フィッシングサイトの見分け方｜URLバーの確認方法とSSL証明書の落とし穴
secureフィッシングサイトの見分け方｜URLバーの確認方法とSSL証明書の落とし穴
フィッシング被害がなくならない理由
フィッシングサイトの技術は年々進化しています。一昔前は「ロゴが粗い」「日本語がおかしい」という見た目での判別ができましたが、近年は本物と見分けがつかないレベルの精密さになっています。攻撃者が実際のサイトをコピーし、色合いや配置も完全に再現するため、視覚的判別は困難です。
さらに問題なのは「SSL証明書（鍵マーク）が表示されている詐欺サイト」です。多くの従業員が「鍵マークがあれば安全」と思い込んでいますが、これは誤解です。現在ではどのサイトでも手軽にSSL証明書を取得できるため、詐欺サイトでさえ「https://」で始まり、鍵マークが表示されることがあります。
URLアドレスバーから詐欺を見破るポイント
チェックポイント1：ドメイン名を正確に確認する
フィッシングサイトは、本物のドメイン名に似た名前を使う傾向があります。例えば、本物が「amazon.co.jp」なら、詐欺は「amazon-jp.com」や「amaz0n.co.jp」（ゼロとオーの混同）など、微妙に異なる名前を使います。
最も確実な確認方法は、ドメイン名の「最初から最後まで」を左から右へ確認することです。「amazon」で始まるから大丈夫、ではなく、ドット（.）で区切られた各部分を全て確認する癖がつけば、多くの詐欺を見抜けます。
| 本物のURL例 | 詐欺サイトの例 | 見分けるポイント |
|---|---|---|
| https://www.amazon.co.jp | https://www.amazon-jp.com | 「co.jp」のはずが「jp.com」 |
| https://login.yahoo.co.jp | https://logiin.yahoo-jp.co.jp | 「login」が「logiin」に変わっている |
| https://account.google.com | https://accounts-google.com | サブドメインが複数に分かれている |
| https://www.apple.com | https://www.appl3.com | 「e」が数字の「3」に置き換わっている |
メールからリンククリックして遷移したページでは、すぐに認証情報を入力する前に、アドレスバーの右上にあるURLを上から下まで全文確認する習慣が重要です。
チェックポイント2：「https://」と鍵マークは安全の証ではない
多くの従業員は「https://で始まり、鍵マークがあれば安全」と思いますが、これは真実の一部しか述べていません。
SSL証明書は、「そのサイトが存在していて、通信が暗号化されている」ことを示すだけです。詐欺サイトか本物サイトかは保証しません。例えば、詐欺団体が作った「fake-amazon.com」というドメインを取得し、SSL証明書を申し込めば、「https://fake-amazon.com」というURLで、鍵マークが表示されるサイトが完成します。
鍵マークを確認すべき理由は「通信が盗聴されないか」という安全性であり、「このサイトが本物か」の判定ではありません。
チェックポイント3：メールのリンクを直接クリックしない
一番安全な方法は、メール内のリンクをクリックしないことです。代わりに、自分で正式なサイトにアクセスします。例えば「Amazonに確認してほしいことがある」というメールを受け取ったら、そのメール内のリンククリックではなく、新しくブラウザを開いて「amazon.co.jp」と手入力してアクセスします。
手入力のため手間に見えますが、この手間こそが最強の防御になります。
具体的なチェック手順（実務ガイド）
実際の業務で、メール内のリンクやサイトの真正性を判定する際の手順です。
- メール内のリンククリックの前に、送信者の重要なメールかどうかを判定する。
- もし「アカウントが停止される」「パスワード有効期限が切れる」など、緊急性を煽る内容なら特に注意。
- 送信者のメールアドレスを確認。公式メールアドレスか、外部ドメイン（フリーメール）でないか。
- メール内のリンクは右クリック → 「リンクを新しいタブで開く」を選び、タブを開いてからURLを確認。
- アドレスバーのURLを左から右まで完全に確認。
- 不審な点がなければアクセス。疑わしければ、自分で正式なサイトを検索し、そこからアクセス。
SSL証明書の正しい理解
SSL証明書が「安全性」ではなく「認証」であることを理解することが重要です。
| SSL証明書の種類 | 確認内容 | 偽造難易度 |
|---|---|---|
| DV証明書（最も一般的） | ドメイン所有の確認のみ | 比較的簡単（偽造可能） |
| OV証明書 | 組織情報の確認も含む | 難しい（手間がかかる） |
| EV証明書（組織情報の確認可） | 最厳格な確認 | 非常に難しい |
なお、かつてEV証明書はアドレスバーに組織名が緑色で表示されていましたが、Chrome 77（2019年9月）以降、主要ブラウザではこの緑色のバー表示は廃止されました。現在は鍵マークをクリックして証明書の詳細を開くと組織情報を確認できます。EV証明書であっても、見た目で一目で判別することは難しくなっている点に注意が必要です。
多くの詐欺サイトは「DV証明書」を使うため、一般的なhttpsサイトの中に詐欺が混在している状態です。見た目や通信の安全性では判別できず、URLドメイン名の確認が必須になります。
よくある誤解と実際
従業員研修でよく見られる誤解をまとめます。
- 「鍵マークがあるから安全」→ 間違い。通信が暗号化されているだけで、詐欺サイトの可能性あり。
- 「URLが長いから詐欺」→ 必ずしも。正規サイトも複数のパラメータで長いURLになることがある。
- 「URLが短いから安全」→ 誤解。短いURLであっても詐欺の可能性あり。
- 「公式アプリなら安全」→ ほぼ正しいが、アプリダウンロード時に偽造アプリをインストールさせられる危険あり。
フィッシングサイトに誘導されてしまった場合
万が一、詐欺サイトにアクセスして、パスワード入力画面まで到達してしまった場合の対応です。
- 直後：その画面ではパスワードを入力しない。ブラウザの「戻る」ボタンで戻る。
- 翌日以降：社内セキュリティ部門に報告。アカウントパスワード変更の検討。
- 万が一入力してしまった場合：直後にシステムのパスワードを変更。二要素認証が設定されていれば有効。
- 社内報告：不審なメールやサイトを報告することは「失敗」ではなく「重要な情報」。躊躇わずに報告することが組織全体の防御を高める。
よくある質問
まとめ
フィッシングサイトの見分け方は、シンプルな原則に基づいています。メール内のリンクを直接クリックしない、アドレスバーのURLドメイン部分を最後まで確認する、の2点を実行するだけで、多くの詐欺を避けられます。
技術的なセキュリティ対策は企業側で対応しますが、最後の防線は従業員の判断力です。一人ひとりが詐欺を見抜く眼を持つことが、組織全体のセキュリティリスクを大きく下げることになります。
参考：Anti-Phishing Working Group「Phishing Activity Trends」、国立研究開発法人情報通信研究機構（NICT）「サイバー脅威インテリジェンスレポート」、日本ネットワークセキュリティ協会「情報セキュリティインシデント報告」
