流れ7の3語目 / 10

フィッシング

セキュリティ

朝、「パスワードの有効期限が切れます。今すぐこちらから更新してください」というメールが届きました。リンク先は https:// で始まっています

「怪しいメールのリンク、踏まないでね。踏んじゃったらすぐ言って」

「フィッシング」って、何のことだろう…?

フィッシングは、本物そっくりのメールや偽のWebサイトで、パスワードなどを自分から入力させてだまし取る手口です。

「リンクを踏む」は、メールの中のリンクを押して開くことです。

このページで分かること読む約3分・問題 3問

フィッシングは、本物そっくりのメールやSMS、偽のWebサイトで、IDやパスワード、カード番号などを入力させてだまし取ること
「今すぐ」「アカウントが止まります」のように、急がせたり不安にさせたりする文面が多い
守り方は、メールやSMSのリンクから開かず、ブックマークや公式アプリから開くこと
もし入力してしまっても、隠さずまず報告する

身近な例えで理解する

えさをつけた針を水にたらし、魚が食いつくのを待ちます。フィッシング(phishing)という名前も、「つり(fishing)」から来ています。

えさ「アカウントが止まります」「当選しました」などの文面
針偽のログイン画面
魚が食いつくリンクを開いて、パスワードを入力してしまう
えさに近づかない魚は釣られないメールのリンクから開かない人はだまされにくい

ちょっと確認

Q1先輩のひとこと

先輩「いつも使ってるサービスから『ログインして確認してください』ってメールが来たら、どうする?」

どうすればいいでしょう?

例えを外して、実際のしくみ

ここからは実際のしくみ

ねらわれるもの

ID・パスワード、カード番号、多要素認証のコードなどです。手に入れたパスワードで、本人になりすましてログインします

見た目では見分けにくい

送り主の名前や画面のデザインは、いくらでも本物に似せられます。HTTPSの鍵マークが保証するのは、「アドレス欄に出ているドメイン名のサイトと、暗号化してつながっている」ことまでです。偽サイトも、本物に似せた別のドメイン名で証明書を取れるので、鍵マークが出ていても「正しい会社のサイト」の保証にはなりません。本物かどうかは、ドメイン名を自分で確かめます(→59 SSL/TLS証明書)。また、ブラウザによっては鍵マークを出さず、暗号化されていないときだけ「保護されていない通信」と表示するものもあります。見るべきなのは、鍵の有無よりアドレス欄のドメイン名です

いちばん効く習慣

メールやSMSのリンクからは開きません。いつものブックマークや公式アプリからログインして、本当にお知らせがあるかを確かめます

入れてしまったら

恥ずかしがらずに、まずすぐ先輩や決められた窓口に報告します。そのうえで、指示に従ってパスワードを変え、同じパスワードを使っているほかのサービスも変えます。多要素認証(→24)を使っていれば、パスワードだけでは入られにくくなります。ただし、偽サイトに認証アプリの数字まで入れてしまうと、それも使われてしまいます。数字を入れた場合も、そのことを報告で伝えます

このページのまとめ

フィッシング: 本物そっくりのメールや偽サイトで、パスワードなどを入力させてだまし取る手口
偽サイト: 本物の見た目をまねたWebサイト
リンクを踏む: メールなどの中のリンクを押して開くこと
ブックマークから開く: 自分で登録した本物のURLから開く、いちばん確実な守り方

先輩のひとことの意味

先輩「怪しいメールのリンク、踏まないでね。踏んじゃったらすぐ言って」

「メールのリンクから開かず、いつものブックマークや公式アプリで確かめて。もし開いたり入力したりしてしまったら、隠さずにまずすぐ教えて。早く分かれば、パスワードを変えるなど、被害を止める手を打てるから」という意味です。

練習問題で確かめる

Q24択

「リンク先はHTTPSで鍵マークも出ているから、本物のサイトだ」この考えについて正しいものは?

Q34択

偽サイトにパスワードを入力してしまったと気づいた。まずすることは?

参考資料

ご意見・「これで例えて!」を募集しています

ご意見・ご感想・質問・間違いのご指摘など、何でもお気軽にお寄せください。「この言葉も例えで説明してほしい」「こんな例えなら分かりやすい」という声をもとに、新しいページや例えを作ります。

説明してほしいITの言葉
例えてほしい場面(部活・アルバイト・家事など)
分かりにくかったところ・間違いのご指摘

意見箱は準備中です。