ITワクワク塾フィッシングとは？偽サイトでパスワードを盗む手口と防ぎ方
「アカウントが停止されます」「荷物を届けられませんでした」といったメールやSMSのリンクを開くと、本物そっくりのログイン画面が表示される。これがフィッシングの典型的な手口です。
本記事では、フィッシング対策協議会の資料をもとに、フィッシングの仕組みと、見た目に頼らずに防ぐ方法を解説します。
フィッシングとは
フィッシングは、実在する会社やサービスになりすまして、ユーザー名、パスワード、クレジットカード番号などをだまし取る行為です。
フィッシング対策協議会は、メールやSMSで本物に見せかけた知らせを送り、リンクから偽サイトへ誘導して、個人情報を入力させる手口だと説明しています。
偽サイトで入力したパスワードは、そのまま攻撃者の手に渡るのです。攻撃者はそれを使って本物のサイトにログインし、アカウントを乗っ取ります。
見分けるのが難しい理由
フィッシング対策協議会は、偽物を見分けるのは非常に難しいとしています。
差出人の表示は本物と同じにでき、日本語も自然になってきました。URLの横の鍵マークは通信が暗号化されていることを示すだけで、サイトが本物であることの証明にはなりません。画面の見た目も、本物を写せばそっくりに作れます。
ドメイン名を確かめるのは有効ですが、急いでいるときや、スマートフォンの狭い画面では確かめ忘れがちです。
仕組みで防ぐ
人の注意だけに頼らず、仕組みで防ぐ方法があります。
1つ目は、メールやSMSのリンクからログインしないことです。フィッシング対策協議会は、いつもの公式アプリや、ブックマークした公式サイトから開く習慣を勧めています。
2つ目は、パスワードマネージャーの自動入力を使うことです。パスワードマネージャーは、保存したときのドメイン名と開いたサイトのドメイン名が同じときだけ、パスワードを入力します。偽サイトでは候補が出ないため、そこで気づけるでしょう。
3つ目は、パスキーを使うことです。パスキーはドメイン名に結び付いていて、偽サイトではブラウザーが使わせません。
ワンタイムパスワードを使う2段階認証も、パスワードだけを盗まれた場合には役立ちます。ただし、偽サイトにワンタイムパスワードまで入れてしまうと防げません。デジタル庁の本人確認のガイドラインも、ワンタイムパスワードは、偽サイトが入力を本物のサイトへその場で中継する攻撃には耐えられないと注意しています。
だまされたと気づいたら
偽サイトにパスワードを入れてしまったら、すぐに本物のサイトでパスワードを変更します。同じパスワードを使い回しているほかのサービスも、あわせて変更してください。クレジットカード番号を入れた場合は、カード会社に連絡しましょう。