フィッシングメールが見分けられない理由
詐欺などのフィッシングメールは日々進化しています。
フィッシングメールとは、詐欺や偽情報のメールの事です。
多くの方が、GoogleやYouTubeらしきところから来たメールは本物か、詐欺か、どうやって見分けたらいいのかと悩んでいるようです。
ここでは、Googleなどを装ったフィッシングメールが見破れない理由を、いくつかの例で説明しています。
最終的にフィッシングメールを見破ることは出来ません。メールの真偽判定をする意味はあまりありません。
見破れないのはあなたの知識やスキルの問題ではなく、セキュリティの専門家でも判別不明なレベルまでフィッシング詐欺は可能だからです。
ここで説明している内容はGoogleやYouTubeだけでなく、銀行、カード会社、通販サイトなど、どこからのメールでも同じです。
私は詳しいので見破れると思っているような人ほど危険です。
もしも回りに自称詳しい人がいたとしても信用しない方がいいでしょう。自称詳しい人ほど安全なことを断言しがちです。
自称、詳しい人の中にはメールのソースの内容を確認すれば大丈夫とする方もいますが、ソースでは判断できません。
メール内にセンシティブな反応をしなければならないような事が書かれていた場合、絶対にメール内のリンクをクリックしたり、添付ファイルをダウンロードしないでください。
センシティブな内容とは、直接お金等に関わらない場合でも、アカウントのログインなどが必要になるような事です。特に○時間以内に対応しなければならないような内容の場合、何らかの個人情報の入力、アカウントへのログインが必要な場合は注意してください。
例えば宅配便の再配達のお願いのような、一見どうでもよさそうな事も、個人情報が盗まれるセンシティブな内容です。
そのようなメールへの対応方法はセンシティブな内容への対応方法を確認してください。
メールの確認方法 では、メールがどこから送られてきたかを、実例を示しながら確認する方法を紹介してます。
メールが過去に送られてきた本物とそっくりだから信じてしまう
フィッシングメールは低レベルな物もありますが、過去に送信された本物とほぼ同じ内容で、Googleなどのロゴがある物が送られてくることがあります。
いつもと同じGoogleやYouTube、AdSense等から送られ来たメールだと思って反応してしまう方が多いようです。
他人にも同じ物が届いているから信じてしまう
フィッシングメールは他人にも届いている本物とそっくり同じ物を同時期に送信する事で効果を発揮します。つまり、他人にも届いているからと言う理由で信じる人に引っかけやすいので、そのようなメールは送信されやすいです。
メールの送信者名がGoogleとかYouTubeなので信じてしまう
メールの送信者名はメールのFromに書かれていますが、ここにGoogle Support <support@mail.ru> などと記載されていると、一般的なメールソフトでの送信元の表示は Google Support になります。
この送信元に書かれている名称だけ見て、本物のGoogleから来たメールと信じてしまう方が多いです。
メールの送信元が@gmail.comなので信じてしまう
メールの送信元がGoogle Support <support@mail.ru> になっていたとしても、賢明な方はメールの送り元のアドレスが @google.com ではなく @mail.ru になって事に気づきます。これはロシアのメールサービスから送られた物なので、Googleから送られた物ではないと判断できる方もいます。
それでは @gmail.com の場合はどうでしょうか。Googleのメールサービスの @gmail.com のアドレスだから、Googleから送られてきたメールだと信じてしまう方が多いです。
Googleからの正規のメールが一般ユーザーが使うドメインの @gmail.com から送られることはありません。
今日は休日なので普段と異なる@gmail.comのメールアドレスで送っていますというような内容はほぼ全てが詐欺です。
メールの送信元が@googlemail.comなので信じてしまう
@gmail.com は一般向けのサービスで、誰でも使えるメールアドレスであり、Googleの社員等が送った物ではないと理解している方も多いです。それでは @googlemail.com から届いた場合はどうでしょうか。
@googlemail.comのドメインは@gmail.comと同じサービスで使われている物で、一般ユーザーが利用出来るドメインです。
@gmail.comではなく@googlemail.comから来たからGoogleの社内から送信されたと信じてしまう方が多いです。
メールの送信元が本物の@google.comなので信じてしまう
メールの送信元がGoogle Support <support@google.com> だったとします。
メールの送信者名、送信メールアドレスだけをみるとGoogleからの物に見えます。しかし、この送信元の表記は偽造が可能です。
実際にGoogleから送信されていなくても、google.comから送ったような表示は技術的に可能です。
これを見破るにはメールのソースを表示して、メールがどのようなルートで送信されているかを確認しなければいけません。
これを確認するには、メールシステムに関する、ある程度技術的な知識が必要になります。このような確認をせずに、単純にメールの送信元の表示だけで信じてしまう方が多いです。
Googleの物ではありませんが、下の画像は、JCBから送られてきたクレジットカードの不正利用を装った詐欺メールの送信元の例です。JCBのサーバーから詐欺業者がメールを送っていることがわかります。
このJCBに関しては、NordVPNが2021年12月に「ダークウエブ上で流通したカード情報400万件の内、7,000件が日本の物で、4,301件がJCBだった」と発表しています。
サーバー自体も攻撃されやすく、カード自体も何らかの形で情報が流出している事がわかります。
リンクがgoogle.comになっている
メール内のリンクが https://support.google.com という表記になっているとします。これならGoogleのリンクだから安心だと思ってクリックする方がいます。実際にリンクをクリックしてみてください。
実際にはこの表記のリンクで見えているGoogleではなく https://help.twitter.com へのリンクです。クリックするとTwitterにつながります。
このように表面上でみえるリンク先ではなく、違う所へのリンクにするような事は簡単に可能です。
見た目だけのリンクを信じてしまう方が多いです。
リンクがgoogle.comで行った先でもgoogle.comと表示されているように見える
WebブラウザのURL画面に google.com と表示されているという理由で信じる方も多いかも知れません。みためで、どうみても google.com と書いてあれば信じてしまう方が多いでしょう。
日本人だと簡単に判断できるでしょうが google と ｇｏｏｇｌｅ は文字の意味は同じでも違います。これと似たように、全世界ではアルファベットに似ているが全く違う文字が多数あります。
たとえば gο𝑜𝚐ⅼ𝚎 ではどうでしょうか。
フォントによりますが、2つめのoに違和感がある方が多いと思いますが、1つめのg以外はすべて似ている他の文字です。つまり、googleと gο𝑜𝚐ⅼ𝚎 は1つめのg以外それぞれ全く違う文字です。
このように、URLが正しいように見せかけた違うサイトというのが存在する可能性があり、URLを見た目で判断するというのは困難です。
いつもやりとりしている人からのメール
GoogleやYouTubeなどのシステムが送信する物ではなく、個別の担当者がいるような場合、いつもやりとりしている人からメールが送信されることがあります。
そのメールが、いつものメールアドレスではなく、出張中とか休暇中、テレワークなので個人のメールアドレスから送りましたような場合は注意が必要です。
そもそもそのような場合に、GoogleやYouTubeの担当者が個人のメールアドレスから送信するような事はあり得ません。
いつもの人からのメールだからと信じてしまう方が多いです。
直前にメールアドレスが変わったというメールが送信されることもあります。そのメールの送信者が何らかの形で犯罪者が送った物で、変わったというアドレスが犯罪者の物の場合があります。
本物のシステムから送られる本物のメールアドレスのメール
システムに不正侵入する、その人が使っている端末から直接送信する等の手段で、本物のシステムから、本物のメールアドレスで偽のメールを送信することが可能です。
例えば、遠隔操作で該当の端末からメールを送信する、社内に不正に侵入してメールを送信する、盗んだデバイスからメールを送信するなど様々な手段が考えられます。
仮に休暇などでしばらく該当のアカウントに本人が直接アクセスしない場合、しばらくアカウントが不正に使われている事に気づかない事もあり得ます。
そのすきに犯罪者は偽のメールを送信して重要な情報を引き出そうとします。このような外部からは本物としか思えないメールを信じてしまう方もいます。
こうなってしまうと、メールを本物の送信者以外がどう解析しても、フィッシングなのか、本物なのかの見分けはつきません。