友達のアカウントから「コンテストのアンバサダー候補になったから、私に投票してくれない？」というDMが届いた。送り主は知っている名前なのに、文面だけがいつもと違う。画面を開いたまま、指が止まった人向けの記事です。
先に結論を書くと、この手のDMはなりすましDMの典型的な文面になります。ただし、その友達のアカウントが本当に乗っ取られたのかどうかは、DMの文面だけでは分かりません。
この記事では、断定できることとできないことを分けたうえで、リンクを開く前に見る確認ポイントを整理します。Instagramのどの設定画面を開けばいいかも書きます。
なりすましDMで断定できることと、できないこと
「私に投票してくれない？」「投票用のコードを送るから電話番号を教えて」。この2つの文面は、詐欺の型として断定していいです。まともなコンテストが、友達のDM経由で電話番号や数字コードを集めることはありません。
一方で、断定できないこともある。そのDMを送ってきたのが友達本人のアカウントなのか、という点です。アカウント乗っ取りに遭った本人のアカウントから送られている場合もある。名前とアイコンだけまねた、別のアカウントという場合もある。文面だけでは区別がつきません。
ここで危ないのが、文章が丁寧か雑かで本人かどうかを決めてしまうこと。ソーシャルエンジニアリング（人の心理を突く手口）は、本人の口調や絵文字の癖までまねてきます。いつもの言い回しだから本人、という決め方は通用しません。
とはいえ、分からないままでも動けます。リンクは開かず、コードも教えない。この2つはどちらのケースでも共通の行動になる。
フィッシング詐欺で使い回される文面と、踏み台にされる流れ
実際に出回っている文面は、だいたいパターンが決まっています。
- 「コンテストのアンバサダー候補になったから、私に投票してくれない？」
- 「投票用のコードを送りたいから、あなたの携帯電話番号を教えて」
- 「アカウントが停止される予定です」
- 「本人確認が必要です」
- 「著作権侵害の警告」
上の2つは友達を装ったアンバサダー投票の型。下の3つは、Instagram公式を装った警告の型になる。
流れはこうです。DMのリンクから、Instagramそっくりの偽ログインページに飛ばされる。そこでIDとパスワードを入れると、その情報がそのまま相手に渡ります。さらに「本人確認」の名目で、SMS認証コードまで聞き出される作りになっている。
入られたアカウントは、そのまま踏み台になります。フォロワーや友達リストへ、同じなりすましDMがばらまかれていく。今あなたに届いたDMも、その一周分だったという形です。
覚えておきたいのは、Instagram公式からの大事な連絡はアプリ内の通知が基本という点。DMのリンクからログインを求めてくることはありません。判断の基準はInstagramで詐欺に遭わないようにする（Meta公式）のページにまとまっています。なお、届いた1通ずつを公式が「これは詐欺です」と判定してくれる窓口はない。だから自分側の確認で決めることになる。
リンクを開く前に見る3つの確認ポイント
やることは3つだけ。
大前提として、確認をDMの中で完結させないことです。相手が本人でないなら、そのDMで「これ本当？」と聞き返しても、返ってくるのは相手の都合のいい返事になる。確認は必ず別の道でやります。
本人とすぐ連絡がつかない時もあります。それでも、コードを教えたりリンクを開いたりしないという前提は変えません。
- リンクはタップしない。長押しのプレビューも避ける。URLの文字列がInstagramの公式ドメインかどうかだけを目で見る
- 電話やLINEなど、Instagramの外の連絡手段で「インスタのDM送った？」と本人に聞く
- 自分のアプリで、設定 → アカウントセンター → パスワードとセキュリティ → ログインアクティビティ の順に開く。そこに身に覚えのない端末が並んでいないか見る
個人的には、まずメッセージ内のリンクを絶対に開かないと決めておくだけで、残りの判断はかなり楽になります。
SMS認証コードと二段階認証まわりで一番危ないところ
一番多いのが、これ。「投票用のコードを送ったから、届いた数字6桁を教えて」と言われて、そのまま返信してしまうケースです。送り主は友達の名前。しかも「投票のため」という理由までついている。だから疑わずに送ってしまう。
でも、その数字はInstagramから届いたSMS認証コードです。これは自分のアカウントに入るための鍵になる。誰かに渡す前提のものではありません。コードを教えた時点で、相手は自分のアカウントにログインできてしまう。
だから二段階認証は、SMSではなく認証アプリの方式にしておくほうがいいです。認証アプリはスマホの中でコードを作ります。そうすると「コードを教えて」と聞き出す手口自体が通じにくくなる。
すでにコードを教えた場合や、偽のログイン画面にパスワードを入れてしまった場合は、順番があります。先にパスワードを変える。次にログインアクティビティを開いて、知らない端末をすべてログアウトさせる。この2つが先で、友達への連絡や投稿での告知は後でいいです。
まとめ：DMが来る前に、見る場所を決めておく
DMが届いた瞬間に本物か偽物かを当てようとしても、材料が足りません。だから、見る場所をあらかじめ決めておく話でした。
- 結論：友達から届いた「投票して」「認証コードを教えて」というDMは、なりすましDMの典型的な文面です
- 結論：ただし、その友達のアカウントが乗っ取られたのか偽アカウントなのかは、DMだけでは断定できない
- 次にやること：リンクをタップせず、電話やLINEなど別の手段で本人に確認する
- 次にやること：自分のログインアクティビティを開き、知らない端末が並んでいないか見る
- 覚えておくこと：SMS認証コードは誰にも教えない。二段階認証は認証アプリ方式にしておく
なりすましDMが来たら、投票のリンクは開かない。代わりにログインアクティビティと二段階認証の設定画面を先に開く。そう決めておくと迷わなくなる。
