金融機関を装ったメールを送り付け、リンク先の偽サイトで個人情報を入力させる手口

１．ウェブサイトのアドレス

その情報がおかれたコンピュータや組織を表す「ドメイン」と、ドメイン内のどこに情報があるかを表す部分とに分かれます。イメージとしてはドメインは「コンピュータ名」、後の方は「フォルダ」でしょうか。

例えば「pckatada.com」なら「com」が地域や組織分類、「pckatada」は組織名です。詐欺で使われる偽サイトでは、正しいドメイン名を、長いドメイン名の前方や外に置いて、正しいものと錯覚させるようにしています。

ドメイン名を正しく見分けるには、よく使うウェブサイトのアドレスを覚えるか、ページを開く前に会社名などをウェブ検索して、正しいアドレスかどうか確認しなければなりません。

注意しなければいけないのは電子メール

実際に開くページのものとは異なるアドレスを文面に表示させることができるからです。

これらを確認するには、クリックできる文字にマウスポインタを合わせると、本当のアドレスが表示されます。タッチ画面では、指で長押しすることでメニューがでてきて表示されます。アドレスが不明な場合は「アグス」などウェブサイトをチェックしてくれるサービスもあります。

スマホにアプリを追加する際に、よく情報を見ることも重要です。インストールする前に、正しい開発元か、公開してからある程度日数が経っているか（不正アプリは数日で消されることが多い）、ダウンロード数などを確認します。

「Google Play」や「AppStore」などの専用アプリ以外からのインストールは注意します。求める許可の種類が多かったり、アプリの機能と無関係な許可を求めるものは要注意です。

２．「ウィニー」というファイル交換ソフト

「ウィニー」というファイル交換ソフトで大被害がでたことがありました。このソフトは、他人のパソコンの中にある音楽や動画のデータをネット上で集められるものです。

そのうち個人情報も集められることに気づいた犯人は5000件も集め、そのうち使用できる500人分の氏名・メルアド・郵便番号・住所・ID・パスワードなどを整理保管していたというから驚きです。パスワードをわざわざパソコンに保存していた人もいるというし、ネットサービスのアクセスに、共通の ID とパスワードを保存していたといいます。

これではネットショッピングに高額品を注文し受け取ることが可能になります。「私は買っていませ～ん！」といっても通らない。ネットバンキングで銀行口座にも侵入されてしまいます。複数のネットサービスに共通のパスワードを使うのは考えものです。

４．アクションセンター

タスク バーで 「アクション センター」  アイコンを探します。以前のアクションセンターもここにありますが、「セキュリティとメンテナンス」 という名前に変更されています。

ここで引き続き、セキュリティ設定を変更することができます。タスクバーの検索ボックスに「セキュリティとメンテナンス」と入力し、メニューから 「セキュリティとメンテナンス」を選びます。コントロールパネル→システムとセキュリティ→セキュリティとメンテナンスでも同じです。

OS とソフトのバージョンアップ

これは最優先のセキュリティ対策です。常に最新のバージョンアップを心がけます。Windows 10であれば「Windowsの設定」→「更新とセキュリティ」→「更新プログラムの設定」をクリックし、「自動アップデート」をしておきます。

２．メールが届いたら、みなさんはまずどこをみますか？

実はそれらの「内容」は簡単に偽装できます。メールに表示されたリンク先の URL が本物でもクリックすると偽サイトに飛ぶようにすることができるのです。アドレスバーの下に URL がもう一つ表示されているばあいがあるのです。

金融機関を装ったメールを送り付け、リンク先の偽サイトで個人情報を入力させることができてしまいます。銀行口座関連の個人情報が知られると、ATM やネットバンキングを通じてお金を盗まれる事態になります。

１．誘導手段の大半は電子メール

「サービスが変わったので、確認のため下記をクリックして情報を入力してください」と書かれたメールには注意が必要です。偽ページからウィルスに感染することもあるのでクリックは危険です。

ドメイン名は「https://pckatada.jp/home/」のように、「.」ドットで区切られ、調べる場合は後ろから見ます。欧米では住所を「建物名・番地・市町村・都道府県・国」という風に表記しますが、ドメインも後ろにあるほど「大きな団体」を示します。

一番右側が「com」や「gov」などの3文字以上なら、会社、政府機関などの「分類」の意味です。その左の「.」のさらに左側にある名が公式に登録された組織の名前（社名やブランド名）です。

一番右側が2文字の場合は、「jp」なら日本、「hk」なら香港などと国や地域を示します。その左に「co.jp」や「com.hk」と組織の分類が続くものと、登録した組織の「公式登録名」が続くものとがあります。

2文字+2文字と続いたら、2番目は組織の「分類」が多いです。そしきの「公式登録名」pckatada はその左にあります。この公式登録名と「国・組織分類」から、正規のアドレスかどうか判別できます。

例えば、「www.pckatada.jp.exanple.co.jp」や「exanple.co.jp/www.pckatada.jp」は「pckatada.jp」に見せかけていますが、正体は「exanpe.co.jp」です。「.」や「/」は登録の必要がないものだからです。

「www」はサブドメインで利用者が自由に設定できます。公式登録も不要なのです。

２．間違えやすい、ミスタイプしやすいドメインを使う手口

vv」を2つ並べて「ｗ」と誤認させるとか、「lO」エルオーを「10」と誤認させるとかです。

まず、「メールにあるリンクを不用意にクリックしないこと」です。個人情報を送信するようなサイトには、URL を直接入力するか、あらかじめ登録しているブックマークから接続します。本物のサイトを見て、メールが本物かどうか確認することが必要です。

ヤフーを装ったフィッシングメールでは、ログイン先の URL が IP アドレス（数字）になっていたことがありました。別の URL をかぶせて表示して隠そうとしたと見られます。ウェブページ作成などに使われる「HTML」を使うと、メールに表示された文字列と異なるアドレスにリンク設定できるので、メールの文面だけで判断しないことです。

サイトからのメールは、メールについているリンクからサイトに行こうとしないで、メールの文面をコピーして検索すると、詐欺だとわかる場合が多いです。パソコンやスマホに正規のサイトの URL を「お気に入り登録」しておいて、そこから入るようにします。

まずリンクに合わせない（クリックしない）、多くのソフトでは、ウィンドーの左下に本当のリンク先のアドレスがでます。この方法では、長いアドレスの全部は見えません。リンクを「右クリック」して表れるメニューから、「ショートカットのコピー」（またはアドレスのコピー）を選びます。

「メモ帳」などのテキストエディタから、その上で右クリックして「貼り付け」をすると、本当のリンク先のアドレスが確認できます。

のドキュメンテーションを参照するか、ホスティングプロバイダーやシステム管理者に相談することをおすすめします。