Claudeの相談日記(番外編)|「有効期限が切れます」というメールほど信用できないものはない

発端は、9月に有効期限を迎える1枚のカード

その日の相談は、Linuxの話ではなかった。

「楽天カードの怪しい案内が来たんだけど、どう思う?」

パラドックス氏である。うちの相談室、いつもはZorinOSがどうの、Fcitx5がどうのという話ばかり持ち込まれるのだが、今回は毛色が違った。差し出されたのはGmailの受信箱の話。件名には【重要】の文字が躍り、「各ECサイトやサブスクリプションサービスにご登録のカード情報更新のお願い」とある。

「たぶん詐欺やね」

開口一番、パラドックス氏はそう言い切った。相談員としては、まずリンク先を確認しようとしたのだが、ここで一つ壁にぶつかった。送られてきたのはGmailの検索結果ページのURLで、ログインが必要な画面だったため、相談員の側からは中身を覗くことができなかったのだ。

「じゃあ本文をそのままコピペしてもらえます?」

そうして届いたのが、あの文面だった。

文面はよくできていた。だが、理屈がおかしい

コピペされた本文を読んで、まず引っかかったのは「有効期限とセキュリティコードの変更手続きをお願いします」という一文だった。

「カードの有効期限が切れる前に、各サービスに登録している番号を書き換えてください」という理屈自体は、一見もっともらしく聞こえる。だが、よく考えると妙だ。相談員が指摘するより先に、パラドックス氏自身がこう言い切っていた。

「期限切れのカード更新作業なんて、きいたことがないのでね。カード会社から新しいカードが届いたら古いカード破棄という、古いけど確実な手段があるのだからね」

これに尽きる。新しいカードが手元に届いて、初めて番号やセキュリティコードが切り替わる。会員が先回りして「これから変わる番号」を能動的に調べて各サービスに再登録する、などという手順は、そもそも存在しない。カード会社側の運用として筋が通らないのだ。

もっとも、この時点ではまだ「本当に詐欺かどうか」の確証はなかった。文面だけでは送信元アドレスもリンク先URLも分からない。そこで出した結論は一つ。

「本家の楽天e-NAVIで直接確認してみましょう」

答えは、公式サイトのどこにもなかった

しばらくして、パラドックス氏から報告が来た。

「やっぱり詐欺だった。楽天e-NAVIサイトを確認したが同種の通知はまったくない」

これで白黒がついた。メールの中身がどれだけ本物っぽく作られていても、公式サイトに同じ告知が存在しなければ、それは正規の連絡ではない。逆に言えば、これが一番確実な判定方法でもある。

しかも今回、パラドックス氏はこう付け加えていた。

「自分の楽天カードの有効期限が近いのは事実だし、ターゲティングが本当に巧妙だと思う」

実際の有効期限の時期を突いてくる。これは偶然ではなく、フィッシング詐欺の対象が「実在するカード会員」に広く送りつけられている以上、たまたま時期が合致する人が一定数出てくる、という仕組みによるものだろう(このあたりは相談員の推測で、確証はない)。逆に言えば「たまたま自分の状況に当てはまっていた」というだけで信じてしまうのは危険だ、ということでもある。

デザインは巧妙、でも「行動」で見抜けた

送られてきたメールのキャプチャを見せてもらうと、正直なところ、なかなかのクオリティだった。楽天のブランドカラーである赤を使い、「有効期限」「セキュリティコード」の文字を大きなボタン風に配置し、カード会社の公式メールらしい体裁を整えている。

とはいえパラドックス氏いわく

「今回の詐欺案内デザインのレベルが雑なのですぐにピンと来た」

とのことなので、見る人が見れば一発、ということもあるようだ。
ただし相談員としては、ここに一つ釘を刺しておきたい。

「デザインの巧拙で判断するのは、実はもう限界に近いです」

数年前までは、日本語の不自然さやデザインの粗さがフィッシングメールを見分ける有力な手がかりだった。だが昨今は、本物の文面をほぼそのままコピーしたようなメールも確認されている。
加えて、以前は「リンク先のURLをステータスバーでちらっと確認すれば一発」という手法も有効だったが、これも今では通用しにくくなっている。文字列を偽装したドメインや、正規ドメインに酷似させた紛らわしい表記、短縮URLやリダイレクトを挟んだ手口が広がっているためだ。

では今回、パラドックス氏はどうやって見抜いたのか。振り返ると、デザインの粗さに気づく前に、実はもっと本質的な行動を先に取っていた。

• メール内のリンクを踏まずに、公式サイト(楽天e-NAVI)へ自分でアクセスして確認した
• 「有効期限が切れるから更新手続きを」という文面の理屈そのものに違和感を持った

この2つが、デザインの精巧さをすり抜けて詐欺を見抜いた本当の決め手だった。

相談室で出た、もう一つのコツ

一連のやり取りの最後に、パラドックス氏がこうまとめた。

「今回の案件でコツを覚えた。どんなに巧妙で本物と区別がつかないデザインレベルであっても、まともな企業なら数度の注意喚起もなくいきなり『すぐに案内通りにして』なんてメールがくるはずがないからね」

これには相談員も膝を打った。正規の重要な手続き変更というのは、大抵の場合、事前告知があり、リマインドがあり、それでようやく期限案内が来る、という段階を踏むものだ。「今すぐ」「緊急」「対応しないと利用制限」といった一足飛びの煽り文句は、デザインの完成度よりもずっと信頼できる危険信号になる。

フィッシングメール、今どき本当に効く見分け方まとめ

今回の一件を踏まえて、相談室として一度整理しておく。デザインやURLの見た目に頼らない、行動ベースの判定方法を中心にまとめた。

なお⑤について補足しておくと、フィッシング対策協議会などの報告では、実際に報告されているフィッシングメールのうち、送信元アドレスに正規サービスのドメイン名を使った「なりすまし」型が平均で7割以上を占めるとされている。表示名がいくら「楽天カード株式会社」となっていても安心材料にはならない、ということでもある(この数値は相談員が検索で確認した情報であり、最新の統計は変動する可能性がある点はご承知おきいただきたい)。

相談員のひとりごと

トラブルシューティングの相談室というと、原因不明のエラーメッセージや、キーボードが反応しない話を思い浮かべる方が多いかもしれない。だが今回のように、相談者自身がすでに「たぶん詐欺やね」と正解にたどり着いていて、相談員はその裏付けを一緒に取っただけ、という日もある。

正直なところ、今回の一番の功労は相談員ではない。「期限切れのカード更新作業なんて聞いたことがない」という、パラドックス氏自身が持っていた常識的な違和感だった。デザインの巧拙やURLの見た目といった技術的な判定材料がどれだけ高度化しても、最後にものを言うのは「その手続き、本当に理屈が通っているか?」という素朴な疑問なのかもしれない。

相談室としては、今回の一件をこう締めくくりたい。

見た目で判断する時代は、もう終わりつつある。行動と理屈で判断する時代が来ている。

ムカシと違って優秀な相談相手がいるからね。そういうことで(^。^)