その通知やサイト、本当に公式？　専門家に聞く、「フィッシング詐欺」の手口と対策

はい。犯罪者側は、かなり高度に組織化されています。一般的な企業が行うPDCAのように、何かを実施し、その結果を見て改善するというサイクルを、残念ながら彼らのほうがうまく回しているんですよね。目的はとてもシンプルで、「とにかく金を取る」こと。

また、以前はどんなに大きくても数十人規模のグループだろう、という感覚でした。
でも最近は、100人を超える「会社」レベルの組織になっていると思います。

これを見てすぐに、「怪しい」と言える人は、ほとんどいないと思います。文章も自然ですし、デザインも見慣れているものにかなり近いですね。

被害に遭った方からも、「その企業のロゴがあったから安心した」「普段使っているサービスと同じデザインだった」という声が多いですね。ロゴやデザインに、無意識に安心感を持ってしまう人は多いです。

そうですね。その典型が、募金サイトだと思います。
平成30年に大阪を中心に豪雨災害があったとき、Yahoo!ネット募金が募金サイトを立ち上げました。すると本物そっくりの偽募金サイトが作られて、クレジットカード情報を盗むケースが出てきたんです。やっていること自体は、本物のサイトをそのままコピーしただけ。

見た目だけでは、本当に区別がつきません。このサイトはメールやSNSを通じて拡散され、「すぐに募金しなくては」という気持ちで画面を見た多くの人が、そのまま引っかかってしまったのだと思います。これはまさに善意につけ込む手口でした。

あります。実は僕自身も、ESTA（※）のビザ申請で引っかかってしまいました...。

出発までの期間が短くて焦っていたのと、ESTAの申請自体が初めてだったんです。
「ESTAが必要」という知識はあったので、インターネットで最初に目についたサイトに、そのままアクセスしてしまいました。落ち着いて見れば違いはあったのかもしれませんが、正直、その状況で「見抜け」と言われても、難しかったと思います。

そうですね。「検索結果に出てきたから安心」という判断は危険だと思います。

殺人や強盗などは、被害者がどれだけ気を付けていても被害にあってしまうことがありますよね。
でも、「詐欺」という犯罪は、被害者側が能動的に何かをしなければ、基本的に成立しない犯罪です。これは、かなり大きな違いだと思っています。
また、被害者側がやるべき行動自体は、実は変わっていません。今も昔も「詐欺に遭わない行動を取る」それだけです。

僕が、フィッシング対策として家族や身近な人に伝えていることは、すごくシンプルです。

向こうから来たものからは、操作しない。

メールでも、SMSでも、電話でも、向こうから来た情報は、いったん全部「参考情報」。
そこから、リンクを押したり、その場でログインしたり、個人情報を入力したりは絶対にしないでください。

はい。以前、カードの不正利用について電話を受けたことがあります。99％「これは本物だろう」と思っていました。
それでも、「あなたが本当にカード会社の人かどうか確認できないので、一度切りますね」と伝えて、こちらから公式の窓口にかけ直しました。

メールやSMSの場合も、そこに書かれているURLからはアクセスしない。
アプリがある会社なら、公式アプリから。アプリがない場合は公式サイトをブックマークして、そこからアクセスする。
「この入口だけを使う」というルールを決めておくことで、被害を減らすことにつながります。

そうですね。たとえば出勤前に、「会社に着く前にちょっとだけ確認しよう」「時間がないから、今やってしまおう」と、電車の中で操作してしまう。そういう状況を狙っているのか、朝一番に届くフィッシングメールやSMSは実際多いです。

被害に遭った方の話を聞いていると、「誰にも相談しなかった」「自分だけで判断してしまった」というケースがかなり多いです。

たとえば、Yahoo!知恵袋のような場所に「これは詐欺ですか？」と投稿している人は、実は結構います。
実際、そこで相談されている事例の多くは詐欺ということがほとんどです。第三者の目で「それはおかしいですよ」と言ってもらえるだけで、冷静になれることも多いんですよね。