ITサポートに届く相談で、近年ダントツに多いのがこれです。

• 「このメール、本物ですか？」
• 「ログインしたら変な画面になって…」
• 「SMSのリンクを押しました…」

そして、ほぼ必ず出る言葉👇

DAY43では、
なぜだまされるのか／どう見抜くのかを
実際によくある手口で学びます。

まず結論です。

• ✅ フィッシングは"だまし"
• ✅ セキュリティソフトでは防げない
• ✅ 心理を突いてくる
• ✅ URL確認が命
• ✅ 早期連絡が被害を止める

📊 今日のゴール

• ✅ フィッシング詐欺の定義と手口を理解する
• ✅ マルウェアとの違いを知る
• ✅ 実例3パターンで手口を体験する
• ✅ だまされる心理メカニズムを理解する
• ✅ 見抜き方5点と対応方法を覚える

📝 DAY43まとめ

• フィッシング詐欺とは：本物を装ってID・パスワード・クレジット情報を盗む詐欺。狙うのはDAY41の"守るべき情報"そのもの
• 統計：2024年月平均132万件（APWG、+27%）、日本年間120万件（+35%）。被害額約80億円（+52%）、1件平均85万円。過去最多更新中
• 標的業種：金融42.3%、EC・決済28.5%、配送15.8%。日常的に使うサービスを装うため全員が標的
• マルウェアとの違い：マルウェア=プログラムで侵入・技術的攻撃、フィッシング=人をだます・心理的攻撃・自分で入力させる。セキュリティソフトをすり抜ける
• なぜ防ぎにくい：フィッシングサイト平均寿命15時間、86%が初回アクセス時ブロックされない。人間の判断が最終防衛線だが見破れるのは45%のみ
• 正規サイト改ざん：正規サイトが改ざんされるケース+28%。有名サイトでも安全とは限らない
• 実例①メール型：「不正アクセス検知」「24時間以内」「アカウント停止」。偽ドメイン（amazon-notify.com）、偽URL（amazon-verify-secure.com）、緊急性の煽り、一般的呼びかけ
• 実例②偽ログイン画面：見た目本物そっくり、URL微妙に違う。amaz0n.co.jp（0とo）、amazon-login.com（別ドメイン）、amazon.co.jp.verify-secure.com（サブドメイン偽装）。DAY32復習
• 実例③SMS型（スミッシング）：最近急増（相談18万件、+215%）。荷物不在、料金未納、アカウント確認。短文、スマホで確認困難、焦らせる設計。SMS開封率98%（メール20%）
• スミッシング被害連鎖：不正アプリインストール→SMS送信機能乗っ取り→被害者が加害者に→連絡先全員に自動送信→端末情報全て盗まれる
• 対策：SMSリンククリック厳禁、公式アプリ・Webサイトから直接確認、不在票は物理的な紙で確認。正規宅配業者はSMSで再配達依頼させない
• 心理トリガー5つ：①不安（不正アクセス）、②焦り・緊急性（24時間以内）、③権威（警察庁・銀行）、④恐怖（停止・訴訟）、⑤好奇心・お得感（当選・無料）。判断力を落とす
• 社会工学：技術ではなく人間心理悪用。チャルディーニの6原則（返報性・一貫性・社会的証明・好意・権威・希少性）全て悪用される
• ストレス下の判断ミス：不安・焦りで前頭前皮質（理性）機能低下、扁桃体（感情）優位。「24時間以内」等は意図的にストレス生成し冷静な判断妨げる
• 権威への服従：ミルグラム実験が示すように人は権威に盲目的に従う。警察庁・国税庁・銀行等を名乗り疑問持たせず指示に従わせる。フィッシングの73%が権威利用
• 見抜き方5点：①URLは正しい？、②いきなり入力させてない？、③緊急を煽ってない？、④日本語が不自然？、⑤メールから直接ログインさせてない？。1つでも怪しければNG
• 引っかかったら：①パスワード変更（別端末から全サービス）、②ITサポート連絡（状況報告・被害範囲確認・指示）、③二次被害確認（不正ログイン・請求・情報変更）
• やってはいけない：①黙る（報告遅延=被害拡大）、②放置（「大丈夫だろう」が一番危険）、③自己判断で解決（被害範囲見誤る）
• 報告タイミングと被害額：①即座（1時間以内）：32万円、②当日（24時間以内）：68万円、③翌日以降：125万円。即座報告で75%削減
• 二次被害連鎖：被害の47%が二次被害に。①同パスワード他サービス不正ログイン、②盗まれたアカウントから友人・同僚へフィッシング送信、③クレカ不正利用
• 黙る理由：恥ずかしい38%、怒られると思った27%、大事にしたくない23%。報告しないと①被害拡大、②同僚も被害、③会社全体リスクに
• ITサポートの伝え方：NG「なんで押したんですか？」（責める→報告されなくなる）。OK「最近多い手口です」「すぐ教えてくれて助かりました」。再発防止につながる