「情報漏洩のお詫びメール」本物と詐欺の違いは？事実確認はメール内のリンク経由ではなく公式サイトで！

最近、大手サイトや身近なサービスで「顧客情報の漏洩・流出」というニュースをよく目に、耳にします。

時を同じくして、「不正アクセスのお詫び」「個人情報流出に関するお詫びとお知らせ」といったメールが届くようになっていませんか。

その場合、中に企業のロゴが入っているなど、いかにも公式っぽい見た目だと、つい信用してメールに書かれている通りのアクションを起こしたくなると思います。

けれど、焦りは禁物。実は、そういったメールの中には、個人情報を盗み取ろうとするフィッシング詐欺メールが多数紛れ込んでいます。そして、詐欺メールに勧められるがままに行動し、結果的にこれまで安全に守られていた情報が盗まれてしまったのでは、本末転倒もいいところです。

そこで今回は、最近増えている「不正アクセス・情報漏洩に関するお詫びやお知らせメール」の本物と詐欺の決定的な違いと、騙されないための安全な事実確認の手順を分かりやすく解説します。

どこで見分ける？怪しい「お詫びメール」の決定的な特徴

本物の通知メールvs.詐欺（フィッシング）メール。

どれほど公式そっくりの見た目でも、詐欺メールには「怪しいサイン」が必ず隠れています。届いたメールに次のような特徴がないか、まずきちんとチェックしてみてください。

差出人のメールアドレスが「公式ドメイン」と似てはいるが異なっている
- 表示名が「〇〇株式会社」になっていても、差出人の実際のメールアドレスを確認してください。公式はsupport@company.com なのに、届いたメールが以下のような場合は確実に詐欺です。
  - support@company-security-info.com
  - websupport@company.com
  - 全く関係のない無料アドレス（gmail.com など）
不安を煽って手続きを急がせたり、連絡手段を制限する
- 以下のような文面は詐欺の常套手段です。本物のお詫びメールが、数時間単位の期限を設けてユーザーを脅したり、事実確認の方法を制限することはありません。
  - 「24時間以内に対応しないとアカウントが凍結されます」
  - 「ご相談は、このメールへの返信でのみ受け付けております」
  - 「至急、以下のリンクから今後の対応についてご確認ください」
メール内で「パスワード」や「クレジットカード情報」の再入力を求めてくる
- 情報漏洩が起きた際、企業が「メールのリンク先」で直接パスワードやカード番号、暗証番号などの入力を求めることは原則ありません。これらを要求されたら100%詐欺だと疑ってください。

「アドレスも公式っぽいし、文面にある『特設相談窓口』のURLならクリックして確認しても大丈夫なのでは？」と思われるかもしれません。

けれど、正しいアクションは「たとえ本物のようでも、メール内のリンクは踏むな」です。

理由はいたってシンプルです。最近のフィッシング詐欺サイトは、本物の企業のデザインやロゴ、相談窓口の画面等を丸ごとコピーして作られています。画面を見ただけでは、セキュリティの専門家でも本物か偽物かを見分けるのは不可能です。

ただ、正確に言えば、偽の相談窓口リンクをクリックしただけなら、まだ被害を未然に防げます。けれど、クリックした瞬間「本人確認のため」と称してログインIDやパスワードを要求され、個人情報を入力してしまったら、詐欺師の手に落ちてしまったと考えて間違いありません。

では、こういった「情報漏洩・流出」「不正アクセス」関連のメールが届いたときには、どうすればいいのでしょうか。

もっとも安全なのは、メールを一度閉じて「公式サイトの窓口から直接確認する」ことです。

具体的な手順は以下の3ステップです。

メール内のリンクは一切無視する
届いたメールはいったん閉じ、そこに記載されているURLやボタン、返信用の宛先は一切使いません。
ブラウザの検索やブックマークから公式サイトへ行く
GoogleやYahoo!などで該当の企業名（例：「〇〇株式会社公式」）を検索するか、普段から使っている公式アプリ、または事前に登録してあるブックマークから公式サイトのトップページにアクセスします。
公式の「重要なお知らせ」や「問い合わせ窓口」を確認する
本当に情報漏洩が起きている場合、公式サイトのトップページや「重要なお知らせ」に、本物の特設ページや正しい問い合わせ窓口（電話番号や専用フォーム）が必ず掲載されています。不安な場合は、そこから事実確認の連絡を入れましょう。