偽メールの見分け方：注意すべきレッドフラッグ

受信トレイを開くと、銀行からの緊急メッセージが届いている。あなたの口座が危険にさらされており、すぐに情報を確認する必要があるという内容だ。あなたはすぐにリンクをクリックし、苦労して稼いだお金を守ろうとする。しかし、ちょっと待って！あなたは今、古くからある手口のひとつに引っかかってしまったのではないだろうか？

このようなフィッシング攻撃はどこにでもある。実際、 毎日34億通以上のフィッシングメールが 送信されており、サイバー攻撃の90％は フィッシングメールから始まっている。詐欺師は驚くほど巧妙になっているため、メールが偽物かどうかを見分ける方法を知ることは、これまで以上に重要になっている。

毎回有効な唯一の手口はありません。しかし、メールのヘッダーをチェックしたり、詐欺師がどのように人間の心理を操るかを理解するなど、いくつかの賢いテクニックを組み合わせることで、被害に遭う可能性を大幅に減らすことができます。 

受信トレイと個人情報の安全を守るために、そのすべてを解明しよう。

偽メールはどのように見えるか？

詐欺師を捕まえるには、詐欺師のように考える必要があります。ほとんどの詐欺師は、リンクをクリックしたり、添付ファイルをダウンロードしたり、個人情報や金融情報を共有したりと、あなたを騙して何らかの行動を起こさせるというシンプルな目標から始めます。しかし、彼らはどうやってあなたをそこまで誘導するのだろうか？その答えは、心理学と技術的なトリックの組み合わせにある。

まず、最も簡単なテクニックから始めよう。メールアドレスそのものを見るのだ。

ドメインの模倣を見抜く

まず、メールのドメインを確認しましょう。信頼できる企業からのメールであれば、ドメインはその企業の公式ウェブサイトと一致しているはずです。例えば、アマゾンからのメールは@ amaz0n.comではなく、@amazon.comから来るはずです。

スパマーは、typosquatting（タイポスクワッティング）のようなテクニックを使い、正規のドメインとよく似たドメインを登録する。例えば、gooogle.com（oが3つある）を登録し、それを使ってGoogleからのように見せかけたフィッシング・メールを送ることがある。

PowerDMARCでメールセキュリティを簡素化！

h3>サブドメイン：騙されないで

もうひとつよくある手口は、サブドメインを使って偽のアドレスを合法的に見せかけることだ。例えば、"paypal.secure-login.com"は一見PayPalのもののように見えるかもしれないが、"secure-login.com"が実際のドメインです。真の送信者を特定するには、常にルートドメイン（.com、.orgなどの直前の部分）を見てください。

欺瞞的な表示名を探す

詐欺師は、フィッシングメールの表示名を操作して、あたかもあなたが知っている人物からのメールであるかのように見せかけることができます。

例Amazonカスタマーサポート」からのEメールに見えても、実際のEメールアドレスは[email protected]。

この手口は注文確認詐欺でよく使われ、攻撃者は人気ブランドになりすまし、受信者を騙して偽の注文更新や請求書をクリックさせる。

ユニコードのトリック

この巧妙な手口は、標準的な文字と同じように見える非ラテンアルファベットの文字を使うというものだ。例えば、キリル文字の「а」（U+0430）はラテン文字の「a」と全く同じに見えるが、詐欺師は別のドメインを登録することができる。

例正規のEメールアドレス：apple.com なりすまし詐欺Eメール：аpple.com (違いにお気づきだろうか？見た目には1つもない！)

怪しいと思ったら、そのアドレスをUnicodeインスペクターツールにコピー＆ペーストして、非標準文字をチェックすることができます。標準外の文字があれば、それが明らかになります。

偽メールアドレスのランダム文字

偽の電子メールアドレスでもう一つ探すべきことは、数字や文字のランダムな文字列です。特定の目的のために自動生成されたアドレスでない限り、本物のメールアドレスにこのような文字列が含まれていることはほとんどありません。[email protected] からのメールを見た場合、[email protected] からのメールよりも偽の可能性が高い。

しかし、これも厳密なルールではありません。メールアドレスに乱数を使う人もいます。特に、名前が共通で、他の人と自分のアドレスを区別する必要がある場合です。

返信先フィールド

次に調べるべきは、"reply-to "アドレスである。これは、メールクライアントに返信の送信先を指定するものです。

正規のメールは通常、返信先アドレスが送信者と同じドメインに設定されています。もしそれが違っていたら、特に無料のメールサービスなら、それは警告のサインです。詐欺師は、なりすましのドメインを実際には管理していないため、別の返信先アドレスを使わざるを得ないことが多いのです。

例電子メールは [email protected] から送信されたように見えるが、「Reply-To」アドレスは[email protected] に設定されているかもしれない。

Gmailでは、送信者名の横にあるドロップダウンの矢印をクリックすると、返信先アドレスが表示されます。他のメールクライアントでは、返信先を確認するために返信を作成する必要がある場合があります。返信先が送信者と一致しない場合は、注意が必要です。

時には、詐欺師は返信先フィールドをわざわざ変更しないこともあります。その代わり、メール本文に別のアドレスに返信するよう求める文章を入れる。これも同様に疑わしい。

不審な電子メールに共通する内容のレッドフラグ

詐欺師は感情を操り、即座に行動を起こさせるようなシナリオを作る専門家である。この手口は「ソーシャル・エンジニアリング」として知られています。切迫感を煽ったり、金銭的な利益への欲求に訴えたりすることで、個人情報を開示させたり、悪意のあるリンクをクリックさせたりすることを狙っています。

例えば、見慣れないプラットフォームでの最近の行動を確認するよう緊急に要求するメールや、悪意のあるコンテンツを偽装するために「my assignment help review」というリンクを提供する場合があります。このようなフィッシングメールは、正規の組織を模倣し、プロフェッショナルに見えるロゴやレイアウトでユーザーを騙すように設計されています。

典型的なフィッシング詐欺メールはこう主張するかもしれない：

• あなたは相当な大金を手にした。
• あなたのアカウントは侵害されており、直ちに対処する必要があります。
• 荷物の配達に失敗したので、スケジュールを変更する必要があります。
• 緊急の請求書または業務依頼が保留されています。

このようなフィッシングメールは合法的に見えるようにデザインされており、見慣れたロゴやフォント、レイアウトが使われていることもあります。その目的は、メールの信憑性について批判的に考えることなく、素早く反応するように仕向けることです。

緊急性と脅威

サイバー犯罪者は、恐怖と緊急性が迅速な行動を促すことを知っています。偽メールは、あなたを怖がらせ、切迫感を与えようとするかもしれません：「支払い情報をすぐに更新しなければ、あなたのアカウントは閉鎖されます」、「おめでとうございます！おめでとうございます！賞金を受け取るにはここをクリック"、あるいは自然な好奇心を起こさせる（"あなたのプロフィールを見た人を見る"）。この種のフィッシング攻撃は、あなたの理性的思考を迂回させることを意図しています。

このようなフィッシングメールを受け取ったら、立ち止まって考えてみよう。合法的な企業がEメールであなたを脅すことに意味はあるのでしょうか？ほとんどの実在する組織は、このような手口は使いません。また、コンテストや抽選に応募していなければ、当選する可能性は低いでしょう。合法的な組織が、迷惑メールで大金をプレゼントすることはないことを覚えておいてください。

このようなフィッシング・メールを受け取った場合は、確認済みの連絡方法を用いて直接その会社に連絡し、そのメールが正当なものであるかどうかを確認してください。

機微（センシティブ）情報の要請

合法的な企業は通常、電子メールで機密情報を要求することはありません。個人情報、アカウント情報、社会保障番号、クレジットカードの詳細などを返信するよう求めるメールは、ほぼ間違いなく偽物です。

例えば、奨学金や学生ローンの手続きのために、社会保障番号を要求するファイナンシャル・エイド・オフィス（例：[email protected]）を名乗る偽の大学メールを受け取ることがあります。その要求が普通でないだけでなく、不審なドメイン（スペルミスの "paypall "など）は、フィッシングの可能性が高いという明確な赤信号です。大学の偽メールがどのように無防備な学生や職員を標的にするかについては、こちらをご覧ください。

予期せぬアタッチメント

多くの詐欺師は、悪意のある添付ファイルを使って マルウェアやウイルスを送りつけ、あなたのコンピュータを感染させたり、個人情報を盗んだりします。予期せぬ添付ファイルを受け取った場合、特にそれが.zipファイルや、.exe、.scr、.vbsのような変わったファイルタイプの場合は、十分注意してください。PDFやWord文書のような一見無害なファイルタイプであっても、有害なマクロが含まれている可能性があります。例えば、支払期日を過ぎた請求書が添付された、業者からの支払督促のようなメールが届くかもしれません。一見普通の請求書PDFに見えますが、実は悪意のあるコードが含まれている可能性があります。

不審な添付ファイルの対処法

• 絶対に開かないでください：予期せぬ添付ファイルを受け取った場合は、信頼できる送信元からのものであることを確認しない限り、開かないこと。
• ウイルス対策ソフトウェアを使用する：ウイルス対策ソフトが最新であることを確認し、添付ファイルを開く前にスキャンする。

文法、スペルミス、矛盾

正当なメールにも間違いがあるため）完全ではありませんが、文法の不備や複数の間違いは赤信号となる可能性があります。詐欺師は必ずしも自分が書いている言語をしっかり理解しているとは限りませんし、より目の肥えた受信者を排除するために、意図的に壊れた文法をフィルターとして使っている場合もあります（文法の間違いに気づいて敬遠する人は、フィッシングに引っかかる可能性が低くなります）。そのため、文法やスペル、文法の誤りをチェックすることが、偽のメールアドレスを見分ける最も簡単な方法のひとつなのです。

正規の企業には、プロフェッショナルでミスのないコミュニケーションを保証するための専門チームがあります。通常、一貫性のあるプロフェッショナルなEメールテンプレートを用意しています。大企業を名乗るメールが素人っぽかったり、書式に一貫性がなかったりしたら、それは偽物かもしれません。

「Dear Customer（お客様各位）」や「Hello User（こんにちは、ユーザー各位）」もまた、死語かもしれない。正規の企業は通常、あなたの詳細情報を登録しているため、あなたの名前で挨拶します。偽メールは、大量に送信されるため、一般的な挨拶が使われることが多い。

ミスマッチ・リンク

詐欺師がよく使う手口のひとつに、メールに悪意のあるリンクを埋め込むというものがあります。このような不審なリンクは、ログイン情報を盗んだり、デバイスをマルウェアに感染させたりするように設計された、予期しない偽のウェブサイトにつながることがよくあります。

例電子メール内の悪意のあるリンクのテキストは、"www.yourbank.comと表示されていても、カーソルを合わせると、実際のURLは"www.scamsite.com/login."これは、マスクされたURLまたは隠されたURLと呼ばれます。

リンクの検証方法

できる：

リンクにカーソルを合わせる

クリックせずにカーソルをリンクの上に置いてください。そうすると、実際のURLのリンク先が表示されます。不審に見えたり、公式ウェブサイトと一致しない場合は、クリックしないでください。リンクをクリックする代わりに、検索エンジンに企業名を入力して公式ウェブサイトを見つけましょう。スパマーはURL短縮ツールやその他のテクニックを使って、リンクの本当の宛先を隠すことがあります。また、メールクライアントによっては、埋め込まれたリンクにカーソルを合わせてリンク先を確認できないものもあります。

HTTPSを探す

正規のウェブサイトは通常、URLが「https://」で始まり、南京錠のアイコンが付いている。しかし、詐欺師も悪意のあるウェブサイトを保護することができるため、これは完全ではありません。

ニセの荷物配達通知

オンラインショッピングの増加に伴い、詐欺師は悪意のあるリンクをクリックさせるために偽の荷物配達通知に目をつけた。

例 「荷物の配達に失敗しました。スケジュールを変更するにはここをクリックしてください。"

何をすべきか：

• 差出人のメールアドレスを確認する：発送会社の公式ドメイン（@fedex.comや @ups.comなど）からのメールであることを確認する。
• お客様のアカウントに直接ログインしてください：リンクをクリックする代わりに、会社のウェブサイトに直接アクセスして荷物を追跡してください。

偽メールを見破る高度な方法

さて、ここからは技術的な話に入る。最初は複雑に思えるかもしれないが、一度何を見るべきか分かれば、それほど難しくはないので心配しないでほしい。

認証インジケーターを使用する

これらは、電子メールが実際にそのドメインから来たものであることを確認するためのチェックです。主な認証インジケータは以下の3種類です：

• SPF（SenderPolicy Framework）：これは、送信者のIPアドレスがそのドメインのメールを送信することを許可されていることを確認するのに役立ちます。このリストに載っていないサーバーからメールが来た場合は、偽物の可能性が高い。
• DKIM（DomainKeysIdentified Mail）：DKIMは電子メールの改ざん防止シールのようなものです。電子メールにデジタル署名を追加することで、そのメールが本当にあなたからのものであり、受信者に届く途中で変更されていないことを証明します。
• DMARC（Domain-basedMessage Authentication, Reporting & Conformance）：DMARCポリシーは SPFとDKIMの上に構築され、ドメイン所有者はこれらのチェックに不合格となった不審なメールの処理方法を指定することができます。DMARCポリシーはSPFとDKIMの上に構築され、これらのチェックに不合格になった不審なメールの処理方法をドメイン所有者が指定できるようにする。

チェック方法

残念ながら、ほとんどの電子メールクライアントは、重要な認証情報を目立つように表示しないため、ユーザーが電子メールの正当性を迅速に確認することが難しくなっている。

Gmailのように、「mailed-by」と「signed-by」の情報をメールビューに直接表示するものもあり、メールの信憑性を素早く知ることができます。より詳細なチェックには、メールヘッダ全体にアクセスすることができます。

Gmailでは、返信ボタンの横にある3つの点をクリックし、「オリジナルを表示」を選択すると、SPFとDKIMの詳細なチェック結果が表示されます。

何を見るべきか

グーグル、アップル、マイクロソフトなど、評判の高い大手企業であれば、これら3つ（SPF、DKIM、DMARC）すべてがパスしているはずだ。中小企業の場合は、少なくともSPFとDKIMはパスするはずです。

大規模な組織からのメールと思われる場合、ここでの失敗は非常に疑わしい。とはいえ、これらのチェックに合格したからといって、そのメールが安全だと保証されるわけではありません。ただ、そのメールが本当にそのドメインから来たということを意味するだけです。詐欺師は、適切な認証で偽のドメインを設定することができます。ですから、あなたが期待する正しいドメインであることを確認する必要があります。

しかし、メールのヘッダーを読むのは簡単ではありません。ほとんどの人が理解できない技術的な情報でいっぱいだからだ。スパマーはそれを知っているので、合法的に見えるヘッダーを偽造することに長けている。

デジタル署名の確認

偽メールを見分けるより高度な方法の一つは、S/MIME署名としても知られるデジタル署名をチェックすることです。S/MIME署名とは、そのメールが本当にその個人や組織から送られたものであることを証明する、バーチャルな封蝋のようなものです。電子メールがS/MIMEで署名されているということは、送信者が身元を確認し、メッセージが改ざんされていないことを保証する信頼できる証明書を持っていることを意味します。

OutlookやGmailを使用している場合、これらの署名を自分で確認することができます。Outlookでは、署名されたメールは送信者名の近くに青いリボンのアイコンが表示されます。それをクリックすると、証明書の詳細と有効かどうかが表示されます。

Gmailでは、署名されたメールはメールヘッダまたは送信者アドレスの横に「signed by」と表示されます。署名がなかったり無効だったりすると、そのメールは偽物か改ざんされたものである可能性があります。

送信者の逆引き検索

もう一つの賢い方法は、メールを信用する前に送信者を少し調べることです。WHOISサービスを使えば、メールアドレスやドメインを逆引きすることができます。ドメインがごく最近に作られたものであったり、所有者の情報が不審なものであったり、非公開であったりする場合は、警告のサインです。

また、送信者の名前やメールアドレスにリンクしているソーシャル・プロフィールをチェックすることもできる。LinkedIn、Twitter、あるいは会社のウェブサイトは、その人物が本当に存在するのかどうか、そして彼らが名乗る組織と関係があるのかどうかを確認するのに役立ちます。痕跡がなかったり、情報が一致しない場合は、用心するに越したことはない。

PowerDMARCでフィッシング詐欺を防ぐ！

フィッシング詐欺の例

これらの原則が実際にどのように適用されるのか、いくつかの例を見てみよう。

古典的なペイパル詐欺

古典的なPayPal詐欺は、最も一般的なフィッシングの手口の1つで、詐欺師がPayPalになりすまして、機密情報の開示や送金をだますというものです。

From:[email protected]

件名アカウントが制限されました！本文大切なお客様へ、お客様のアカウントに異常な動きがあることに気づきました。以下のリンクをクリックしてお客様の情報を確認し、アカウントへの完全なアクセスを回復してください。[リンク］

レッドフラッグ

• ドメイン偽装（paypal.com.secure-account.com）
• 緊急の件名
• 一般的な挨拶
• リンクのクリックと情報入力の要求

洗練されたCEOの詐欺

フィッシングの最も危険な形態の1つは、エグゼクティブ・フィッシングと呼ばれるもので、攻撃者が高級幹部になりすまして従業員を騙し、金銭や機密情報を送金させるものである。

From： [email protected]

件名緊急電信送金

本文[従業員名】、新規買収のための緊急電信送金を処理してほしい。これは一刻を争う機密事項です。至急以下の口座に$50,000を送金してください：[口座詳細］

完成したら教えてくれ。

[CEOの名前］

レッドフラッグ

• 緊急の金銭要求
• 迅速な行動を求める圧力
• 守秘義務の要請
• 高級幹部からの異例の要請

BEC（Business Email Compromise）と呼ばれるこの種の詐欺は、 企業に数十億ドルの損害を与えています。多くの場合、役員の電子メール・アカウントを侵害したり、なりすましたりして、不正送金を要求します。

偽物に見える正当な電子メール

以前取引したことのある中小企業からメールが届く。認証チェックは通らず、メールにはいくつかのタイプミスがあります。あなたの最初の直感は、それをスパムとしてマークすることかもしれません。

しかし、送信者のアドレスが、あなたがこの企業と以前にやり取りした内容と一致していることに気づく。メールの内容には、その企業との最後のやりとりに関する具体的な詳細が記載されています。この場合、チェックに失敗したにもかかわらず、メールは正当なものである可能性があります。この例は、技術的なチェックだけでなく、文脈や送信者との関係など、複数の要素を考慮することが重要である理由を示しています。

偽メールから身を守る方法

偽アドレスの兆候に気づくことは、戦いの半分に過ぎません。自分自身と組織を守るための積極的な対策を講じることも同様に重要です。

最新の詐欺情報

偽メールの手口は常に進化しています。現在のフィッシング詐欺について常に情報を得ることで、新しいタイプの偽メールを見破ることができます。多くの組織が、新しいEメール詐欺に関する最新情報を定期的に発表しています。例えば、FBIのInternet Crime Complaint Center(IC3)は、最新のサイバー脅威や詐欺に関するアラートを発表しています。同様に、連邦取引委員会（FTC）は、最新の詐欺行為に関する貴重な洞察を提供しています。また、さらに深く知りたい場合は、フィッシング詐欺に特化したAnti-PhishingWorking Group（APWG）がある。

また、AIが生成した詐欺や音声フィッシング（ヴィッシング）にも注意しよう。人工知能によって、詐欺師は説得力のある、パーソナライズされたフィッシング・メッセージを大規模に作成しやすくなっている。一方、一部の詐欺師は、このような電子メールの手口と音声や電話を組み合わせており、多くの場合、AIを使って声のクローンを作成し、より複雑で信じられる可能性のある詐欺を作り出している。ヴィッシングとして知られるこの手口は、従来のフィッシング攻撃に聴覚的な要素を加え、潜在的な被害者が真実を見分けることをさらに困難にしている。これに対し、生成AIをサイバーセキュリティに活用することで、こうしたAI主導の詐欺をより効果的に検知し、防御を強化し、新たな攻撃手法に迅速に対応することができる。

メールフィルタリングソリューションの使用

高度なスパムフィルターは、偽メールが受信トレイに届く前に検知し、ブロックするのに役立ちます。これらのソリューションは、機械学習と人工知能を使用して、電子メールのコンテンツ、送信者情報、およびその他のメタデータを分析し、潜在的に悪意のある電子メールを識別します。

データ漏洩通知サービスの利用

Have I Been PwnedやAvast Hack Checkのような正規のサービスを使って、あなたのメールアドレスがデータ侵害に巻き込まれていないかどうかを確認しましょう。

電子メール認証プロトコルの導入

SPF(Sender Policy Framework)、DKIM(DomainKeys Identified Mail)、DMARC(Domain-based Message Authentication, Reporting, and Conformance)などのメール認証プロトコルを使えば、なりすましからドメインを守ることができます。

残念ながら、メール認証は期待するほど普及していない。ある試算によると、80％以上のドメインがSPFレコードをまったく持っていない。また、SPFレコードを持つドメインでも、その多くは厳格なポリシーを適用していません。最も包括的なメール認証方法とされるDMARCを使用しているドメインはさらに少ない。これらの保護が行われている場合でも、必ずしも正しく設定されているとは限りません。

堅牢な電子メール認証の実装を検討している企業に対して、PowerDMARC は包括的なソリューションを提供します。同社のプラットフォームは、DMARC、SPF、DKIMレコードの設定と管理のプロセスを簡素化します。

主な特徴

• DMARCレコードジェネレーター：DMARCレコードを簡単に作成・管理。
• SPFレコード管理：SPFレコードを最適化し、なりすましメールを防止します。
• DKIMセットアップアシスト：DKIMジェネレータツールを使用して、お客様のドメインにDKIM署名を実装します。
• フォレンジックレポート：メール認証の失敗に関する詳細な洞察を得ることができます。
• 脅威インテリジェンス：貴社のドメインに対する潜在的な脅威を特定します。

PowerDMARCのようなサービスを利用することで、企業はドメインがフィッシング攻撃に利用されるリスクを大幅に減らすことができ、ブランドの評判と顧客の両方を守ることができる。

受信トレイの保護

詐欺師は常にテクニックを進化させています。しかし、差出人アドレス、返信先フィールド、認証結果を注意深く調べることで、ほとんどの偽メールを捕まえることができる。これらの方法は、あなたの自然な懐疑心を増幅させる補助であって、その代わりではないと考えましょう。車の安全装置のようなもので、事故を防ぐのに役立つが、それでも注意深く運転する必要がある。結局のところ、少しでも怪しいと感じたら、そのメールはそのように扱うことだ。フィッシング詐欺に引っかかるくらいなら、本物のメールを無視した方がいい。

フィッシング詐欺に騙されない人はいない。技術に精通した人であっても、十分に巧妙なフェイクに騙される可能性があります。

よくあるご質問

偽の電子メールは、それを開くだけで私のデバイスに感染しますか？

通常、メールを開いただけではデバイスに感染することはありません。しかし、悪意のあるリンクをクリックしたり、添付ファイルをダウンロードしたりすると、マルウェアがインストールされる可能性があるため、常に注意が必要です。

フィッシングメールに返信してしまった場合はどうすればよいですか？

あらゆる通信を直ちに停止する。パスワードを変更し、アカウントに不審な動きがないか監視し、デバイスのセキュリティスキャンの実行を検討してください。

不審なメールの配信停止は安全ですか？

しない方が安全です。配信停止」をクリックすると、あなたのアドレスが詐欺師に知られてしまいます。代わりに、そのメールをスパムとしてマークするか、送信者をブロックしましょう。

偽メールを当局に通報することはできますか？

はい！フィッシングメールは、 Anti-Phishing Working Group (APWG)、Federal Trade Commission (FTC)、FBI's Internet Crime Complaint Center (IC3)などの組織に報告することができます 。