第7回では「パスワードを盗まれた後」を守る多要素認証（MFA）をご紹介しました。しかし、もう一歩手前の問題があります。そもそも「なぜパスワードが盗まれるのか」を知ることが、最も効果的な防衛になります。

「自分はフィッシングに引っかからない」
「不審なメールはすぐわかる」
「うちの学校宛てにそんなメールは来ない」

最新のフィッシングメールは、見た目だけでは本物と区別がつかないレベルに進化しています。「だまされない自信」が最も危険です。判断基準を身につけることが唯一の防御です。

フィッシングとは、実在する組織（文部科学省・Google・銀行など）や知り合いを装ったメール・SMSで、偽のサイトに誘導してIDやパスワードを入力させて盗んだり、マルウェアをダウンロードさせたりする手口です。ソーシャルエンジニアリング（人の心理を突く攻撃）の代表的な手法です。
　
　

※以下のメール画面や添付ファイルは、フィッシングメールの手口をわかりやすく説明するために作成したサンプルです。
記載されている名称、本文、文書、ファイル名、画面デザイン等はすべて架空であり、実在する企業・学校・団体・サービス・システムとは一切関係ありません。

（画像をクリックして拡大）

Googleは実際にセキュリティ通知メールを送りますが、正規のメールはGoogleが所有するドメイン（例：@accounts.google.com、@google.com など）から送信されます（次セクションの確認ポイント①参照）。ドメイン確認で本物と偽物を見分けられます。

（画像をクリックして拡大）

典型的な手口です。実際の文科省の通知は公式サイトや教育委員会経由で届き、メールのリンクから直接入力を求めることはほとんどありません。

（画像をクリックして拡大）

クラウドストレージに見せかけたリンクやHTMLファイルでの偽ログイン画面への誘導が近年の主流です。メールセキュリティをすり抜けやすい手口です。
※ 添付ファイルからのランサムウェア感染も引き続き発生しています。不審なファイルは絶対に開かないでください。

なぜ学校が狙われるのか

学校・教育委員会は、児童生徒・保護者・教職員の個人情報を大量に持っています。また、民間企業と比べると限られた人員・予算で運用しているケースも多く、攻撃者にとって狙いやすいターゲットになりやすいのが実情です。「うちの学校は規模が小さいから関係ない」という認識は誤りです。

完璧に見分けることは難しくなっていますが、冷静に確認することで多くのケースを防ぐことができます。メールやリンクを開く前に、以下を確認する習慣をつけましょう。

「表示名」は誰でも自由に設定できます。必ず「＠以降のドメイン」を確認しましょう。Googleからのメールなら @google.com、文部科学省なら @mext.go.jp です。GoogleやMicrosoftなどの大手サービスが @gmail.com や見知らぬドメインからメールを送ることは原則としてありません。なお送信元ドメインの確認は第一歩ですが、高度な偽装ではドメインが正しく見えることもあるため、他のポイントと合わせて総合的に判断することが重要です。

PCではリンクにカーソルを乗せると画面下部に遷移先URLが表示されます。スマホでは長押しするとURLを含むメニューが表示されますが、アプリによって操作が異なります。確認したいときはURLをコピーしてテキストとして見るのが確実です。偽ドメインは「数字の1とアルファベットのl（エル）の混用」「見た目が酷似した別の文字（キリル文字など）への置き換え」など巧妙な手口が使われます（例：goog1e-login.com、googlе.com）。正規ドメインそのものに見えても安心せず、他のポイントと合わせて総合的に判断しましょう。スマートフォンではリンクを長押しして確認する方法もありますが、誤って開いてしまうことがあります。怪しいメールはリンクに触れず、公式アプリやブックマークから直接サービスを開いて確認する方法が最も安全です。

焦りを作り出して冷静な判断を奪うのがフィッシングの常套手段です。「期限が迫っている」と感じたら、それがまさに操作されているサインです。正規のサービスが急ぎの通知を送ることはありますが、メール内のリンクから直接IDやパスワードの入力を求めることはほとんどありません。「今すぐこのリンクからログインして」という誘導があれば危険なサインです。

知り合いからのメールでも、添付ファイルは要注意です。①送信者のアカウントが実際に乗っ取られているケース、 ②アカウントを乗っ取らずに送信元アドレスを偽装するケース（From偽装：送信元アドレスのなりすまし）の2種類があります。後者はパスワード変更では対処できません。いずれも、別の手段（電話やSlackなど）で「本当に送りましたか？」と直接確認するのが最善です。

正規のサービスが、メールやSMSのリンクから現在のIDやパスワードの入力を求めることはほとんどありません（パスワードリセットメールでの新パスワード設定は例外）。「こちらから再認証を」「現在のパスワードを入力して確認を」という誘導があったときは、リンクを踏まず、ブラウザで直接公式サイトのURLを入力して確認しましょう。

完璧な人間はいません。フィッシングに引っかかってしまっても、素早い対応で被害を最小化できます。「やってしまった」と思ったら、隠さず即座に行動することが重要です。

【注意】何をしてしまったかによって初動が異なります

・偽サイトにIDやパスワードを入力した場合
　→ 下記STEP1〜5を実施
・不審な添付ファイルを開いてしまった場合
　→ まず端末をネットワークから切り離し、管理者に連絡
　　（マルウェア感染の可能性があるため、端末の使用を続けると被害が広がります）

• STEP 01 

入力したアカウントのパスワードを即座に変更します（リンクはメールから踏まず、ブラウザで直接公式サイトを開いて変更）。同じパスワードを他のサービスでも使っていた場合は、そちらも変更が必要です。
※学校のシステムでパスワードが一括管理されていて自分で変更できない場合は、大至急管理者にアカウントの停止とパスワードのリセットを依頼してください。

• STEP 02 

「恥ずかしい」と隠すと被害が広がります。学校の情報担当・教育委員会に速やかに報告し、組織として対応します。

• STEP 03 

GoogleやMicrosoftのアカウント設定からログイン履歴を確認できます。身に覚えのないアクセスがあれば、すぐに管理者に連絡します。管理者は管理コンソールでアカウントの一時停止や、必要に応じてログイン状態の無効化（強制ログアウト）を実施します。

• STEP 04

攻撃者はログイン後、あなたのメールを外部に自動転送する設定や、システムからの警告メールを自動で「ごみ箱」に捨てるルールをこっそり仕掛けることが非常に多いです。パスワードを変更してもこれらの設定は残るため、メールの設定画面から見知らぬ転送ルールが追加されていないか必ず確認してください。

• STEP 05 

MFAが未設定であれば今すぐ設定します。MFAは不正ログインへの重要な防壁ですが、セッション情報ごと盗む高度な攻撃も存在します。設定後も不審なログイン通知の確認を続けることが重要です。

最新のフィッシングは技術的な対策だけでは完全に防ぎきれません。最後の砦は「人間の判断力」です。5つの確認ポイントを習慣化し、学校全体で「引っかかっても即報告できる文化」を作ることが、最も効果的な防御になります。

迷ったらメールのリンクは使わず、いつもの方法（ブックマーク・公式アプリ）からアクセスする
——これだけでも多くのフィッシング被害を防げます。

確認してみましょう

この記事の著者