詐欺SMS・偽メールの見分け方｜インフラエンジニアが実際に見ている4つのポイント

こんにちは、れおなるど・ゆうです🐳

私は食品製造の仕事を9年やったあと、未経験からITインフラエンジニアに転職しました。いまは仕事で毎日、サーバーやネットワークの設定を触っています。

その立場から見ると、個人のスマホやSNSの設定は「初期設定のまま」の人がとても多いと感じます。そして初期設定のままでいちばん困るのは、詐欺やなりすましに遭ったときです。この記事では、私が身内に実際に説明している設定だけを、順番に書いていきます。

「カードが利用停止になりました」ってSMSが来たんだけど、これ本物？

まずリンクは踏まないでください🐳 本物かどうかを判断するより、公式アプリを自分で開いて確認するほうが早くて確実です。本当に停止されているなら、アプリにも出ているはずですから。

結論｜「見分ける」より「踏まない」ほうが確実

最初に身も蓋もないことを言います。最近の偽サイトは、見た目で見分けるのがほぼ不可能です。

本物のサイトをそのままコピーして作られているので、ロゴも文章も配色も同じです。「日本語が変だから偽物」という時代は終わりました。

なので私が家族に伝えているのは、見分け方ではなく行動のルールです。

この1つのルールで、フィッシングの大半は成立しなくなります。相手は「あなたが用意されたリンクを踏むこと」を前提に組み立てているからです。

それでも判断が必要なときに見る4点

① ドメイン（URLの「最初の/より前」だけ見る）

URLはとにかく長くて読む気になりませんが、見るべきなのは最初のスラッシュより前だけです。

たとえば https://example.co.jp.abcd-login.com/mypage の場合、本当のドメインは abcd-login.com です。「example.co.jp」の部分は、あとから好きなだけ足せます。ここを勘違いさせるのが定番の手口です。

読み方はシンプルで、右から見て最初に出てくる区切りが本体です。

② 急かし方

詐欺のメッセージには、ほぼ必ず「時間制限」が入っています。

• 24時間以内にご確認いただけない場合、アカウントを停止します
• 本日中にお手続きください
• 不正なアクセスを検知しました。至急ご確認ください

これは考える時間を奪うためです。落ち着いて確認されたら困るから急かしてくる、と考えてください。

逆に言うと、本物の連絡で「今すぐでないと大変なことになる」ものはほとんどありません。銀行もカード会社も、止めるときは先に止めてから連絡してきます。

③ 届いた経路

「そのサービスに、その連絡先を登録していたか？」を思い出してください。

使っていない銀行から通知が来たら偽物です。当たり前に聞こえますが、大量に送りつけて、たまたま利用者に当たるのを狙うのが基本の手口なので、これだけでかなりの数をはじけます。

④ 要求されている情報

最後に、何を入力させようとしているかを見ます。

暗証番号（4桁）、カードのセキュリティコード、ワンタイムパスワード——このあたりを「確認のため」と称して聞いてくるものは、ほぼ確実に詐欺です。正規の事業者がメールやSMSでこれらを聞くことはありません。

もう入力しちゃった場合は？

順番が大事です🐳 まず①カード会社・銀行に連絡して止めてもらう。次に②同じパスワードを使っている他のサービスを変える。③そのあとで警察相談専用電話（#9110）に相談。
「恥ずかしい」で連絡が遅れるのがいちばん被害を大きくします。窓口の人は毎日そういう電話を受けているので、気にしないでください。

インフラ側から見ると、なぜ詐欺SMSは減らないのか

仕事柄よく聞かれるので、正直に書きます。

メールやSMSの仕組みは、もともと「送信者を名乗るのが簡単」な作りになっています。あとから対策の仕組みが追加されてはいるものの、すべての送信元がきちんと対応しているわけではないので、完全に遮断すると本物まで届かなくなってしまいます。

つまり、技術で全部止めるのは今のところ無理です。だからこそ、受け取る側の「リンクを踏まない」というルールが効いてきます。

家族にも同じこと伝えたいんだけど、どう言えばいい？

ルールを1つに絞って渡すのがコツです🐳 4つのポイントを全部説明すると、たいてい覚えてもらえません。
うちでは「お金とパスワードの話が出てきたら、そのリンクは踏まずに私に見せて」とだけ伝えています。判断は踏まないまま、あとからいくらでもできますから。

まとめ

• 見分けようとしない。リンクを踏まず、公式アプリから開き直す
• 判断が必要なら ドメイン／急かし方／届いた経路／要求された情報 の4点
• ドメインは最初のスラッシュより前だけ見る
• 入力してしまったら、止める → パスワード変更 → 相談の順で、すぐ動く

セキュリティの話は不安をあおる書き方になりがちですが、やることは「リンクを踏まない」の1つだけです。これだけ覚えて帰ってもらえれば十分だと思っています🐳

参考にした情報（出典）

• フィッシング対策協議会（実際に確認されたフィッシングの報告）
• 警察庁 サイバー警察局（サイバー犯罪の手口と相談窓口）
• IPA（情報処理推進機構）「安心相談窓口」（一般利用者向けの手口解説）
• 総務省「国民のためのサイバーセキュリティサイト」
• 金融庁（インターネットバンキングの不正送金に関する注意喚起）

あわせて読みたい：
・LINEの設定で今すぐ見直すべき5つ｜ITインフラエンジニアが家族に説明している順番
・2段階認証とパスキー｜「面倒くさい」を超える価値があるのはどっちか

セキュリティの続き：
・フリーWi-Fiは本当に危ないのか｜偽アクセスポイントという本命
・対策ソフトより先にバックアップ｜3-2-1ルールの家庭版