フィッシングの見分け方と初動 — AI時代のメール・電話・QRコード対策

フィッシングとは：依頼の正当性を別経路で確認する

フィッシングは、信頼する相手を装って認証情報、送金、添付の実行等へ誘導する詐欺です。メールに限らず、SMS、電話、QRコード、チャットでも起こり得ます。自然な文章や聞き覚えのある声は、本人確認の代わりになりません。

最初に行うのは、依頼された操作を止め、登録済みの連絡先や公式アプリ等の独立した経路で確認することです。AI生成かを判定できなくても、この確認はできます。会社のメールなら指定の窓口へ報告してください。

メール・電話・QRコードで確認すること

• メール：表示名だけでなく、送信元、返信先、依頼内容、従来のやり取りとの差を見る。
• SMS・チャット：配送・支払い・認証の通知を公式アプリや既知の窓口で確認する。
• 電話：急な送金・認証コードの要求は中断し、依頼中に示された番号ではなく、事前に知っている連絡先へかけ直す。
• QRコード：読取先と利用するサービスを確かめる。貼られている場所やロゴだけで信用しない。

これらは疑わしい点を探す観点であり、単独で「安全」「攻撃」を確定するものではありません。正規のアカウントが侵害されている可能性もあるため、重要な変更・送金は別経路と承認手順で確認します。

URLとHTTPSの限界

URLのホスト名は、パスや表示テキストとは別です。例えば service.example.com と service.example.com.example.net は別のホストです。この例は予約ドメインを使った合成教材であり、開くためのリンクではありません。

「最後のドットの直前が所有者」と機械的に判断する方法は、co.jp 等の複合的な公開サフィックスでは成立しません。短縮URLやUnicode表示もあるため、読めない場合はリンクを開かず、公式アプリ・保存済みブックマークへ移動します。

HTTPSは通信の保護であり、商取引や依頼の正当性を保証しません。証明書の警告は回避しないでください。

クリック・入力・実行・送金後の初動

業務アカウントは情シス・インシデント担当と対応を調整します。パスワードの変更だけで、盗まれたセッションやアプリへの同意まで必ず無効になるわけではありません。FTCの案内も、提供した情報や行った操作に応じた対応を示しています。

記録するのは受信日時、相手が名乗った内容、依頼、行った操作、報告先、対応結果です。パスワード、確認コード、個人情報をチャットへ転載しないでください。証拠を独断で削除したり、危険な添付を他人に転送したりしないようにします。

予防策とよくある誤解

MFAを設定しても、確認コードを渡す、意図しない承認を行う、復旧経路が侵害される等の問題は残ります。パスキー等のフィッシング耐性を持つ方式でも、認証後のセッション・端末・権限を管理します。

パスワードマネージャーの自動入力は気づきの手掛かりになりますが、製品や設定によって動作は異なります。入力されなかった時に手動で秘密を貼り付ける前に、サービスを確認してください。

「誤字がないから安全」「AI検出ツールが人間作成と判定したから安全」「声が本人だから送金してよい」という判断は避けます。安全な報告と別経路確認を、利用者の注意だけに任せず組織の手順にします。

次に読む・練習する

不審メールの演習、MFAの選び方、パスキーの復旧確認、AI時代のフィッシング対策へ進めます。