毎日、何百万人もの人々が、注意を促すリンクを含むメール、テキストメッセージ、ソーシャルメディアの通知を受け取っています。中には完全に正当なものもありますが、個人情報の窃盗、マルウェアのインストール、金融口座の不正利用などを目的とした巧妙な罠も存在します。インターネットを利用するすべての人にとって、この2つを見分ける方法を知ることは不可欠なスキルです。
要点：要約
- リンクが安全かどうかを確認するには、ドメイン名にスペルミスがないか注意深く調べ、短縮リンクの実際のリンク先を確認し、緊急性を煽るようなメッセージには注意してクリックしてください。
- クリックする前に注意すべき警告サイン：
- スペルミスや改ざんされたドメイン名。詐欺師は、amazon.com の代わりに amzon.com のような類似ドメイン名を使用したり、実在するブランド名に余分な単語や文字を追加したりします。
- 短縮URL。bit.lyなどのサービスは実際のリンク先を隠してしまうため、クリックする前にリンクチェッカーで展開して確認してください。
- 不審な送信者または予期せぬメッセージ。たとえ知り合いからのリンクであっても、身に覚えのないリンクは特に注意深く確認する必要があります。
- 緊急性や恐怖心を煽る戦術。即座の行動を促すメッセージは、フィッシング詐欺でよく使われる手口です。
- 異常なURL構造。余分なサブドメイン、奇妙な文字、またはトップレベルドメインの不一致は、注意すべき危険信号です。
- クリックする前に、以下の点にご注意ください。リンクにカーソルを合わせて、実際のリンク先をプレビューしてください。それでも不安な場合は、リンクを直接クリックするのではなく、リンクをコピーして信頼できるリンクチェッカーに貼り付けてください。
詐欺か、それとも本物か？ Scam Guardが見極めます。
どのようなリンクが危険となるのか？
リンクが危険になるのは、認証情報を盗んだり、デバイスにマルウェアをダウンロードさせたり、機密情報をだまし取ったりするなど、ユーザーに危害を加えることを目的としたサイトに誘導する場合です。フィッシングの仕組みを理解することで、こうした欺瞞的なリンクがなぜ危険なのかが分かります。
サイバー犯罪者は、さまざまな目的で悪意のあるリンクを作成します。中には、ログインしようとした際にユーザー名とパスワードを盗み取る偽のログインページに誘導するものもあります。また、悪意のあるダウンロードを誘発したり、ブラウザやデバイスの脆弱性を悪用したり、マルウェア、ランサムウェア、スパイウェアのインストールを促したりするものもあります。
危険は必ずしも明白ではありません。リンクは銀行のウェブサイトに繋がっているように見えても、実際には全く別のサーバーにホストされた、本物そっくりの偽サイトに誘導される場合があります。メールは同僚から送られてきたように見えても、「共有ドキュメント」通知に埋め込まれたリンクは、全く別の場所に繋がっている可能性があります。
現代のフィッシングリンクが特に効果的なのは、その巧妙さにある。攻撃者は、なりすますブランドの正規の通信を研究し、ロゴ、書式、言語パターンを驚くほど正確に模倣する。多くの場合、リンク自体が、それ以外は説得力のあるメッセージの中で唯一見抜ける欠陥となる。
リンクをクリックする前に安全かどうかを確認する方法
リンクの安全性を確認する最も確実な方法は、クリックする前に実際のURLを確認し、信頼できるリンクチェッカーツールで検証することです。この2段階のプロセスはわずか数秒で済みますが、深刻なセキュリティインシデントを防ぐことができます。
まず、クリックせずにカーソルをリンクの上に重ねてください。デスクトップパソコンでは、ブラウザウィンドウの右下隅、またはリンクの近くにツールチップとして実際のリンク先URLが表示されます。モバイル端末では、リンクを長押しすると、リンク先のプレビューが表示されます。この簡単な操作で、フィッシング詐欺をすぐに発見できることがよくあります。「銀行口座」と表示されたリンクが、実際には全く別のウェブサイトに誘導しようとしていることに気づくかもしれません。
表示されたURLを調べる際は、ドメイン名に注目してください。https://www.example.com/login の場合、ドメインは example.com です。特に長いアドレスには注意が必要です。yourbank.com.malicious-site.com の場合、実際にアクセスしているサイトは malicious-site.com に属しています。攻撃者は、examp1e.com (文字の L の代わりに数字の 1 を使用) や example-secure.com (馴染みのある名前に余分な単語を追加) のように、正規のドメインに似たドメインを頻繁に作成します。
不安なリンクについては、アクセスする前に専用のリンクチェッカーツールを使用してURLをスキャンしてください。これらのサービスは、ユーザーが実際にページにアクセスすることなく、既知のマルウェア、詐欺、フィッシングの兆候、不審な動作などを分析してくれます。
Malwarebytes Scam Guardを使えば、不審なリンクにアクセスすることなく安全に分析できます。
リンクの真偽を確認せずにクリックすると、深刻な結果を招く可能性があります。最近の例では、偽のGoogle Meetアップデートが、巧妙に作られた悪意のあるリンクをたった一度クリックするだけで、攻撃者に被害者のコンピューターを完全に制御させてしまうという事態が発生しました。
リアルタイム検証のために、 Malwarebytes Scam GuardはClaudeおよびChatGPTと統合され、AIを活用した詐欺検出とリンクチェック機能を提供することで、疑わしいURLにアクセスする前に評価できるようになりました。
何かおかしいと感じたら？クリックする前に確認してください。
Malwarebytes Guardを使えば、不審なリンク、テキスト、スクリーンショットを即座に分析できます。
すべてのデバイス向けの「Malwarebytes Premium 」 iOS Android向け「Malwarebytes でご利用いただけます。
よくあるフィッシング詐欺URLの警告サイン
フィッシングURL（または詐欺リンク）には、正規のリンクと区別できる警告サインが含まれている場合があります。これらの一般的なパターンを認識する方法を学びましょう。
- ドメイン名のスペルミスや改ざんは、最も一般的な攻撃手法の一つです。攻撃者は、信頼できるブランド名に酷似したドメイン名を登録し、似たような文字を置き換えたり、余分な単語を追加したりします。「m」の代わりに「rn」（多くのフォントでほぼ同じように見えるため）、文字「O」の代わりに「0」、数字「1」の代わりに小文字の「l」など、文字の置き換えに注意してください。arnazon.comやpaypa1.comのようなドメイン名は、一見すると本物に見えますが、詳しく調べるとその正体が明らかになります。
- 見慣れないトップレベルドメインは警戒すべき兆候です。正規の企業は通常、.com、.org、国別ドメインといった馴染みのある拡張子を使用しますが、フィッシングサイトは.xyz、.top、.click、.infoといった珍しいトップレベルドメインをよく利用します。銀行を名乗るメッセージで、見慣れないドメインへのリンクが含まれている場合は、特に注意深く確認する必要があります。
- 短縮URLサービスは、意図的にリンク先を隠すことで、アクセス先の不確実性を生み出します。bit.ly、tinyurl.comなどのサービスは、長いURLを短いコードに圧縮し、リンク先がどこにあるのかを一切明らかにしません。これらのサービスには正当な用途もありますが、悪意のあるリンク先を偽装するために悪用されることも少なくありません。多くのリンクチェッカーツールは、短縮URLを展開して、その真のリンク先を明らかにすることができます。
- アンカーテキスト（ハイパーリンク）の不一致とは、リンクの表示テキストが実際のリンク先と一致しない場合に発生します。例えば、メールに「www.yourbank[.]com でアカウントにアクセスするには、ここをクリックしてください」と表示されていても、実際のリンク先は全く異なる場所を指している場合があります。表示されているテキストを鵜呑みにせず、必ずリンクにカーソルを合わせて確認してください。
- サブドメインが多すぎたり、パスが複雑すぎたりする場合は、実際のドメインを紛らわしいURL構造の中に隠そうとしている可能性があります。secure.login.yourbank.com.malicious-site.com/verify のようなリンクは一見正当に見えるかもしれませんが、実際のドメインは malicious-site.com です。それより前の部分はすべて、ユーザーを欺くために設計されたサブドメインにすぎません。
- URLパスにランダムな文字列が含まれている場合、それは自動生成されたフィッシングページである可能性が高い。正規のウェブサイトは通常、読みやすく分かりやすいURLを使用するが、フィッシングサイトはしばしばランダムな文字と数字の長い文字列を含んでいる。
これらの兆候に加えて、見知らぬ送信者からのリンクで、すぐにクリックするように促される場合は、必ずよく考えてからクリックするようにしてください。
HTTPSだからといって必ずしもリンクが安全とは限らない理由
完全なウェブアドレスを見ると、必ずwwwの前にHTTPまたはHTTPSが付いています。
HTTPS（Hypertext Transfer Protocol Secure）は、ブラウザとウェブサイト間で送信されるデータが暗号化されることを保証し、パスワードやクレジットカード番号などの情報が送信中に第三者に傍受されるのを防ぎます。ブラウザのアドレスバーに表示される鍵マークは、この暗号化が有効になっていることを示します。
しかし、HTTPSを使用しているからといって、そのURLが安全であるとは限らないことを理解しておくことが重要です。ウェブサイトがHTTPSではなくHTTPのみを使用している場合は、要注意です。正当な企業やウェブサイトは常に暗号化を使用しているはずです。しかし、HTTPSを使用しているというだけで、正当性の証明と解釈すべきではありません。
HTTPS証明書の取得は非常に簡単になりました。攻撃者は、正規のウェブサイト運営者と同様に、フィッシングサイト用の証明書を簡単に取得できます。銀行口座情報を盗むために設計されたフィッシングページは、実際の銀行のウェブサイトと同じ南京錠アイコンを表示する可能性があります。
HTTPSは、手紙の封筒に貼られた封印のようなものだと考えてください。封印は、配達中に手紙が読まれたり改ざんされたりするのを防ぐのに役立ちますが、送り主が信頼できる人物かどうか、あるいは内容が正直なものかどうかについては何も示していません。詐欺師も他の人と同じように、封筒を封印することができるのです。
リンクの安全性を評価する際には、HTTPSはセキュリティを保証するものではなく、あくまでも最低限の要件と考えるべきです。ドメイン名自体、リンクを受け取った状況、そして送信されたリクエストが妥当かどうかといった点に注目してください。
HTTPSで保護されたフィッシングリンクも、やはり詐欺リンクです。
すでに不審なリンクをクリックしてしまった場合の対処法
もし既に悪意のあるリンクをクリックしてしまった場合はどうすればいいでしょうか？落ち着いて、迅速に行動してください。
- 不審なページは閉じ、個人情報は入力しないでください。何かがダウンロードまたは実行された場合、あるいはデバイスの動作がおかしくなった場合は、調査中はインターネット接続を切断してください。
- ページ上で個人情報の入力を求められた場合は、絶対に入力しないでください。また、開始された可能性のある自動ダウンロードはすべて停止してください。
- ブラウザを閉じて、デバイスにファイルがダウンロードされていないか確認してください。ダウンロードされていた場合は、開かずに削除してください。
- 不審なページでパスワードを入力したアカウントはすべて変更してください。同じパスワードを他のアカウントでも使用している場合は、それらのアカウントも変更してください。
- マルウェアのスキャンに以下を使用Malwarebytes 無料のマルウェア・ウイルススキャンを実行してから、重要なファイルをバックアップしてください。
- メッセージを報告してください。メールやメッセージの「フィッシング／スパムを報告する」オプションを使用してください。
- その後数日間は、アカウントとデバイスに不審なアクティビティがないか監視してください。
特に個人情報や金融情報を入力した場合は、信頼できる個人情報盗難監視・保護サービスへの登録を検討してください。
安全なブラウジング習慣を身につけるには時間がかかりますが、基本はシンプルです。
- クリックする前に少し間を置いてください。
- 見慣れないリンクは確認してください。
- さらなる保護のために、信頼できるサイバーセキュリティソフトウェアをインストールしてください。
Malwarebytesで身を守りましょう
悪意のあるリンクから包括的に保護するには、知識と適切なセキュリティツールの両方が連携して機能する必要があります。フィッシングや詐欺リンクの兆候を見分けることは不可欠ですが、自動化された保護機能は、見逃してしまう可能性のある脅威に対する重要なセーフティネットとなります。
Malwarebytes Premium Securityは、詐欺リンクを含む新たなオンライン脅威に対して、多層防御を提供します。リアルタイムWeb保護機能は、既知の悪意のあるURLがブラウザに読み込まれる前にブロックし、フィッシング詐欺やマルウェアのダウンロードを発生源で阻止します。この保護機能はバックグラウンドで静かに動作し、真の脅威に遭遇した場合にのみ介入します。