フィッシング

フィッシングは、被害者をだまして個人情報、金融情報、またはセキュリティ情報を明かさせようとするソーシャルエンジニアリング攻撃です。フィッシングの手口では、企業（Microsoft、PayPal、銀行など）から送られたように見えるメールメッセージを使い、企業のWebサイトで個人情報を更新または確認するよう被害者に求めます。しかし、メールメッセージ内のリンクをクリックすると、実際には正規のWebサイトを装った偽のWebサイトに移動させられます。被害者がWebサイト上のフォームにユーザー名、パスワード、クレジットカード番号などの個人情報を入力すると、その情報はWebサイトを運営する詐欺師に送信されます。

詐欺師は、フィッシング攻撃をいくつかの目的に利用できます。多くの場合、クレジットカード番号や銀行口座情報など、被害者の金融情報を狙います。また、特定のWebサイトにある被害者のアカウントを乗っ取ろうとすることもあります。たとえば、被害者のメールのログイン情報を盗めば、受信トレイにアクセスして、さらに個人情報を探したり、被害者になりすまして他の人をだますメッセージを送ったりできます。詐欺師は、あるWebサイトで使われているユーザー名とパスワードを入手し、別のWebサイトでも同じ組み合わせを試すこともあります。特定の従業員を対象とするフィッシング攻撃はスピアフィッシングと呼ばれ、攻撃者が企業の内部ネットワークにアクセスできる認証情報を送信するよう、従業員をだまそうとします。

フィッシングの見分け方

多くのフィッシングメールは本物らしく見えますが、確認できる一般的な兆候がいくつかあります。メールの差出人欄を確認して、メールの送信元のドメインを調べることができます。また、ハイパーリンクを調べて、どこに移動するリンクなのかを確認することもできます。こうしたリンクは、企業の実際のURLに似ていることが多いものの、わずかなスペルミスや、誤解を招くサブドメインが含まれています（例：http://www.microsoft.login-info.com）。リンクがドメイン名ではなく、IPアドレスを直接指していることもあります。メールの内容にスペルミスや文法上の誤りが含まれている場合もあり、急いで、考えずに行動させようとして、緊急性を感じさせる書き方になっていることもよくあります。

メールが正規のものかどうか少しでも疑わしい場合は、リンクをクリックしたり、個人情報を入力したりしないでください。その代わりに、正しいWebサイトのURLを直接入力して、通常どおりログインし、情報の更新を求められるかどうかを確認できます。最後に、複数のWebサイトで同じユーザー名とパスワードの組み合わせを使い回してはいけません。フィッシング攻撃の被害に遭った場合でも、これによって詐欺師が他のアカウントにアクセスするのを防げます。