microsoftを名乗るスパムメールに確認コードを入れてしまった場合の対処

『account-security-noreply@accountprotection.microsoft.com』から届いたメールのURLを開いて、確認コードを入力してしまった…もうアウト？と思っていませんか。勢いでやってしまった後に気づくパターン、けっこう多いです。

ただ、メールアドレス以外の個人情報を出していないなら、ここから被害を食い止められる範囲は残っています。

この記事では、Microsoftアカウント側で今すぐ見るべき画面と、そのあとにやる手順をまとめました。

まず結論：Microsoftアカウントで今すぐやること

やることはシンプルです。メール内のリンクは二度と開かない前提で動きます。

ブラウザのアドレスバーに『account.microsoft.com』を自分で入力してサインインします。メール本文からはタップしません。これだけで、同じ偽サイトに再度飛ばされるルートは切れます。

確認コードを入れた時点で、パスワード乗っ取りや不正サインインのリスクが残っている状態になる。ただし、メールアドレス以外の個人情報を出していないなら、不幸中の幸いです。住所やカード情報まで抜かれているわけではないからです。

次の章で、実際に見る画面を順番に説明します。

account.microsoft.com にサインインできたら、上部メニューの「セキュリティ」タブを開きます。その中に「サインインアクティビティ」というブロックがあり、そこから「最近のアクティビティ」を開けます。

この画面では、自分のMicrosoftアカウントへの最近のサインインが時系列で並んだ状態になる。日時、国や地域、使われた端末、サインインの種類が一覧で確認できます。知らない国や見覚えのない端末があれば、その履歴を開いて「アクティビティではありません」を選びます。

見るポイントはこの4つです。

「アクティビティではありません」を選ぶと、Microsoft側からパスワード変更をうながされる流れになる。

アクティビティの確認が終わったら、次はこの順で点検します。

パスワードは、コードを入れてしまった端末ではなく別の端末で変えたほうがいいです。その端末にキー入力を盗むソフトが入っていた場合のリスクを減らせます。新しいパスワードは、他のサービスと使い回さない文字列にします。

「セキュリティ情報」は、パスワードを忘れたときの連絡先です。ここに攻撃者のメールや電話番号が勝手に足されていると、リセット手続きを乗っ取られます。覚えのないものは削除します。

「サインイン方法」の画面では、アカウントにひもづいたアドレス（エイリアス）が一覧で出ます。自分が登録した覚えのない文字列が入っていたら、それも削除の対象になる。

そもそも『accountprotection.microsoft.com』というドメインは、Microsoftがセキュリティ通知で実際に使っているものです。ここだけ見ると本物の差出人です。

ただし、差出人アドレスはメール送信側で偽装できる場合があります。本物に見えるアドレスから届いたように見せかけて、本文のボタンやURLだけ偽サイトにつなぐ手口もあります。結果として、送信元ドメインが正しくても中身はフィッシング詐欺、という状態になる。

大事なのは、差出人アドレスだけで本物と判断しないことです。判断はURL側でやります。メール本文のリンクを押す前に、ブラウザで account.microsoft.com を自分で開いて、同じ通知が届いているか見るのが安全です。

個人的にも、Microsoftからのセキュリティ通知はメール内リンクを踏まず、account.microsoft.com を直接開くルールにしています。これだけで偽URLに飛ぶ事故はほぼ防げます。

長くなったので、要点を3つだけにしぼります。

Microsoftアカウントのセキュリティページで最近のアクティビティとサインイン方法を押さえれば、フィッシング詐欺で確認コードを入れてしまった後でも被害を最小化できます。