10月の終わりに、大きな情報流出の発表が続きました。良品計画は10月30日、「MUJIアプリ」で、退会した人も含む最大約2,726万件の顧客情報が流出した可能性があると発表しました。対象はメールアドレス、生年月日、性別です。クラブツーリズムは10月31日、インターネット予約の会員約432万件の個人情報が流出した可能性があると発表しています。どちらも「流出した可能性がある」という発表で、実際に持ち出されたと確定した数ではありません。
情報漏えいの発表のあとに必ず増えるのが、その会社を名乗る偽のメールです。「お詫びとして補償金をお支払いします」「本人確認のためにログインしてください」と書いて、偽のページに誘い込みます。この記事では、届いたメールが本物かどうかを見分ける方法と、Claude(Anthropic社のAI。ブラウザやスマホのアプリで話しかけて使え、無料でも使えます)に相談するときの使い方を紹介します。11月4日時点の情報です。
なぜ漏えいのあとに偽メールが増えるのか
漏えいのニュースが流れると、多くの人が「自分は大丈夫か」と不安になります。そこに会社の名前で「お詫び」や「確認のお願い」が届けば、開いてしまいやすくなります。攻撃する側は、ニュースそのものを入口に使うわけです。
流れたのがメールアドレスなら、そのアドレスに偽のメールが届くこともあります。本物の会社しか知らないはずの情報を知っていても、本物とは限りません。
自分が対象かどうかは、公式の連絡で確かめる
情報漏えいの対象になった人には、多くの場合、会社から個別に連絡が来ます。ただ、その連絡そのものを偽物がまねるので、メールが来たかどうかではなく、会社の公式ページに書かれた確かめ方で確かめます。会員なら、公式のアプリや、自分でブックマークしたページからログインして、お知らせ欄を見るのが確実です。ただ、調査のためにサイトを止めている会社もあります。クラブツーリズムも、発表の時点でホームページを止めていました。その場合は、会社の公式発表に書かれた電話の窓口で確かめます。
退会した人も対象に含まれることがあります。MUJIアプリの件も、退会した人を含む数です。もう使っていないサービスだからと、関係ないと思わないほうが安全です。
会社が「しない」と言っていることを先に知る
いちばん確かな見分け方は、その会社が「メールでは聞かない」と言っていることを知っておくことです。「お名前.com デスクトップクラウド」(FXの取引ソフトを24時間動かすために借りる、インターネット上のWindowsのパソコン)の不正アクセスについてのGMOのお知らせでも、第2報の時点で、メールや電話でパスワードなどを聞くことはないと書かれていました。第6報からは、「被害金を取り戻す」などとして費用を求める連絡には応じないように、という一文も加わっています。
情報漏えいを発表した会社のお知らせページには、たいていこうした注意が書かれています。メールの中のリンクではなく、自分で検索したり、ブックマークから開いたりして、そのページを確かめるのが基本です。
メールで見る点
届いたメールでは、次の点を見ます。
- 送り主のアドレスの、@より後ろが、会社の正しいドメイン(ネット上の住所)か
- パスワードやカード番号、口座番号の入力を求めていないか
- 「24時間以内に」など、急がせる言葉がないか
- 補償金や返金の受け取りに、手数料を求めていないか
- リンクの行き先が、会社の正しいドメインか(パソコンならリンクにマウスを乗せると、画面の端に行き先が出ます)
ただし、送り主のアドレスは見た目だけ本物に似せることができます。全部に問題がなくても、リンクは押さずに、会社の公式ページから確かめるのが安全です。
Claudeに相談するときの頼み方
迷ったら、Claudeに見てもらうのも1つの手です。メールの本文を貼り付けて、次のように頼みます。
次のメールは、情報流出を発表した会社から届いたとされるものです。詐欺のメールに見られる特徴があるか、1つずつ挙げてください。本物かどうかを断定はせず、私が公式ページで確かめるべき点を教えてください。
最後の「断定はせず」が大事です。AIは、メールの文面だけでは本物かどうかを判定できません。見るべき点を洗い出してもらい、最後の確認は自分で公式ページを見て行います。
私も、ある通販サイトの名前で「アカウントの確認のお願い」というメールが届いたとき、この頼み方を試しました。Claudeは、リンク先のドメインが会社の名前に似ているが違うこと、期限を区切って急がせていることを挙げました。自分ではドメインの違いに気づいていませんでした。公式のアプリで確かめると、そのようなお知らせはありませんでした。
Claudeに渡してはいけないもの
相談するときも、次のものは貼り付けないでください。
- メールに書かれた自分の氏名、住所、会員番号などの個人情報(伏せ字にする)
- パスワードや確認コード
- メールの中のリンクを開いた先の画面で入力した内容
メールの本文は、個人情報の部分を「〇〇」などに置き換えてから貼り付けます。見分けるのに必要なのは、文面の書き方と、送り主やリンクのドメインです。
もし入力してしまったら
偽のページにパスワードを入れてしまったら、すぐに本物のサイトでパスワードを変え、同じパスワードを使っている別のサービスも変えます。確認コード(ログインのときにSMSなどで届く数字)を入れてしまったなら、すでにログインされているおそれがあります。パスワードを変えたうえで、ログイン中の端末の一覧を確かめ、多要素認証(ログインのときにパスワードと確認コードの両方を求める設定。各サービスのアカウント設定やセキュリティの画面にあります)を見直します。カード番号を入れたならカード会社に、口座番号や暗証番号を入れたなら銀行に、すぐ連絡します。慌てて別の「相談窓口」を検索すると、そこが偽物のこともあるので、カードの裏面や公式アプリに書かれた連絡先を使ってください。偽のメールそのものは、フィッシング対策協議会に報告できます。お金の被害が出たら、都道府県の警察のサイバー犯罪相談窓口に相談します。
漏れた情報が載ったサイトを見に行く危うさは、別の記事にまとめています。
