその団体の偽サイトが見つかる場合もありますが
こちらもサイト本体より「偽物だよ！」っていう口コミのほうが
上位にヒットすることが多いので、それほど危険性はないでしょう。

まとめ

以上が主な対策方法です。
重要なことは「信頼できる情報の発信元」を確認しておくことです。

メールマガジンは前述の通り、「サービスに興味を持ってもらえるよう、
ホームページをこまめにチェックしてもらうためにかたりかける」という
明確な目的があるものです。
つまり、信頼できる情報の発信元は「メール」ではなく、
「公式ページ」や「公式アプリ」ということになります。

このことを念頭に置いて、今後の対策にお役立てくださいませ。