インターネットを利用した詐欺

フィッシング詐欺とは、詐欺サイト(以下フィッシングサイト)に誘導して金銭や個人情報を詐取する行為を指します。手口は主に2つです。

1. メールなどでフィッシングサイトのリンクを載せてアクセスさせ、そこで情報入力を促す
2. Web検索結果･Webサイトの広告枠にフィッシングサイトの広告を出稿するなどしてアクセスさせ、そこで情報入力を促す

1は最も多い手口です。メールで「●●銀行です。お客様の銀行口座を凍結しました。凍結解除のためにはログインしてください。」や「●●サービスのアカウント有効期限が迫っています。更新するためにはログインしてください。」と促されます。詐欺と気付けずに、添付されたフィッシングサイトのURLをクリックしてID･パスワードを入力してしまえば、その重要情報はフィッシングサイトを作った詐欺師に渡ってしまいます。詐欺師はその情報を本物のサイトへ入力して不正ログインし、金銭や個人情報を抜き取るわけです。

2は知らないと騙されてしまうので注意です。「検索結果に表示されている広告だから安心だ」「普段からよく見てるサイトにあった広告なので怪しくはないだろう」と思い込んではいけません。その広告はフィッシングサイトである可能性があるのです。本来は広告を厳しく審査をするべきですが、フィッシングサイトが審査を通過してしまう現状があります。そのフィッシングサイトが検索結果の最上部に表示されれば、疑わずにクリックをしてしまうでしょう。そして表示されたWebサイトは本物そっくりの見た目。閲覧者は何も疑わずに重要情報を入力してしまうわけです。普段からよく見ているサイトの広告枠にも、同じようにフィッシングサイトの広告が出稿されている場合があるので注意してください。

どちらの場合も独自ドメインを見ればフィッシングサイトを見抜けます。フィッシング詐欺を防ぐ上で独自ドメインを見る事は最重要です。次項で独自ドメインを解説するので、お見知りおきください。

フィッシング詐欺対策の核心

フィッシング詐欺対策で最重要とも言える独自ドメインを理解しましょう。独自ドメインとは任意の文字列を組み合わせて作る、自分だけのドメインです。世界に1つしかないので、唯一無二の存在である証明になります。当サイトの独自ドメインはdomain-ac.netなので、この独自ドメインのWebページおよびメールは全て当サイトによる物であると証明が出来ます。言い方を変えると、独自ドメインの文字列が1文字でも異なれば別のサイトです。つまり正規サイト判別の確定要素になるのです。そのためフィッシング詐欺対策において最重要と言えます。では、独自ドメインの定義はなんでしょうか。答えはトップレベルドメインから最初の任意の文字列までが独自ドメインです。以下の画像をご覧になって、独自ドメインを理解してください。

正規サイトへアクセスする確実な手段

特定のページをブラウザへ保存しておき、クリック(タップ)するだけでアクセスが出来る仕組みがブックマークです。お気に入り登録とも呼ばれます。フィッシング詐欺を防ぐには正しいURLをブックマークしておき、ブックマークからアクセスするのが最善策です。そうすればフィッシングサイトへアクセスする事がありません。まずはブックマークの基本事項を紹介します。

この時に大切な事は正規サイトのブックマークです。誤ってフィッシングサイトをブックマークしてしまうと被害に遭ってしまいます。必ず正規サイトをブックマークしてください。正規サイトを見つける方法は主に次の通りです。

3は最も一般的な方法です。特にGoogle、Yahoo!、Bingの精度は高いので、サイト名･ブランド名･会社名で検索をすれば高確率で正規サイトが1位に表示されます。1位のサイト(正規サイト)をクリックして、上述した方法でブックマークをすれば、あとは毎回ブックマークからアクセスするだけでフィッシング詐欺対策になります。検索結果の最上部が1位とは限らない点に注意してください。最上部は広告の可能性があり、それが詐欺広告である可能性があります。実際にそのような詐欺の事例も起きているので、Webの事がよく分からない方は自然検索(広告枠ではない検索結果)の1位をクリックしましょう。広告の見分け方は、検索結果のタイトル付近に「広告」「スポンサー」「ad」など広告である旨が書かれているはずです。そこで広告を見分けられます。

4も正規サイトへのアクセス方法として有用です。関連サイトからのリンクで言えば、ユニクロ公式サイトにはGUのリンクがありますし、マルイ公式サイトにはエポスカードのリンクがあります。そのリンクをクリックすれば正規サイトへ辿り着けるので、そこでブックマークが出来ます。実店舗で貰ったチラシなどのQRコードからアクセスする方法もあります。他にも正規サイトへのアクセス方法は様々なので、信頼度が高い方法で確実にブックマークをしましょう。

ただし、メール本文に記載された固有のURLからしかアクセスが出来ない場合があります。例えば、会員登録のためにメールアドレスを登録した場合に、メールアドレスが正しい事を証明するために届くメールです。そのメール本文にはパラメーター(ハテナの記号が付いたURL)を含むURLが載っています。これは識別番号のような物で、クリックする事で正しいメールアドレスの証明が出来る仕組みです。固有の識別番号なのでブックマークからのアクセス、Web検索、関連サイトからのリンクは意味を成しません。記載されたパラメーター付きのURLをクリックするしかありませんが、独自ドメインが正規なら安全なので、クリック前に正規ドメインである事を確かめてください。パソコンのメールならマウスポインターをかざすとURLが出るはずです。なおメール本文の表示上のリンクは偽装が出来るので騙されてはいけません。メール本文に記載の独自ドメインではなく、必ずリンク先の独自ドメインを確かめましょう。独自ドメインの正否を確かめる方法は先述の独自ドメインの項目と以下の解説をご覧ください。

正しいURLのブックマークからアクセスすれば安全だと分かりました。しかし実際は、ブックマークにあるWebサイトのみを見るわけではありません。今後にネットサーフィン中などで気になったサイト･広告をクリックする場合があります。そのクリックしたサイトが既知サイト(既に知っているサイト)である場合の真偽の判別方法を紹介します。既知サイトだから安心だと思っていても、そのサイトは正規サイトを装ったフィッシングサイトかもしれないからです。そのようなフィッシングサイトから被害に遭わないための知識を紹介します。

無印良品を例に

一般認知度が高いサイトとして無印良品を例に挙げます。ネットサーフィン中に無印良品の魅力的な商品を見つけ、そのリンクをクリックしてサイトへ遷移したとしましょう。独自ドメインはmuji.comで、それを知っているならアドレスバーのドメインを見て真偽を確かめられます。ただし「このブランドのドメインの文字列は覚えているし、一致しているから正規サイトだ」と決め付けるのは危険です。文字列を覚えているつもりでも人間の記憶は誤っている事がありますし、正規サイトに似せたドメインに見せるドッペルゲンガードメインに騙される事もあるからです。正規サイトの判別は、先述のようにサイト名(ブランド名)をWeb検索して、広告枠ではない自然検索の1位のサイトをクリックするのが望ましいです。検索エンジンの精度によりますが、固有のブランド名なら自然検索の1位になる傾向があるので、特にGoogle、Yahoo!、Bingでの検索なら正規サイトである確率は高いでしょう。自然検索1位のそのサイトと、最初にクリックした商品ページのドメインが一致していれば、正規サイトである確率が更に高まるというわけです。今回の例で言うなら、どちらのやり方でアクセスしても独自ドメインがmuji.comなら正規サイトである確率が高いと言えます。こうして正規サイトを確かめれば、最初にクリックした商品ページで個人情報の入力が安心して出来るわけです。

独自ドメインが完全一致していれば正規サイトで、1文字でも異なれば偽サイトという見解が基本です。しかし上記画像のように例外もあります。無印良品の海外サイトはこの基本に当てはまらず、偽サイトのドメインに見えますが全て正規サイトです。URLの文字列だけ見るとドッペルゲンガードメインと解釈も出来ますがmuji.comのトップページからリンクされているので正規サイトと言えるわけです。ただ、日本のサイトが海外サイトで別ドメインにする事は一般的ですし、例として分かりにくいかもしれないので日本のサイトの例を挙げます。鉄道会社のJR東日本と、そのJR東日本が運営するえきねっとです。

• JR東日本
  https://www.jreast.co.jp/
• えきねっと(JR東日本のチケット予約サイト)
  https://www.eki-net.com/

ご覧のように全く別のドメインです。例えば「いつか特急列車に乗って旅行をしたいな」と思っていて、ネットサーフィン中にえきねっとのリンクを見つけたのでクリックした場合を考えてみましょう。「JR東日本のドメインはjreast.co.jpと知っているけど、えきねっとはeki-net.comという別ドメインなので偽サイトなんだろうか」と感じたとします。そんな時には「えきねっと」でWeb検索をしてみましょう。自然検索の1位にえきねっとが表示されていて、そのサイトのドメインと、最初にクリックしたサイトのドメインが完全一致していれば正規サイトである事が濃厚と言えます。JR東日本のトップページにはえきねっとのリンクがあり、クリックするとeki-net.comへ遷移するので、この方法でも正規サイトである事が濃厚だと確かめられます。

ちなみに、えきねっとを騙る詐欺メールが全国的に流行した事があり、実際にえきねっと公式サイトに注意喚起のページがあります。メールの差出人に「えきねっと」と正規サイト名が書いてあっても差出人は偽装が出来るので信じてはいけません。先述のブックマークからアクセスでお伝えした通り、メール本文のリンクはクリックせずブックマークからアクセスしましょう。ブックマークをしていない場合はWeb検索で「えきねっと」と検索し、自然検索1位のサイトをクリックします。

また、JR東日本のドメインが正規であるか確かめるにはサードレベルドメインまで見る必要があります。理由は.co.jpのcoは取得者の任意の文字列ではなく、固定の文字列だからです。JPRSというJPドメインの管理会社が「.co.jpは日本で登記をしている会社様だけ取得が出来るドメインとして存在し、その条件を満たしている会社様にだけ取得を認めますよ」と言っているわけです。JR東日本はその.co.jpにjreastという文字列を乗せてjreast.co.jpという独自ドメインを取得しました。つまり最初の任意の文字列であるjreastまで完全一致したjreast.co.jpが正規サイトと言えます。もしjreast.uso.co.jpというサイトがあった場合は、最初の任意の文字列であるサードレベルドメインが異なるので偽サイトです。

正規サイトを知っていれば、上例のように「Web検索で無印良品を調べて自然検索1位のサイトへアクセスしよう」「JR東日本の正規サイトからえきねっとがリンクされているから正規サイトだ」という判断が出来ます。しかし、ネットサーフィン中などにクリックしたサイトが全く知らない初見サイトだったらどうでしょうか。サイト名をWeb検索して自然検索で1位でも、そのサイトを信用して良いか分からない状態です。「有益な情報を得られそうなサイトだから会員登録をしたい」「魅力的な商品だから購入したい」と思っても、信用していいサイトなのか分からなければ個人情報の送信は不安ですよね。そこで本項目では、初見サイトの信用性を確かめる方法をドメインを見るとサイトを精査の2つに分けて紹介します。

ドメインを見る

前項目と同じくドメインを見る事が重要です。ただし視点が異なります。初見サイトは信用性が不明で正規サイトという概念がないため、前項目のように「自然検索1位のサイトと独自ドメインが一致しているから信用が出来る」とは言えません。例えばネットサーフィン中に見つけたインチキドットコムという初見サイトで魅力的な洋服があり、クレジットカードでの購入意思があるとします。フィッシングサイトでないか確かめるため「インチキドットコム」でWeb検索をして自然検索1位で、ネットサーフィン中に見つけたサイトと独自ドメインが一致していたとしても安心してはいけないという事です。なぜなら、その自然検索1位のサイトの信用性が不明だからです。検索エンジンは利用者に有害なサイトを排除するように作られており、その精度は高いですが完全ではありません。被害を防ぐためには自衛が大切です。ではドメインのどこを見れば良いのでしょうか。

5. トップレベルドメインの種類
6. 無意味な文字列になっていないか
7. 正規サイトを装うサブドメイン

5はドメインの最後の部分です。日本では.comや.netや.jpが一般的です。ただし「一般的なドメインなら安全なサイト」とは言えませんし「一般的なドメイン以外なら危険なサイト」というわけでもありません。見慣れないトップレベルドメインのサイトに遭遇したら疑う姿勢を持とうという話です。ネットサーフィン中にクリックしたサイト名がインチキドットコムで、URLがhttps://inchiki-sagi.cn/だった場合を考えてみましょう。この.cnは中国のドメインです。日本向けのサイトで日本語で運営されているのに、見慣れない.cnの時点で疑う姿勢が大切です。また、Digital Arts(デジタルアーツ)が発表した2022年上半期フィッシングサイトドメインによると、最もフィッシングサイトに使われたトップレベルドメインが.cnでした。ただし中国の健全サイトの日本版がhttps://japan.kenzen.cn/のようになっている可能性はあるので「.cnだからフィッシングサイト濃厚」とはなりません。複合的な判断が大切です。

6はドメインの最初の任意の文字列を見ます。つまり独自ドメインを見るという事です。迷惑メールで誘導するフィッシングサイトや、ネットサーフィン中に遭遇するフィッシングサイトには、独自ドメインが無意味な文字列である1つの傾向があります。https://a1s3d5f7.com/という感じです。ドメインが無意味な文字列なのにサイトは健全というパターンは、ほとんどの方は見た事が無いのではないでしょうか。ドメインはサイトの印象に影響するので、健全なサイトは無意味な文字列にしないのが基本です。無意味な文字列にしている時点でフィッシングサイトを疑いましょう。

7は知らないと騙されてしまうので気を付けてください。ドメインにはサブドメインという仕組みがあります。サブドメインとは、最初の任意の文字列より下位(左側)にあるレベルのドメインで、サブドメインの文字列は自由に決められます。実在する有名サイトだと誤解させる手口に注意しましょう。例えば、先述の無意味な文字列のドメインにサブドメインを割り当てるとhttps://amazon.co.jp.a1s3d5f7.com/という正規サイトを装ったURLが作れます。サブドメインを使ってAmazonの正規サイトであるように見せているわけですね。サブドメインの仕組みを知らないと「amazon.co.jpだからアマゾンの正規サイトだ」と思い込んで、ログイン情報やクレジットカードを入力すれば詐取されてしまいます。見るポイントは最初の任意の文字列(独自ドメイン)なので、サブドメインに騙されないように気を付けてください。

以上を踏まえて、ドメインの信用性を確かめる事が大切です。補足情報としてJPドメインの信用性に言及しておきます。JPドメインは過去に、世界で最も安全な国別ドメインと評価された実績があります。その理由はJPRSの危機管理能力や、安全性への意識の高さが大きいでしょう。全てのJPドメインは、日本に住所がある者のみ取得権利があります。またWHOIS情報(ドメインの所有者情報)を公開する義務があるので、匿名取得が出来ない点も安全性に貢献しています。さらにJPドメインの種類によっては追加の条件があり、このような様々な制限がJPドメインの安全性につながっています。

サイトを精査

ドメインを見るだけではフィッシングサイトと断定が出来ない場合があります。その場合はサイトを精査して見破りの精度を上げましょう。具体的には次の3点です。

8. 日本語レベル
9. 不安を煽る記事
10. Web検索

8はフィッシングサイトを見抜く上で最も分かりやすい要素です。拙い言葉遣い、意味不明な言い回し、誤字･脱字などの有無を確かめましょう。下記画像のような日本語レベルのサイトに遭遇したらフィッシングサイトを疑ってください。分かりやすいように低レベルな日本語を詰め込みましたが、このような日本語レベルが1箇所でもあれば疑う姿勢を持ちましょう。

ただし、今後はAIの発達によって自然な日本語の生成が容易に出来る時代が来るでしょう。そのようなAIを悪用されれば、日本語レベルが低いフィッシングサイトは少なくなります。日本語レベルを見ての見破りは徐々に出来なくなると予想されるので「自然な日本語のサイトだから安全だ」と過信をしないようにしてください。

9は不安を煽って金銭を騙し取るサイトについてです。「このまま苦しい生活を続けますか？弊社があなたの資産を増やします」「その病気、治らないと思っていませんか？この薬で治ります」という論調のサイトです。「お金が欲しい」「病気を治したい」という心理に付け込むわけですね。そもそもファンド関連ビジネスは金融庁への登録が必要なので、未登録業者ならそのような業務は行えません。「病気が治る」という表現は薬機法に抵触する可能性があります。法的に成立しているサイトなら問題は無いのですが、不安を過度に煽っている時点で、法的に成立しているサイトである確率は低いのでフィッシングサイトを疑うべきです。健全なサイトは不安を過度に煽るような事はしません。健全サイトを装ったフィッシングサイトにも注意してください。「金融庁に登録済です」「効果があると実験で証明されました」と画像付きで公開されているとしても、それが嘘･捏造である事も想定しましょう。フィッシングサイトの判断基準の1つである「不安の過度な煽りの有無」を確かめてください。その具体例として、実際にあったフィッシングサイトを紹介します。日本銀行が生放送での発言で柳井 正さんを提訴というタイトルのフェイクニュースです。

ユニクロの社長の柳井正さんの画像を使って、柳井さんの発言であるように見せているわけです。要約すると、簡単に大金が手に入る情報を柳井さんが生放送でうっかりバラしてしまい、日本銀行に提訴されたという嘘の内容です。信じてしまった人はフィッシングサイトへ誘導され、金銭を騙し取られる流れです。騙されてしまう人はこんな記事内容を信じてしまうのでしょう。騙されてしまう人の心理は「簡単に大金が手に入るなんてスゴい。しかもユニクロの柳井さんが言ってるんだから本当なんだ。簡単に大金が手に入るから本来はバラしてはいけない情報なのに、生放送でうっかりバラしてしまい、それが理由で日本銀行という巨大組織が動いたんだ。それくらい簡単に大金が手に入るヤバい情報なんだ。この情報を知れば今の苦しい経済状況から抜け出せる。その情報、早く知りたい！」という感じでしょう。騙す側は「これほど簡単に大金が手に入るのにやらなくていいの？」と不安を煽っているわけです。そのような嘘を見抜く力(洞察力)を身に付ける事はインターネットを使う上で重要です。この件で言うなら「大企業の社長が特定のツールを紹介して『39,750円を投資すれば、4週間後には60万円、いや70万円ほどになります』などと言うわけがない」と気付かなければいけません。ちなみにgooニュースを装っていますが本来のドメインであるnews.goo.ne.jpと異なるので、ドメインだけ見ても嘘が濃厚であると見抜けます。柳井さんの画像は本物ですが、このフェイクニュースと無関係のテレビ番組のスクリーンショットです。なお、同じような構成で日本銀行が生放送での発言で北野 武さんを提訴というフェイクニュースもあります。どちらもページ全体のスクリーンショットを載せておくので、ご興味があればご覧ください。
日本銀行が生放送での発言で柳井 正さんを提訴(フィッシングサイト)
日本銀行が生放送での発言で北野 武さんを提訴(フィッシングサイト)

10はWeb検索の精度･信用性に頼って嘘を見抜く方法です。前項目に続いて柳井さんのフェイクニュースを例にします。まずはサイトの信用度を測る重要な指標であるドメインをWeb検索します。先程のフェイクニュースはgardenvege.comというドメインなので、このドメインをWeb検索すると検索結果は下記の通りです。

「もしかして」という注意書きと共に別ドメインが提示されています。これは「あなたが入力したキーワードは間違いで、調べたいのはこちらのキーワードではないですか？」という親切設計によって出てくる機能です。つまり検索エンジンからすると「あなたが入力したキーワードは信用度が低く、似たキーワードなら信用度が高いので、それを提示します」と言っています。信用があるドメインなら「もしかして」とはなりません。この時点で疑いを持つべきです。検索結果1位に表示されているのは、検索したドメインのトップページです。アクセスすると、こんなトップページが表示されます。

アクセスすると3本線が動いているだけで何も情報がありません。「3本線が動いているのは何らかの情報を読込中だ」と思わせたいのでしょう。騙す側としては、フィッシングサイトなのでトップページを良質なページにする必要がありません。その時間と労力を省きたいわけです。低質なトップページだと疑われるので読込中を装っていると推測が出来ます。別の切り口からも見てみましょう。Web検索で世間の評判を確かめる方法です。「柳井 日銀」で調べると、こんな検索結果になりました。

検索結果1位のサイトの説明文で「偽造された広告」と書かれています。2位のサイトは詐欺防止をテーマにしたサイトで、そのサイトが「フェイクニュース」と言っています。世の中には自分で詐欺の判断が出来ない人もいらっしゃいます。しかし、この検索結果を見ればさすがに詐欺と気付けるのではないでしょうか。自分では詐欺に気付けなくても、人から言われて気付く方もいらっしゃるでしょう。そのような方はWeb検索で世間の評判を確かめる対策がオススメです。

Amazonのフィッシング詐欺メール

本項目ではフィッシング詐欺の実例を紹介し、詐欺の見抜き方を学びます。まずは、こちらのメールからです。Amazonを装ったメールです。

JAネットバンクのフィッシング詐欺メール

ETCマイレージサービスのフィッシング詐欺メール

続いてETCマイレージサービスを装ったフィッシング詐欺メールです。判断基準は前項目と大きく変わりません。

くらしTEPCO webのフィッシング詐欺メール

本文にテキストのURLが記載されておらず、画像リンクになっている場合があります。本文に「電気料金の確認はコチラ」と書いてある画像です。

この場合は、まずクリックする前にURLを確かめましょう。本文の「電気料金の確認はコチラ>」という画像リンクにマウスをかざすとURLが出てきます。スマートフォンなら長押しで見られる機種が多いはずです。

正規サイトの独自ドメインはtepco.co.jpで、このフィッシングサイトはURLがkurashi3tepcocojp.kjqafet.cnです。tepcoとcoとjpの文字列はありますが、自由に文字列を決められるサブドメインを使って正規サイトに見せているので騙されてはいけません。そもそも最初の任意の文字列が無意味な文字列ですし、トップレベルドメインが.cnなのでフィッシングサイト濃厚です。アクセスすると、このようにサイトデザインやロゴをそのまま模倣しているので本物に見えますが偽物です。ドメインを見ればフィッシングサイトが一目瞭然なので、情報入力は一切せずに閉じましょう。