迷惑メール･なりすまし詐欺の見分け方！アドレス偽装の確認方法
迷惑メールやなりすましメールによる詐欺被害が後を絶たないのは、迷惑メールの見分け方を理解している人が少ないからであると言えます。
実際のところ、最近の迷惑メールの手口は実に巧妙なものになっており、一見しただけでは本物と見分けがつかないほどに作り込まれたなりすましメールも存在するのです。
当ページでは、迷惑メールやなりすましメールの見分け方をご紹介するとともに、メールを用いた詐欺の目的や手法まで詳しく解説していきます。
巧妙化する迷惑メール
一昔前は、迷惑メール･なりすましメールの見分け方はとても簡単なものでした。
カタコトな日本語や、明らかに本家の企業･銀行とは異なる送信元のメールアドレス等、素人が見ても分かるような明確な違いがあったものです。
しかし、インターネットが普及して人々のメディアリテラシー（判断力）が高まった今も尚、なりすましメールによる詐欺被害が途絶えないのは、迷惑メールの送信者側も見破られないための工夫を重ねているからです。
インターネットやEメールの仕様･機能について正しい知識を持っていなければ、日に日にクオリティが高まっている現代の迷惑メール･なりすましメールに騙されてしまう危険性があります。
正しい日本語の構文
迷惑メール･なりすましメールの見分け方として最も簡単なのは、「日本語の文面がカタコトではないか」を確認することです。
なりすましメールの多くは、世界的に見ても裕福な国である日本をターゲットとした海外の詐欺グループが送信しているため、助詞や接続詞の使い方に違和感がある等、カタコトな日本語で書かれているものもあります。
しかし、中には完璧な構文の日本語で書かれたなりすましメールもあるため、注意が必要です。
詐欺グループの中に日本人がいるのか、本家の文面を入手してコピー&ペーストで引用しているのかは不明ですが、日本語の文面がしっかりとしているからといって安易に信用してはなりません。
メールアドレスの偽装
最近の迷惑メール･なりすましメールは、差出人の名前だけでなくfrom欄に表示されるメールアドレスまで本物の企業･銀行を装った詐欺手法が登場しています。
実社会において郵便物が配送される場合を想定すると、分かりやすいかもしれません。
郵便物が配送される際も、重要になるのは「宛先」であり、宛先さえ正しく書かれていれば「差出人」の名義がデタラメでも届いてしまうものです。
Eメールでも、これと同じように差出人の名義･メールアドレスを詐称することができるため、手の込んだ迷惑メール･なりすましメールは、有名企業や大手銀行のアドレスを騙って送信されているのです。
そのため、近年ではメールアドレスのみで迷惑メールか否かを判断することは難しくなってしまいました。
メール本文内リンクの偽装
ほとんどの迷惑メールやなりすましメールには、Webサイトへのリンクが貼られているものです。
本家の企業･銀行そっくりのWebサイトを用意してリンクを貼り、ログインIDやパスワードを入力させることで、アカウントを乗っ取ったりクレジットカード情報を盗んだりすることを目的としています。
Eメールの差出人情報とは異なり、通常はWebサイトのアドレスを偽ることはできませんが、リンクの文字列を偽ることはできてしまうことに注意が必要です。
見分け方は後述しますが、メールの本文上では正しいアドレスに見えても、本家Webサイトへのリンクのように見せかけた「なりすましリンク」の可能性があります。
なりすましメールの見分け方
迷惑メール･なりすましメールの見分け方は、大きく分けて３つの確認方法があります。
- 基本的なアドレス･本文確認
- 送信ドメイン認証を確認
- 本文内のリンク先アドレスを確認
基本的なアドレス･本文確認
迷惑メールの中でも、あまり手の込んでいない「なりすましメール」であれば、初歩的なアドレスの確認と本文の確認で見分けることが可能です。
その上で、差出人の名前が “amazon.co.jp" や “rakuten.co.jp" となっていても、from欄のメールアドレスに本家とは異なるアドレスが記載されている場合は偽物であると見分けることができます。
たとえば、大手ショッピングサイトのAmazon（アマゾンジャパン）の場合、正しいメールアドレスは下記の２パターンです。
- ○○@amazon.co.jp
- ○○@□□.amazon.co.jp
正しいメールアドレスの場合は、＠以降の文字列の「最後」が “amazon.co.jp" になっています。
一方で、なりすましメールのメールアドレスは下記のようなパターンがあります。
- amazon@××.com
- △△@amazon.××.com
- 全く関連性のないアドレス
①は、@（アットマーク）前の文字列が “amazon" や “amazon.co.jp" であるものの、@の後ろが全く別のドメインになっているパターンです。
②は、 “.com" に限らず “.net" や “.jp" 等の他ドメインでも同じく言えることですが、.comや.netの直前が関連のない文字列であるパターン。
Amazonの場合は、@以降の「一番後ろ」に “amazon.co.jp" と書かれていなければ、なりすましと判断できます。
たとえ＠以降が下記のようなアドレスであっても、メールアドレスの「最後」が “amazon.co.jp" 以外であれば偽物であるため、騙されぬよう注意しましょう。
- amazon-co-jp.××.com
- amazon_co_jp.××.net
- amazon.co.jp.××.com（最後が正しいアドレスでなければ偽物）
その他サービスでも同じく、本家のサイトアドレスを確認して照らし合わせることが重要です。
また、本文がカタコトな日本語でないかを確認することも、第一段階の見分け方としては有効でしょう。
ただし、これらの基本的な確認だけでは偽称されたメールアドレスやリンクを見分けることはできないため、あくまで初歩的な確認方法であり、なりすましメール対策としては不十分であることを忘れてはなりません。
送信ドメイン認証を確認
迷惑メール･なりすましメールを見分ける方法として、「送信ドメイン認証」があります。
送信ドメイン認証は、送信者がメールアドレスを詐称しているかどうかを判断する方法ですが、ご利用のメールサービスやアプリケーションによって確認方法が異なります。
尚、送信ドメイン認証も完璧ではないため、他の見分け方との併用をおすすめします。
Gmailの送信ドメイン認証方法
Gmailにおける送信ドメイン認証の確認方法は実に簡単で、とても分かりやすいです。
iPhone/iPad版のGmailアプリでは認証確認を行えず、PCとAndroidからのみ認証確認を行うことができます。
メールの本文を表示した状態で「To：自分」の右側にある▼マークをクリックし、送信元･署名元が正しく表示されていれば認証されたメールアドレスです。
Yahooメールの送信ドメイン認証方法
Yahooメールの送信ドメイン認証は、PC/Androidはもちろんのこと、iPhone/iPadでも確認可能です。
PC版の場合は、Fromの他に「発信元」が正しく表示されていれば認証済みと判断できます。
iOS版「Y!メール」アプリの場合は、メール本文を表示すると「このメールの認証情報」という青文字をクリックし、"PASS"と表示されていれば認証成功、"FAIL"と表示されていれば認証失敗です。
ただし、“PASS"と表示されていても本家とは異なるメールアドレスが表示されている場合は、なりすましメールですので注意しましょう。
特に、下記のような紛らわしい表記違いに注意しましょう。
- amazonとanazon
- rakutenとrakutan
- appleとapp1e
Outlookの送信ドメイン認証方法
利用者が多いMicrosoft OfficeのOutlookでは、送信ドメイン認証が行われている送信元のみ「署名マーク」が表示されます。
上記画像の右上にあるバッジのような「署名マーク」をクリックすると、デジタル署名の詳細が表示されます。
「署名者」の欄に記載されているメールアドレスが、信頼できる送信元であるかを確認しましょう。
メール本文のリンク先を確認
迷惑メール･なりすましメールの見分け方で、最も確実かつ簡単な方法が「本文に貼られているリンク先のドメインを確認すること」です。
多くの迷惑メール･なりすましメールには、本家のWebサイトに似せた偽サイトへのリンクが貼られています。
メールアドレスとは異なり、Webサイトのドメインは詐称することができないため、リンク先のドメイン名を確認することで「なりすましメール」を見分けることが可能です。
しかし、下線に青文字のリンク文字列を確認しただけでは「なりすまし」かどうかを見分けることができないため、注意が必要になります。
メールの形式には通常の「テキスト形式」とWebサイト同様の装飾ができる「HTML形式」があり、HTML形式のメールではリンク文字列は自由に変更できるのです。
たとえば、Webサイトでは「詳しくはこちら」「公式ホームページを見る」等の文字列をリンクにすることができます。
これらの文字列には当然アルファベットも指定可能で、実際には全く異なるアドレスへのリンクであるにも関わらず “https://www.amazon.co.jp/" と表記することができてしまうのです。
実際のリンク先のアドレスは、PCにてマウスカーソルをリンクの上に乗せることで確認できます。
偽サイトのページを表示しただけで被害を被ることはほとんどありませんが、リンクを開かずにアドレスを確認した方がより安全であることから、上記の方法でPCにてリンク先を確認することをおすすめします。
キャリアメール等のスマホ専用メールアドレスに迷惑メール･なりすましメールらしきものが届いた場合でも、Gmail等のPCから閲覧できるメールアドレスに転送することで確認可能です。
迷惑メールの対処法
迷惑メール･なりすましメールが届いた際の正しい対処法に関して、知識を身につけておきましょう。
メールを開いただけでウイルス感染する？
最近は様々なセキュリティ対策が講じられており、迷惑メールを開いただけでウイルスに感染する危険性は限りなく低くなっていますが、開封しただけで感染してしまう可能性があることも事実です。
ただし、最新バージョンのOS･メールソフトを常にアップデートした状態で使用し、PCやAndroidの場合はセキュリティソフトを導入していれば、メールを開いただけでウイルスに感染してしまう心配はほとんどありません。
また、iPhoneやiPadに搭載されているiOSに関しては、ウイルスが作動するようなプログラム環境ではないため、他のOSに比べて安全性が高いとされています。
万一、OSやメールソフトの脆弱性をくぐり抜けた悪質なプログラムが出回った際も、基本的にはすぐに脆弱性を克服したアップデート･プログラムが配布されるため、常にOS･ソフトウェアとも最新版を使用するよう心がけましょう。
また、開いただけで悪質なプログラムが動作するのはHTML形式のメールのみであるため、メールソフトの設定にてHTMLのスクリプト（自動プログラム）が自動実行されないよう設定する等の対策を講じることができます。
迷惑メールの添付ファイルは開かない
迷惑メールやなりすましメールの疑いがある場合には、添付ファイルを展開してはいけません。
添付ファイルを実行してしまうと、端末内のデータが勝手に削除されてしまったり流出してしまう危険性があります。
万一、ファイルを実行してしまった場合には、速やかにセキュリティソフトのスキャン機能等を使用し、端末に異常がないか確認しましょう。
個人情報を入力しない
最近の迷惑メールやなりすましメールのほとんどは、下記のような有名企業や大手銀行を名乗ってクレジットカード情報をはじめとする個人情報を盗むことが目的です。
- Amazon
- 楽天（myinfo）
- 三井住友銀行（SMBC）
- 三菱UFJ銀行
- JCBカード（MyJCB）
- Visaカード
- Mastercard
- りそなカード
- エムアイカード（三越伊勢丹）
- ヨドバシ･ドット･コム
- 佐川急便
上記のようなオンラインサービスを提供する大企業を装い、本物そっくりの偽サイトにログインIDやパスワードを入力するよう求めてきます。
偽サイトにログインIDとパスワードを入力してしまうと、ログイン情報を盗まれてしまい、アカウント乗っ取りの他、クレジットカードの不正利用やその他個人情報が漏洩する恐れがあります。
個人情報を入力してしまったら
万一、迷惑メールやなりすましメールを見分けることができず、偽サイトにログイン情報を入力してしまった場合は、速やかにアカウントのパスワードを変更しましょう。
新たなパスワードに変更してしまえば、変更前のパスワードしか知らない詐欺犯はあなたのIDでログインすることができなくなります。
また、類似サービスのIDやパスワードに同じ文字列を使用している場合には、念のためすべてのパスワードを変更するとより安全です。
偽のセキュリティ警告は無視
迷惑メールの中には、「デバイスがウイルスに感染しています」等の警告文とともにセキュリティソフトのインストールを促すものもありますが、絶対にそれらのアプリケーションをインストールしてはいけません。
リンク先のページを表示すると「戻るボタンが押せない」等の不審な挙動で不安になるかもしれませんが、ほぼ確実にウイルスによるものではありません。
高額な費用を請求されたり、セキュリティソフトをインストールするよう促されても、ブラウザを閉じて終了してしまいましょう。
また、このような事態に遭遇した際に落ち着いて対処するためにも、あらかじめ信頼できるセキュリティソフトウェアをインストールしておくことをおすすめします。
冷静に迷惑メールを見分ける
迷惑メールやなりすましメールの見分け方は徐々に難しくなっていますが、確実に本家のメールとは異なる部分が存在します。
正しい「見分け方」の知識を持っていれば、迷惑メール･なりすましメールによる詐欺被害は未然に防ぐことができます。
また、端末のOSやソフトウェアは常に最新の状態にアップデートし、日頃からセキュリティ対策を意識していれば、決して怖がる必要はありません。
怪しいと感じるメールが届いた際には、リンクをクリックする前に上記の手順で送信元ドメインの確認を行ったり、インターネットで類似の事例が報告されていないかを検索したりと、冷静かつ慎重に対処しましょう。