「ポイントが勝手に溜まっているなら、とりあえず得なのでは」と思う人は多いです。ただし、身に覚えのない付与のお知らせは、中身を見る前に置き場所を決めたほうがいいメールになる。
この記事は、「【重要】ポイント加算のご報告」のような件名のメールが届いて、開いていいのか迷っている人向けです。ポイントが異様に溜まっていると書かれていても、心当たりがない。そんな状態を想定しています。
読み終わると、送信元アドレスのどこを見れば判断できるか、リンクを開かずにポイント残高を確かめる手順、そして情報を入れてしまった後の動き方が分かります。
身に覚えのないポイント通知とフィッシング詐欺
結論から書くと、身に覚えのないポイント付与のお知らせは、フィッシング詐欺（偽のサイトへ誘い込んで情報を盗む手口）の入り口として最も多い文面の一つです。
ポイントが題材に選ばれるのには理由があります。金額が小さいぶん警戒がゆるみ、「本当に入っているのかな」と確認したくなる。その一瞬の気持ちを狙っています。
実際に出回っている件名には、こういうものがあります。「【重要】ポイント加算のご報告」「お客様のアカウントに5,000ポイントが付与されました」「ポイント引き落としおよび交換完了のお知らせ」「【重要】JRE POINT 20,000ポイント進呈のご案内（有効期限あり）」。付与も失効も交換完了も、狙いは同じだった。
大事なのは、メールが届いた事実だけでは、アカウントが乗っ取られたことにはならない点です。届いただけなら、自分のアドレスにメールが投げ込まれた状態になる。
送信元アドレスと本文で断定できること
- 差出人の表示名ではなく、メールアドレスの@より後ろ（ドメイン）を見る
- ドメインが公式のものと1文字でも違えば、なりすましメールと判断できる
- 本文に不自然な日本語や、全角と半角が混ざった文字がないか
- 関係のない記号が文の途中に紛れ込んでいないか
- 「今すぐ確認」「期限まであとわずか」と急かす言葉が入っていないか
差出人の欄に出る名前は、送る側が自由に決められます。公式の会社名がそのまま表示されていても、それは証拠になりません。判断の材料になるのはドメインのほうだった。
個人的には、送信元アドレスのドメインを先に見るほうが早いです。本文をじっくり読むより、@の後ろを見るだけで終わる話も多い。
ただし、本物そっくりに作られたドメインもあります。似た形の文字を並べて、見た目だけ寄せてくる細工になる。だからドメインの確認は、次に書く残高チェックとセットにします。
断定できないこと：メールが届いた＝情報流出ではない
メールが届いた理由は、大きく2つに分かれます。どこかで自分のアドレスが流出して送られてきた場合と、無作為にばらまかれたメールがたまたま当たった場合です。どちらなのかは、メールを見ただけでは分かりません。
もう一つ、文面や差出人名から「実際にポイントが動いたか」も判断できない。書かれている数字は、送る側が打ち込んだ文字にすぎません。残高が増えた証拠にはならない。
そして、そのメールがどのサービスを騙っているのかも、メール単体では確定させないほうがいいです。ロゴや文面が似ていても、それだけでは決まりません。分かっていない部分は、分かっていないまま置いておきます。
偽サイトを踏まずにポイント残高を確かめる手順
最初の一手はシンプルです。メール内のリンクは開かない。ここさえ守れば、偽サイトにたどり着く道は塞がれます。
確認は、いつも使っているブックマークか公式アプリから行う形になる。自分でアクセスした画面なら、そこは本物です。
- 公式アプリ、またはブックマークからログインする
- マイページでポイント残高を見る
- ポイント獲得履歴と利用履歴に、メールに書かれた分の動きがあるか見る
- 公式サイトの「お知らせ」に、同じ内容の告知が出ているか見る
残高にも履歴にも動きがなければ、メールの文面と実際の中身が合っていないと分かります。反映に少し時間がかかるサービスもあるので、数分ほど置いてもう一度見ると確実になる。
個人情報の入力まで進んでしまったときの動き方
たとえば、リンクを開いたらログイン画面が出てきて、IDとパスワードを入れてしまった。ここまで進んでいた場合は、やることが決まっています。
まず公式サイトか公式アプリから正しくログインして、パスワードを変えます。偽サイトに入れた文字列は、もう使えないものとして扱う。
同じパスワードを他のサービスでも使い回しているなら、そちらも変更が必要です。攻撃する側は、同じ組み合わせを別のサービスで試してきます。
クレジットカード番号まで入れていた場合は、カード会社へ連絡します。カードの裏面や公式サイトに載っている番号にかけて、状況を伝えるだけでいい。停止や再発行の判断は、カード会社側でしてくれます。
受け取ったメールの情報を届けたいときは、フィッシング対策協議会のサイトが窓口になっています。最近報告された手口の一覧も見られる。
まとめ
- 結論：身に覚えのないポイント付与の通知は、ポイントを題材にしたフィッシング詐欺の定番文面です
- 次にやること：送信元アドレスのドメインを見て、リンクは開かず公式アプリかブックマークから残高と獲得履歴を確認する
- 次にやること：偽サイトにログイン情報を入れていたら、パスワード変更とカード会社への連絡を先に済ませる
- 覚えておくこと：メールが届いたこと自体では、アカウント乗っ取りもアドレス流出も断定できない
ポイント残高と獲得履歴を公式アプリで見て数字が動いていなければ、そのなりすましメールは開かずに消して問題ありません。
