宅配便、通販サイト、銀行、クレジットカード会社など、よく知っている企業から届いたように見えるメールやSMS。その中には、本物そっくりに作られたフィッシング詐欺が紛れていることがあります。
今回は、私自身がAppleを装ったフィッシングメールに反応してしまった経験をもとに、2段階認証・多要素認証の重要性を紹介します。
私自身もフィッシングメールに反応してしまいました
以前、Appleを装ったフィッシングメールに反応してしまい、危うくアカウントを乗っ取られそうになった経験があります。
その際は2段階認証を設定していたため、パスワードだけでは第三者がそのままアカウントに入ることができず、大きな被害には至りませんでした。
ITに関わる仕事をしていても、こうしたメールに反応してしまうことがあります。
この経験から、怪しいメールを見分けることだけでなく、万一パスワードが漏れてしまった場合に備えることも重要だと感じています。
フィッシング詐欺とは？
フィッシング詐欺は、実在する企業やサービスを装ったメールやメッセージなどから偽サイトへ誘導し、ID・パスワード・カード情報などを盗み取ろうとする手口です。
企業のロゴや自然な日本語が使われていても、それだけで本物とは判断できません。
怪しいメールが届いたときの確認方法
「今すぐ確認しないとアカウントを停止します」「支払いに問題があります」など、不安を与えて急がせる文章には注意が必要です。
送信者名だけで判断せず、メールアドレスやリンク先にも注意しましょう。ただし、見た目だけで真偽を完全に判断できるわけではありません。
心配な場合はメール内のリンクを使わず、普段利用している公式アプリや、自分で登録したブックマークなどからサービスにアクセスして確認する方が安全です。
2段階認証・多要素認証が重要な理由
パスワードだけでログインできる場合、そのパスワードを第三者に知られると不正ログインにつながる可能性があります。
2段階認証や多要素認証は、パスワードに加えて別の確認方法を組み合わせることで、アカウントの安全性を高める仕組みです。
Appleの2ファクタ認証では、新しいデバイスなどからサインインする際に、パスワードに加えて信頼済みデバイスなどに表示される確認コードが必要になる場合があります。
私自身の経験でも、こうした追加の認証が被害の拡大を防ぐうえで役立ちました。
ただし、2段階認証を設定すれば絶対に安全というわけではありません。 確認コードまで偽サイトへ入力させる手口もあるため、確認コードを第三者に教えないことが大切です。
利用できるサービスでは、パスキーなどフィッシング耐性の高い認証方法も検討しましょう。
もしパスワードを入力してしまったら
偽サイトにパスワードを入力した可能性がある場合は、放置せず、公式サイトや公式アプリから速やかにパスワードを変更してください。
同じパスワードをほかのサービスでも使用している場合は、そちらも見直しましょう。
不審なログイン履歴や登録情報の変更がないか確認し、利用できる場合は多要素認証を有効にします。
Appleも、詐欺サイトにパスワードなどを入力した可能性がある場合には、Apple Accountのパスワードを直ちに変更し、2ファクタ認証が有効であることを確認するよう案内しています。
【実践編】怪しいメールに反応してしまったら？状況別の対応
メールに反応した場合は、何をしたかによって対応が変わります。慌てず、メールのリンクではなく公式アプリや自分で開いた公式サイトから確認しましょう。
| 状況 | 最初の対応 |
|---|---|
| メールを受信しただけ | リンクや添付を開かず、迷惑メール報告・削除を検討する |
| リンクを開いたが何も入力していない | 画面を閉じ、ダウンロードや通知許可などをしていないか確認。不審な操作があれば相談 |
| ID・パスワードを入力した | 公式サイトから直ちにパスワード変更。使い回し先の変更とログイン履歴確認 |
| 認証コードまで入力した | 不正ログインの可能性が高まるため、公式窓口・社内管理者へ早急に連絡。サインイン済み端末も確認 |
| カード情報や決済情報を入力した | カード会社等に連絡し、停止・利用明細の確認について指示を仰ぐ |
Apple Accountで確認したいこと
- Apple公式の案内からアカウントのセキュリティ設定に進む。
- 信頼できるデバイス・電話番号に、身に覚えのない登録がないか確認する。
- 必要に応じてパスワードを変更し、2ファクタ認証と回復手段を見直す。
- 購入履歴や不審なサインイン通知がないかを確認する。
多要素認証は重要ですが万能ではありません。偽サイトが認証コードまで聞き出す場合もあります。予期しない確認コードやログイン承認依頼には応じないようにしましょう。
まとめ｜見抜くだけでなく、被害に備える
フィッシング対策は、怪しいメールを見抜くことだけではありません。
メール内のリンクを安易に開かない、パスワードを使い回さない、多要素認証を利用するなど、複数の対策を重ねることが重要です。
私自身の経験からも、「自分は大丈夫」ではなく「間違えることもある」という前提で備えることをおすすめします。
※認証機能や設定画面はサービスによって異なります。最新の設定方法は各サービスの公式情報をご確認ください。
関連記事｜事業者に届いた不審な問い合わせ
櫻テクノロジーズのお問い合わせフォームに実際に届いた不審なメッセージについて、内容や判断のポイントを別の記事で紹介しています。