【ITパスポートの実務】あやしいメールが届いた──「見分ける」より「経路を変える」
新人の仲間から、あやしいメールについて相談が届く。
「『銀行』からこんなメールが届きました。件名は【重要】口座が凍結されました、本文は『24時間以内にリンクからログインして情報を更新しないと口座が使えなくなります』。差出人アドレスも見慣れない文字列でした。リンクはまだ押していません。これって本物でしょうか？ どう動けばいいですか？」
ITパスポートの知識がここで力になるのは、「本文で見分けようとしない」と伝えられたときだ。見分け方を教えると、次に巧妙なものが来たときに間違える。中身を見ずに済ませる方法のほうが、長く使える。この記事では、その考え方と初動を整理する。
まず結論：押していないなら、まだ何も起きていない
最初に言うのは、これである。「リンクはまだ押していません」とおっしゃっているので、いまの時点で被害は起きていない。
相談してこられた方は不安な状態である。先に状況を伝えると、落ち着いて手順を聞ける。
そして相談してくださったこと自体がよい判断だったと伝える。ここで責めたり、あきれたりすると、次から相談が来なくなる。次に来るのは、押してしまった後の相談である。
いまは、いちばん良い形で相談が来ている。
「本物かどうか」を、本文で判断しない
相談者は「これって本物でしょうか？」とお尋ねである。この問いに直接答えないほうがよい。
理由は2つある。
1つめ。本文で見分ける方法は、長持ちしない。日本語が不自然、差出人が見慣れない——これらは手がかりにはなるが、決め手にならない。自然な日本語で、それらしい差出人のものも届く。
2つめ。「本物です」と答えると、その判断に頼るようになる。次に自分で判断する場面で、同じ基準を使ってしまう。
だから答えるのは「見分けなくて済む方法があります」である。
メールの中身を信じずに、確認の経路を自分で選び直す。これなら相手がどれだけ巧妙でも通じない。
経路を変える——これが核心
| やること | |
|---|---|
| だめな確認 | メールのリンクを押して確かめる／メールに返信して聞く／メールに書かれた電話番号にかける |
| よい確認 | 自分でブラウザを開いて、いつも使っているページから入る／カードや通帳の裏に書かれた番号にかける |
違いは「相手が用意したものを使うか、自分が持っているものを使うか」である。
メールに書かれているものはすべて相手が用意したものだ。リンクも、電話番号も、返信先も。そこを通る限り、相手の作った場所に着く。
だから自分が前から持っている経路を使う。ブックマーク、アプリ、カードの裏の番号。これらは相手が用意したものではない。
この考え方なら本文を読む必要すらない。「口座が凍結された」と書いてあるなら、自分でアプリを開いて確かめればよい。本当なら、そちらにも出ている。
これが、次に巧妙なものが来ても通じる方法である。見分け方ではなく、確かめ方を渡す。
急がせる文面は、それ自体が手がかり
相談のメールには「24時間以内に」とある。期限を切って急がせるのは、よく使われる形である。
理由は考える時間と、相談する時間を奪うためである。落ち着いて確かめられると、うまくいかないからだ。
だから「急がされている」と気づいたら、それは急がない理由になる。
やさしく伝えるなら「急がせてくるものほど、いったん止まってください」という形になる。
そして本当に急ぎの連絡なら、確かめても間に合う。自分でアプリを開くのに、何分もかからない。確かめて損をすることはない。
法律上は、相手が禁じられている行為である
何人も、アクセス制御機能を特定電子計算機に付加したアクセス管理者になりすまし、その他当該アクセス管理者であると誤認させて、次に掲げる行為をしてはならない。……
一 当該アクセス管理者が……識別符号……を特定電子計算機に入力することを求める旨の情報を、……公衆が閲覧することができる状態に置く行為（不正アクセス行為の禁止等に関する法律7条1項）
この法律は、こうした行為に名前を付けて禁じている。本人になりすまして、識別符号——つまりログイン情報——の入力を求める行為である。
そして3条は「何人も、不正アクセス行為をしてはならない」としている。4条は他人の識別符号を不正に取得する行為、6条は不正に取得された識別符号を保管する行為を禁じている。
相談者に伝える意味は、「これは犯罪です」と脅すためではない。受け取った側は何も悪くないと示すためである。
だまされそうになった人が恥ずかしく感じる必要はない。だます側が、法律で禁じられていることをしている。
この一言があると、押してしまった人も相談しやすくなる。報告のしやすさは、そこから作られる。
押してしまった場合の手順
- まず報告する。時間が経つほど手が打ちにくくなる。
- 何を入力したかを思い出す。ログイン情報か、カードの番号か、何も入れていないか。
- 入力した情報の変更。パスワードは正しい経路から変える。
- 同じパスワードを使い回している先も変える。ここが抜けやすい。
- 金融機関やカード会社に連絡する。カードの裏の番号から。
- その端末で他に何をしたかを確認する。
- 記録を残す。いつ、何が届き、何をしたか。
4がいちばん抜けやすい。入力したのは1か所でも、同じパスワードを使っていれば、他も危うくなる。
ここを伝えるときも責めない。使い回しは多くの人がしているので、「他にも同じものを使っていませんか」と聞く形にする。
そして1が最初である理由を伝える。自分で対処してから報告しよう、と思うと遅れる。報告してから一緒に対処するほうが速い。
7の記録も忘れない。あとで確認が必要になったときに、思い出せなくなる。
社内に共有するときの形
1件届いたということは、他の人にも届いている可能性がある。共有する価値がある。
ただし共有のしかたに注意がいる。
- メールそのものを転送しない——受け取った人が押してしまうことがある
- リンクを書かない——同じ理由
- 誰が受け取ったかを書かない——受け取ったこと自体は何の落ち度でもないが、名前が出ると次から言いにくくなる
- 特徴だけを伝える——「◯◯を名乗る」「期限を切って急がせる」など
- やることを1行で——「メールのリンクからではなく、いつものアプリから確かめてください」
そして「届いた方は教えてください」と添える。何件届いているかが分かると、次の手を考えられる。
相談への返し方
ご連絡ありがとうございます。リンクを押す前に聞いてくださって、いちばん良い形です。
まず、いまの時点では何も起きていません。落ち着いてお読みください。
「本物かどうか」ですが、本文で見分けようとしないほうがよいとお伝えしています。最近のものは、日本語も差出人も自然に作られていますので、見た目では判断しきれません。
代わりに、確かめ方をお伝えします。
メールに書かれているものを一切使わずに、ご自分でいつものアプリやページを開いて確認してください。本当に口座に何かあるなら、そちらにも出ています。
お電話で確かめる場合も、メールに書かれた番号ではなく、カードや通帳の裏の番号におかけください。
メールに書かれているものは、リンクも電話番号も返信先も、すべて相手が用意したものです。そこを通る限り、相手の作った場所に着いてしまいます。
ご自分が前から持っている経路を使えば、相手がどれだけ巧妙でも通じません。
それと、「24時間以内に」という書き方についてです。期限を切って急がせるのは、考える時間と相談する時間を奪うためによく使われます。
急がされていると気づいたら、それは急がない理由とお考えください。本当に急ぎのご連絡なら、確かめても間に合います。
このメールは削除していただいて結構です。他の方にも届いているかもしれませんので、こちらから注意の共有を出します。
最後に1つ。こうしたメールが届くこと自体は、何の落ち度でもありません。法律で禁じられているのは、送っている側の行為です。
今後も、少しでも気になったらお声がけください。押してしまった後でも同じです。早く分かれば、打てる手があります。
返し方の要点は3つである。
①先に状況を伝える——不安な状態のままでは、手順が入らない。
②「本物か」に直接答えず、確かめ方を渡す——次に使える形にする。
③押した後でも相談してよいと明示する——ここを言っておかないと、次に相談が来ない。
この場面で効いているITパスポートの知識
- フィッシング——本人になりすまして識別符号の入力を求める行為（不正アクセス禁止法7条1項）
- 不正アクセス行為の禁止（同法3条）、識別符号の不正取得・保管の禁止（同法4条・6条）
- パスワードの使い回し——1か所の漏えいが他に及ぶ
- 初動の考え方——報告を先に、対処は一緒に
知識そのものより、見分け方ではなく確かめ方を渡せることが、この場面で効いている。
案内で外したくないポイント
- 押していないなら何も起きていないと先に伝える。
- 相談してくれたこと自体がよい判断と言う。次の相談につながる。
- 本文で見分けようとしない。長持ちしないし、判断に頼らせてしまう。
- 経路を変える。メールに書かれたものを一切使わない。
- 自分が前から持っている経路を使う。ブックマーク、アプリ、カードの裏。
- 急がせる文面は、急がない理由。
- 受け取った側に落ち度はない（不正アクセス禁止法7条1項）。
- 押した場合は報告が最初。自分で対処してから、にしない。
- 使い回している先も変える。いちばん抜けやすい。
- 共有では転送しない・リンクを書かない・名前を出さない。
根拠条文のまとめ
| 条文 | 見出し | この記事で使った内容 |
|---|---|---|
| 不正アクセス行為の禁止等に関する法律3条 | 不正アクセス行為の禁止 | 何人も、不正アクセス行為をしてはならない |
| 同法4条 | 他人の識別符号を不正に取得する行為の禁止 | 不正アクセス行為の用に供する目的での取得の禁止 |
| 同法6条 | 他人の識別符号を不正に保管する行為の禁止 | 不正に取得された識別符号の保管の禁止 |
| 同法7条1項 | 識別符号の入力を不正に要求する行為の禁止 | アクセス管理者になりすまし、又は誤認させて識別符号の入力を求める情報を公衆が閲覧できる状態に置く行為 |