フィッシング攻撃の手口やメールの確認ポイント（送信者、リンク、添付ファイル、メッセージ内容）をイメージした画像

フィッシング攻撃によく見られる兆候とは？

フィッシングメールの共通点と見分け方


著者: Ahona Rudra
翻訳: 東條 百々朱

この記事はPowerDMARCのブログ記事 What is a Common Indicator of a Phishing Attempt? | 9 Key Signs の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

主なポイント

  1. フィッシング攻撃には、緊急性や脅迫的な表現、不審な送信者アドレス、一般的な宛名、予期しない添付ファイル、不自然な日本語やスペルミス、機密情報の要求など、共通する特徴があります。
  2. フィッシングとは、主にメールを利用して正規の送信者を装い、受信者から機密情報を盗んだり、金銭的な被害を与えたりすることを目的としたサイバー攻撃です。
  3. フィッシング攻撃は、メールだけでなく、SMS、電話、SNSなどさまざまな手段で行われるため、それぞれの特徴を理解しておくことが重要です。
  4. 実際には、FACC社の4,700万ドル規模のCEO詐欺や、エバルダス・リマサウスカスによるFacebookとGoogleを標的とした約1億2,000万ドル規模の詐欺など、企業へ甚大な被害を与えた事例があります。
  5. フィッシング対策には、従業員へのセキュリティ教育、多要素認証（MFA）、SPF・DKIM・DMARCなどのメール認証技術、フィッシング訓練を組み合わせた多層的な対策が欠かせません。

毎日、およそ34億通ものフィッシングメールが世界中へ送り付けられています。
そして、たった一度のクリックが、組織全体への侵害につながる可能性があります。
では、フィッシング攻撃にはどのような特徴があり、被害に遭う前にどのように見分ければよいのでしょうか。

フィッシングとは、攻撃者が正規の送信者を装って偽のメッセージを送り、機密情報を盗んだり金銭的な被害を与えたりすることを目的としたサイバー攻撃です。
この記事では、フィッシング攻撃によく見られる代表的な兆候や主な攻撃手法、さらに個人や組織を守るための実践的な対策について解説します。

フィッシングとは

フィッシングとは、攻撃者が企業や組織、あるいは個人になりすまし、パスワードやクレジットカード番号、個人情報などの機密情報を盗み出すことを目的としたサイバー攻撃です。
多くはメールを利用しますが、SMSや電話、偽のWebサイトなどが使われることもあります。

攻撃者の目的は、認証情報や金融情報を盗み出したり、システムやネットワークへ不正アクセスしたりすることです。
企業が被害に遭うと、情報漏洩や金銭的損失だけでなく、法令違反やブランドイメージの低下につながる恐れがあります。

フィッシング攻撃の種類

フィッシング攻撃にはさまざまな種類があり、それぞれ異なる手口で被害者をだまします。
個人を狙うものもあれば、企業を標的とするものもあり、いずれも正規のメールやサービスに見えるよう巧妙に偽装されています。
代表的なフィッシング攻撃は以下のとおりです。

メールフィッシング
銀行やSNS、取引先などを装った偽メールを送り付けます。
スピアフィッシング
特定の個人や組織を狙い、個人情報などを利用して信頼性を高める標的型の攻撃です。
ホエーリング
CEOや役員など経営層を狙うスピアフィッシングです。
スミッシング（SMSフィッシング）
SMSを利用して、不正なリンクへのアクセスや情報入力を促します。
ビッシング（音声フィッシング）
電話で正規の組織を装い、機密情報を聞き出します。
クローンフィッシング
正規メールを複製し、リンクや添付ファイルだけを悪意のあるものへ差し替えて送信します。

関連記事：AIフィッシングとは？新たなサイバー脅威ガイド

フィッシング攻撃によく見られる兆候とは？

フィッシング攻撃を見抜くことは、被害を防ぐための第一歩です。
緊急性をあおる表現や不審な送信者アドレス、一般的な宛名、不審なリンクや添付ファイル、不自然な日本語、機密情報の要求など、フィッシングメールには共通する特徴があります。
ここでは、代表的な9つの兆候を紹介します。

1.不審な送信者アドレス

見覚えのないメールを受信したら、まず送信者のメールアドレスを確認しましょう。
フィッシングメールでは、一見すると正規のドメインに見えても、スペルがわずかに異なるアドレスが使われることがあります。
例えば、support@amazon.comではなく、support@amaz0n.comのように、一文字だけ変更されているケースです。

このような違いは見落としやすいため、攻撃者は巧妙に悪用します。
送信元ドメインが正規のものと一致しているか必ず確認しましょう。
不審に感じた場合は、ドメイン検索ツールなどを利用して、ドメイン情報や評判を確認することをおすすめします。

2.緊急性や脅迫的な表現

攻撃者は、人の心理を利用して冷静な判断を妨げようとします。
例えば、以下のような内容で、不安や焦りをあおり、すぐに行動するよう促します。

これは、利用者の判断力を鈍らせるために攻撃者が意図的に用いる典型的な手口です。
急いで対応するよう求められても、慌ててリンクをクリックしたり情報を入力したりせず、一度内容を冷静に確認しましょう。

3.一般的な宛名

正規の企業から届くメールでは、利用者の氏名が記載されていることが一般的です。
一方、フィッシングメールでは、以下のように誰にでも当てはまる一般的な宛名が使われることがあります。

これだけでフィッシングとは断定できませんが、他の不審な点とあわせて確認することが重要です。

関連記事：なぜフィッシングはこれほど効果的なのか

4.不自然な日本語やスペルミス

フィッシングメールには、正規企業のメールではほとんど見られない誤字脱字や、不自然な日本語が含まれていることがあります。
正規の企業が送るメールでは、文章の品質管理が行われているため、こうしたミスはほとんどありません。

一方、攻撃者は海外で活動していることも多く、自動翻訳を利用してメールを作成するケースもあるため、不自然な表現になることがあります。
違和感のある日本語や不自然な言い回しを見つけたら、十分注意しましょう。

5.不審な添付ファイル

心当たりのない添付ファイルが届いた場合は、安易に開かないようにしましょう。
特に、以下のようなファイルには、マルウェアが仕込まれている可能性があります。

添付ファイルを開くことで悪意のあるプログラムが実行され、データの盗難やシステムへの侵入につながる恐れがあります。
送信者本人に電話など別の手段で確認が取れるまでは、添付ファイルを開かないことが重要です。

ポイント：特に、見覚えのない送信者から届いた.exe、.zip、.doc、.pdfなどのファイルは、開く前に必ずセキュリティソフトでスキャンする運用を徹底しましょう。

6.不審なリンク

フィッシングメールでは、偽のWebサイトへ誘導するリンクがよく使われます。
表示されているURLが正規のサイトに見えても、実際のリンク先が異なるケースは珍しくありません。

例えば、メールにはwww.yourbank.comと表示されていても、実際のリンク先はwww.y0urbank-login.comのような偽サイトになっていることがあります。
リンクをクリックする前に、カーソルを合わせて実際のURLを確認する習慣を付けましょう。
少しでも不審に感じた場合は、メール内のリンクをクリックせず、ブラウザから公式サイトへ直接アクセスすることをおすすめします。

7.機密情報の要求

メールでパスワードやクレジットカード番号、マイナンバー、認証情報などの入力を求められた場合は、フィッシングを疑いましょう。
正規の企業がメールでこのような機密情報の入力を求めることは、ほとんどありません。

攻撃者は、信頼できる企業や担当者になりすまし、利用者を安心させたうえで情報を入力させようとします。
少しでも不審に感じた場合は、メールに返信したりリンクをクリックしたりせず、公式サイトや公式窓口から事実を確認してください。

8.あまりにも魅力的な内容

このように、あまりにも都合の良い内容には注意が必要です。
攻撃者は、人の期待や好奇心を利用してリンクのクリックや個人情報の入力を誘導します。
「うますぎる話には裏がある」という意識を持つことが、被害防止につながります。

関連記事：メールフィッシングとDMARC統計/セキュリティ動向

9.通常業務と異なる依頼

普段とは異なる業務手順を求められた場合も、フィッシングの可能性があります。
例えば、以下のような依頼がメールで届いた場合は特に注意が必要です。

攻撃者は、上司や取引先になりすますことで、確認作業を省略させようとします。
重要な依頼を受けた際は、電話やチャットなど別の連絡手段で本人に確認してから対応しましょう。

実際に発生したフィッシング攻撃の事例

フィッシング攻撃は、中小企業だけでなく世界的な大企業にも大きな被害をもたらしています。

FACC 約4,700万ドルのCEO詐欺

2016年、オーストリアの航空機部品メーカーFACCは、CEOのウォルター・シュテファン氏になりすましたメールによって、約4,700万ドルの被害を受けました。
攻撃者はメールの文体や表現を巧みに再現し、架空の企業買収資金として送金を指示しました。
最終的に約1,090万ユーロは回収できたものの、株価は下落し、CEOとCFOは辞任する事態となりました。

Facebook・Google 約1億2,200万ドルの取引先詐欺

2013年から2015年にかけて、リトアニア人のエバルダス・リマサウスカスは、台湾企業Quanta Computerになりすまし、FacebookとGoogleから合計約1億2,200万ドルをだまし取りました。
攻撃者は架空の会社を設立し、偽の請求書や契約書を送付して送金を誘導しました。
その後、2017年に逮捕され、米国へ引き渡された後、懲役5年の判決を受けています。

Sony Pictures スピアフィッシングによる情報漏洩

2014年11月、Sony Pictures Entertainmentは、スピアフィッシング攻撃によって従業員の認証情報が盗まれ、大規模な情報漏洩が発生しました。
未公開映画や役員のメール、従業員情報、給与情報などが流出し、復旧費用だけでも約1,500万ドルに上ったとされています。
2018年には、この攻撃に関与したとされる北朝鮮のプログラマが起訴されました。

フィッシングを見抜き、防ぐ方法

フィッシング対策で最も重要なのは、日頃から警戒心を持ち、安全な行動を習慣化することです。
次のような対策を心掛けましょう。

送信者を確認する
リンクをクリックしたり添付ファイルを開いたりする前に、送信者のメールアドレスを必ず確認しましょう。
多要素認証（MFA）を有効にする
パスワードが漏洩した場合でも、不正ログインを防ぐことができます。
SPF・DKIM・DMARCを導入する
メールのなりすましを防止し、フィッシング対策を強化できます。
不審なメールを報告する
不審なメールを受け取った場合は、IT部門やセキュリティ担当者へ速やかに報告しましょう。
継続的な教育を行う
定期的なフィッシング訓練やセキュリティ教育を実施し、最新の攻撃手法について理解を深めることが重要です。

PowerDMARCでフィッシング対策を強化

ここまで紹介したように、フィッシング攻撃の特徴を理解し、安全な行動を習慣化することで、被害のリスクを大幅に減らすことができます。
しかし企業では、たった1件の見落としが重大なセキュリティインシデントにつながる可能性があります。
PowerDMARCでは、DMARC・SPF・DKIMを組み合わせたメール認証ソリューションにより、送信者の正当性を確認し、なりすましメールの防止を支援します。

PowerDMARCの主な特長は以下のとおりです。

PowerDMARCを活用して、フィッシング攻撃から組織を守りましょう！

よくある質問（FAQ）

1.フィッシングの兆候を覚えるための覚え方はありますか？
SLAMという覚え方があります。
  • S：Sender（送信者）
  • L：Links（リンク）
  • A：Attachments（添付ファイル）
  • M：Message（メッセージ内容）
この4つを確認する習慣を付けることで、フィッシングメールを見分けやすくなります。
2.フィッシングリンクをクリックしたものの、情報は入力し無かったのですが大丈夫でしょうか？
個人情報を入力していなければ被害の可能性は低くなりますが、安全とは言い切れません。
リンクをクリックしただけで、マルウェアがダウンロードされたり、不正なプログラムが実行されたりするケースもあります。

念のためウイルススキャンを実施し、OSやソフトウェアを最新の状態へ更新してください。
業務用端末の場合は、速やかにIT部門やセキュリティ担当者へ報告することをおすすめします。
3.フィッシング攻撃によく見られる兆候は何ですか？
代表的な兆候として、次のようなものがあります。
  • 緊急性をあおる内容
  • 不審な送信者アドレス
  • 一般的な宛名
  • 不自然な日本語や文法、スペルミス
  • 不審なリンクや添付ファイル
  • パスワードやクレジットカード情報など機密情報の要求
これらが複数当てはまる場合は、フィッシングを疑いましょう。
4.最も一般的なフィッシング攻撃は何ですか？
最も多いのは、銀行や金融機関、配送業者、ECサイトなどを装ったメールフィッシングです。
「アカウントに問題が発生しました」「不正アクセスを検知しました」といった内容で不安をあおり、偽サイトへ誘導して認証情報や個人情報を入力させようとします。
5.フィッシング攻撃にはどのような種類がありますか？
代表的なフィッシング攻撃には、次の5種類があります。
  • メールフィッシング
  • スピアフィッシング
  • スミッシング（SMSフィッシング）
  • ビッシング（音声フィッシング）
  • クローンフィッシング
それぞれ攻撃手法は異なりますが、いずれも利用者をだまして情報を盗み出すことを目的としています。