不審なメールのリンクを安易にクリックしちゃダメですよ！
2018/04/27
本エントリーの目次
先日、会社で一緒に働いているパートさんから、内線でこんな問い合わせがありました。
私、会社のメールアドレスでネット銀行の手続きをした記憶がないんですが…
はるる『もしもーし、はるるです！』
パートさん『あの、はるるさん！私が口座を開設しているネット銀行から、会社のメールアドレスに問い合わせメールが来たんです。』
はるる『はい。それがどうかしました？』
パートさん『私、会社のメールアドレスを私的に使って、この銀行の手続きをした記憶が一切ないんです。だから銀行にこのメールアドレスをなぜ知られているのか、分からないんです。』
はるる『ふむふむ、とすると、詐欺を目的とした迷惑メールですかね？』
パートさん『そうかなぁ、とは思うんですけど、もし本物だったら困るし、迷惑メールだとしたら、リンクをクリックしちゃいけないだろうし…。』
はるる『たしかにそのとおりですね。』
パートさん『なので、できればはるるさんに見てもらいたいなぁ、なんて…。』
はるる『すぐにそちらにうかがいますね。ちょっと待っててください。』
というわけで、さっそくパートさんの席に行き、メールを確認することに。
これは詐欺メールですね
そんなこんなでパートさんの席にうかがい、メールをメーラーで見せてもらうと、ふむふむ、送信者が大手ネット銀行になっています。
そしてメールの内容を10秒ほどパッと見たはるる。
理由は後述しますが、すぐに詐欺(迷惑)メールだと確信しました。
まったくどこからメールアドレスが悪い人たち(詐欺グループ)に知られてしまったのやら。
詐欺(迷惑)メールの内容は？
肝心なメールの内容ですが、要約するとこんな感じ。
- 当行では、本日8時30分ごろにお客様(あなた)の口座から、ATMで不正にお金が引き出された形跡を検出した。
- 現在あなたの口座がこれ以上不正利用されないように、口座を凍結している。
そのためお客様(あなた)自身も、出金ができないようになっている。 - 早急に以下のリンクから、現在のログインIDとパスワードを入力して管理サイトにログインし、新しいパスワードに変えて欲しい。
この手続きを当行にて確認し次第、お客様(あなた)の口座の凍結を解除、出金ができるようにする。
そしてメール本文には、送信元の銀行のロゴと危機感をあおるような、派手派手な『不正利用を検出したたため、現在お客様の口座を凍結しております。』という文言のバナーも併せて掲載されていました。
どうでしょう？
口座を開設していない銀行からのメールであれば、すぐに詐欺(迷惑)メールと分かります。
ですがもしこのパートさんのように、実際にその銀行の口座を開設していたとしたら…。
ふむふむそうなのか、これは危険だ！
早急に新しいパスワードに変えなければ！
こう思ってリンクをクリックし、手続きをしてしまうのも無理ありません。
それくらい、この文章は巧みだなぁ、と感じます。
幸いなことにこのパートさんは、不審なメールのリンクをすぐにクリックしてはいけないと分かっていた、セキュリティー意識が高い方であったこと。
そして手続きに使用していないメールアドレスに届いたため、不審に思ったことなどから、詐欺メールの手口に引っかからずに済みました。
いや～、良かった良かった。
詐欺メールだと思ったわけ
はるるがパートさんに届いたメールが詐欺だと思ったのには何個か理由があるのですが、一番の理由はパスワードを変えるためのリンクが偽装されていたため。
そのリンクはURLの表記自体がリンクとなっており、こんなイメージだったわけ。
はるるのブログには以下のURLからアクセス可能です！
https://www.haruru29.net/blog/
URL表記のドメイン(上記ではharuru29.netの部分)自体は実在する、ネット銀行のものでした。
ですが、そのリンクにマウスポインターをあてると、見たことがない妙に長いドメイン。
しかもその後ろには意味不明な乱数のような文字列が付与されており、怪しさMAX。
これを見て、ああこれは詐欺メールだなぁ、と確信したわけです。
だってURLのリンク先を偽装するなんて、本物のネット銀行がやるはずないじゃないですか。
怪しすぎです。
メーラーでリンクの偽装を簡単に確認する方法
メーラーでリンクの偽装を確認する方法はとっても簡単。
リンクの上にマウスポインターをあてると、Windows Live Mailなどのメーラーであれば、左下にリンク先のURLが表示されるようになっています。
これが、表記されたURLと違えば、リンクが偽装されている、というわけ。
ちなみに偽装されているURLのリンクの例がこちら。
URLの文字列はこのブログのトップページ(http://www.haruru29.net/blog/)になっています。
ところが、左下のリンク先はなんとGoogleさんの検索ページ(https://www.google.co.jp/)ヘのリンクとなっているのが分かると思います。
こういったリンク(表記されたURLと異なるリンク先の)は怪しいのでクリックしてはいけませんよ、というわけ。
また、表記されているのがURLでなく、文字列であった場合も、本来想定されるドメインと違うドメインの場合は危険なので、クリックは避けましょう。
これはたとえば、楽天からのメールを偽装した、安売りやってまーす！
というメールだった場合に、楽天以外のサイトへのリンクだったら、怪しいよね、こういうことです。
リンクの偽装は簡単です！
このリンクの偽装、簡単にできることじゃないよね？
だから、私にはそんなメールはきっと来ない、なんて思ってはいけません。
リンクの偽装は実はとても簡単。
だから誰でも簡単に詐欺メールを作って送ることができるのです。(だからと言ってやってはいけませんよ。)
そしてその被害にあう可能性も。
ちなみにどれくらい簡単かというと、たとえばWindows Live Mailの場合、以下の手順を使えば、ものの数秒で偽装完了です。
リンクの偽装はこんなに簡単！
まず適当なURLをメーラーのメール作成ウィンドウに貼り付けます。
するとメーラーは勝手にURLをリンクと判断し、クリックするとブラウザーを起動して遷移するように、リンクにしてくれます。
そのリンクの任意の場所で右クリックを行い、コンテキストメニューを表示させます。
そして、『ハイパーリンクの編集』をクリック。
すると、以下のようなハイパーリンクの編集画面が表示されます。
ここで上部の『Webアドレス(W)…』というテキストボックスに記載されたURLが実際のリンク先です。
これを以下のように別のURLに書き換えることで、URLの偽装は完了。
ね！ものの数秒でできたでしょ？
なぜこんな機能があるのかというと、それはもちろん悪い人のためのものではありません。
これは、間違ったリンク先をなおすための機能です。
そしてそれを悪い人が悪用している、だけなんです。
だからこの機能自体はまったく悪くありません。
悪いのはあくまでも、悪いことをする人たちなのです。
詐欺メールのリンクをクリックしてはいけないわけ
これにはさまざまな理由があります。
webサービスのログインIDやパスワードが盗まれてしまう！
たとえば今回のケースでは、詐欺グループの目的はネットバンクのログインIDとパスワード(もしかしたらそれだけなく、 第二、第三のパスワードまでも)を盗み出すこと。
そうして、取得したログインIDやパスワードを使い、詐欺グループはすぐにネット銀行にログイン。
まずはパスワードを変更し、本来のユーザーをログインできないようにブロックした後、不正送金などの手続きをするわけです。(本来のユーザーをログイン出来ないようにするのは、不正を働くための時間を稼ぐためです。)
ログインIDやパスワードを入力しなければOKだよね！いいえ、そんなことはありませんよ！
また、リンク先にアクセスしたものの、不審に思って、ログインIDとパスワードの入力を行わなかった場合には、被害がないのかというと、そうではありません。
そのポイントは、リンク先のURLに付与されていた、意味不明な乱数のような文字列で、GETパラメーターと呼ばれるもの。
これは実は、詐欺メール一通一通で異なる文字列を付与しています。
それにより、リンク先にアクセスした時点で詐欺グループは、ふむふむ、この文字列はxxxx@△△△.comに送っておいた詐欺メールだ！
つまり、xxxx@△△△.comというアドレスは実在する、そして今も現役で使われているってことだよね！
それなら、もっとたくさん迷惑メール送ってやろうーっと！
そのうちどれかにひっかかるでしょ、フフフ…。
となるわけ。
というわけで、詐欺メールと思われるメールに記載されたリンクは、絶対に安易にクリックしてはいけません！
また実は、送信者や送信メールアドレスも偽装可能です。
そのためあなたの知り合いを装って、悪い人たちが詐欺メールを送ってくるかもしれません。
だから、たとえ知り合いからのメールであっても、リンク先をクリックする際はご注意ください。
デジタル署名付きのメールであれば、信頼度がアップ！
メールには、デジタル署名というセキュリティーを向上させる仕組みがあります。
大手の銀行からメールの場合、重要な内容についてはこのデジタル署名が付いていることがほとんどです。
これが付与されている銀行からのメールの場合、信頼度はかなり高いと思って間違いないです。(ただ100％詐欺メールではない、という保証にはなりません。)
デジタル署名については、みずほ銀行さんのサイトに詳しく書いてあったので、以下に引用します。
電子署名を付けることにより、以下のことを確認できるようになり、「フィッシング詐欺」等への対策として有効な手段となります。
- 電子メールの送信者が確かにみずほ銀行であること
- 電子メールの内容が途中で改ざんされていないこと
中略
電子署名とは
電子メールなどのインターネット上の文書について、“なりすまし”や“改ざん”が行われていないことを証明するため、送受信するデータの信頼性と、間違いなく本人から送信されたものであることを保証するしくみです。紙の文書でいう、サインや印鑑に相当します。
(みずほ銀行 – 電子署名付き電子メールより引用)
尚、デジタル署名が不正なものでない場合、Windows Live Mailではこのように表示され、デジタル署名が確認済みであることを示してくれます。
不審なメールのリンクを安易にクリックしちゃダメ！
今回ご紹介した事例のように、詐欺(迷惑)メールの手口はとても巧妙。
セキュリティーに日頃気を使っている方でも、引っかかってしまう可能性もゼロではありません。
心当たりのないメールのリンクをクリックする前に、今一度不審な点はないか、疑ってみることをおすすめします。