メールやSMSのメッセージから偽サイトに誘導して個人情報を盗む
「フィッシング詐欺」と呼ばれる詐欺が増えています。
フィッシング詐欺が疑われるメールやSMSを受け取った時の対応については
別記事にまとめていますので、良かったらそちらをご覧ください。
前の記事でもちょっと書いてますが、結論から言うと、基本的には無理なので諦めてください。
この記事では、フィッシング詐欺サイトの実例を通して
フィッシング詐欺サイトを見分けるのを諦めたほうがいい理由を説明します。
なぜフィッシングサイトを見分けることが難しいのか理解できる
見よ！これが実際のフィッシング詐欺サイトだ！
見よ！とか書いてますが別に私が作ったわけではないですよ…ねんのため…（笑）
2021年2月に私が偶然発見したAmazonのフィッシングサイトのスクリーンショットです。
違和感を感じることはできますか？
同じ画面をスマホでも見てみました。パッと見たときにおかしいと気づくことはできますか？
そうなんです。画面に不自然なところはないですよね。
日本語がおかしいとか、そういうことも一切ないです。
見分けるポイント？？…だけど…
でもよーく見てください、AmazonではなくてAmozon（アモゾン）になってます。
今回はアマゾン⇒アモゾンという、わかりやすい違いを取り上げましたが、実際はもっと難しいケースもあります。
このように、現実的にはサイトの見栄えだけで
本物かどうか？を見破ることはできないと考えて良いと思います。
「鍵マークが付いてたら安全」の嘘
以前はそれで見分けられることが多かったみたいです。
そのせいか、鍵マークで見分けましょうって説明してるWEBサイトや書籍が結構あるんですが
令和も3年過ぎた今となっては、それけっこう古いです。
大きな誤解を招く結果になってしまっていると言って良いと思います。
現にさっきのアモゾンも…
鍵マークが証明しているもの
この鍵マークは何かというと、SSLサーバ証明書というものです。
パソコンとそのWEBサイトの間の通信が暗号化されていて
インターネットの第三者に見られてしまったりしませんよ〜
途中で第三者が情報を書き換えたりしていませんよ〜
ということを証明しているものです。
つまり、鍵マーク（証明書）によって証明しているのは
このサイトがアモゾン（amozon.life）であるということだけです。
では最初から、そのアモゾンが詐欺サイトだったら…？
※ちなみに証明書は種類を問わなければ無料でつけることができます（このブログもつけてます）
ポイントは、「鍵マーク（証明書）がついているからといって詐欺サイトではないとは限らない」ってことですね。
こないだニュースになってましたね。今の時代は騙す方も必死ってことですね。
日本向けフィッシングサイトの約8割が「HTTPS化」～トレンドマイクロと JC3 調査
利用者が最終的に誘導されるWebページの77.6%が「HTTPS化」されていることを確認しており、「HTTPS」を指標にWebサイトの真偽の判断はできない状況であると述べている。
https://scan.netsecurity.ne.jp/article/2021/04/30/45602.html
WEBサイトを表示するための言語をHTTPと呼ぶのですが
それをさっき説明したSSLサーバ証明書で暗号化するとHTTPSに進化します。
つまり上のニュース記事で言ってるHTTPS化=鍵マークがついてるサイト、ってことです。
「URLをよく見たら安全」の嘘
似た文字を使ったフィッシング詐欺
さっきの例は「amozon」でしたが
「anazon」とか「amazom」とか「amason」とか…
限りなく似た見た目のURLがいくらでも考えられるので、視力に自信があっても注意が必要だと思います。
同じ形の違う文字がある
では、次の2つの見分けは付きますか？
実は「.com」の「オー」の字が違います、①は普通にアルファベットで「o」ですが
②はギリシャ文字の「オミクロン」です。
嘘だと思ったらパソコンやスマホで「オミクロン」で変換してみてください
多分だいたいの環境で「ο」って出てくると思います。
そしてその表示している環境が使っているフォントによっては
「オー」と「オミクロン」は全く見た目が同じことがあります。
（例に挙げた画像はWordで「メイリオ」というフォントを使っています）
日本人に身近な文字の例を挙げると、最近は日本語ドメインというものがあって
サイトのURLに日本語が使えるようになったので
「ロ（カタカナのろ）」と「口（漢字のくち）」とか
「ト（カタカナのと）」と「卜（漢字のうらない）」とか…
見た目が同じ文字を使った手口がでてくるかもしれませんね。（もうあるかも？）
この記事はあくまで一例です
今回は、実際にあったとあるフィッシング詐欺サイトを例にして
フィッシング詐欺サイトと本物のサイトを見分けることが難しい理由を説明しました。
しかしこれもあくまで一例なので、実際にはよく見たら
見分けることができることもあるでしょうし
焦っていて見分けるとかそういう気持ちじゃない場合もあると思います。
色んな可能性が考えられるので、基本的には見分けることができない
という前提で対応を考えたほうが良い、と私は考えています。
まとめ
- フィッシング詐欺サイトと本物のサイトを見分けるようとするのは諦めたほうが良い
- 鍵マークがついているからって本物のサイトとは限らない
- URLをよく見ているから大丈夫というわけではない
フィッシング詐欺サイトを見分けることが無理ならどう対応したらいいの？ということが知りたい方はこちらのページも御覧ください。
少しでもお役に立てれば嬉しいです。では今回はこのへんで。
