パソコンを便利に！！

先日、三菱東京ＵＦＪ銀行からメールが届きました。

三菱東京ＵＦＪ銀行が本当に送ってきた「重要なお知らせ」というものではなく、いわゆるフィッシングメールというやつです。
メールを受け取った人をだまして、IDとパスワードを盗もうとするものです。



冷静に見ると、いろいろな所が怪しすぎるメールですが、銀行からの重要なお知らせとあると、うっかりダマされてしまう危険性もあると思います。

私の分かる範囲でですが、詳しく見ていきます。


＞ 件名：重要なお知らせ
＞ 差出人：【三菱東京ＵＦＪ銀行】（self_diet@yahoo.co.jp）

たいていのメールソフトで同じだと思いますが、差出人のところに差出人のメールアドレスが表示されます。
今回は「self_diet@yahoo.co.jp」でした。

メールアドレスのうしろの方が「@yahoo.co.jp」となっているのは、ヤフーのフリーメールのアドレスです。
銀行がそのようなものを使うはずがないですし、しかも重要なお知らせとなると、なおさらです。

これだけでも、偽物のメールと判断できます。


＞ 宛先：○○○○@yahoo.co.jp

次に宛先のメールアドレスです。
これが、実際にこのメールが届いた私のメールアドレスとは、違うものになっています。
（上の画像では、前の方を見えないように塗りつぶしています）

なぜ宛先と違うメールアドレスに届くのかは、このメールのソースを見ると分かります。
私の使っている Wndows Live メールというソフトだと、メールの一覧が見えるところで、そのメール上で右クリックして、「プロパティ」の「詳細」タブでソースが表示できます。





ソースを見ると、１行目の「X-Apparently-To:」のところに、私のメールアドレスがありました。

どういうことかというと、メールソフトの「TO:（宛先）」に入れたメールアドレスが、表に見えている宛先に表示されていて、「BCC:」に入れたメールアドレスが「X-Apparently-To:」となって、そのアドレスにメールが届いているという状態です。

今回のメールの場合、TO:（宛先）のメールアドレスと私のメールアドレスは、最初の4文字が同じでその後ろが少し違っています。
恐らく「BCC:」には、このように後半を少し変えたメールアドレスをたくさん入れて、同時送信しています。

怪しいメールかどうかは、宛先に表示されたメールアドレスが自分のものでないということで、判断できると思います。

加えて考えられることは、こういうフィッシングメールが届きにくいメールアドレスは、「@yahoo.co.jp」の前の部分をアルファベットと数字を使って、ランダムで長めにしておけばいい、ということになりそうです。


＞ 本文：
＞
＞ こんにちは！
＞ 最近、利用者の個人情報が一部のネットショップサーバーに不正取得され、
＞ 利用者の個人情報漏洩事件が起こりました。
＞
＞ お客様のアカウントの安全性を保つために、「三菱東京ＵＦＪ銀行システム」が
＞ アップグレードされましたが、お客様はアカウントが凍結されないように
＞ 直ちにご登録のうえご確認ください。

続いて本文ですが、

普通に考えて、銀行で「利用者の個人情報漏洩事件」が起きているというのに、「こんにちは！」と元気よく始めるのは、ないですよね (^_^;

これだけで、怪しすぎます。

きっと、外国人が日本語の文章を作ったものだろうなと思います。
ただし、唐突な「こんにちは！」を除けば、英文を翻訳ツールで翻訳したような不自然なものではなく、かなり自然な日本語になっていると思います。

そのうちには、本文だけでは怪しいメールかどうか判断できないようなものが、送られてくるようになるかもしれません。


＞ 以下のページより登録を続けてください。
＞
＞ ログイン - 三菱東京UFJ銀行

「ログイン - 三菱東京UFJ銀行」のところのリンク先は、マウスカーソルをその上に移動させるとメールソフトの左下あたりに表示されます。
（メールソフトによって、少し違うかもしれません）

今回は、「http：//bk.muf・・・（後半は省略）」というようなものでした。

これも、とても怪しいと言えます。

通常、ログイン時にIDやパスワードを入れさせるようなウェブページは、「https://」で始まるアドレスになっています。
「https」というのは、なりすましや盗聴などを防ぐために、認証・通信内容の暗号化・改ざん検出などを行うもので、安全性が高いということになります。

銀行のようなところで「http」でログインさせるというのはあり得ないですが、銀行でなくても IDやパスワードを入れさせるページで、「https」になっていない場合は、疑った方がいいです。

ただし、最近は「https」を誰でも簡単に使えるようにしようという動きがあるので、そのうちには、このようなフィッシングメールでも、「https」を使うようになるかもしれません。
単に「https」だから信頼できると、言えなくなるかもしれないです。


だます方は徐々に巧妙になって、だまされないようにするのも難しくなってきますが、少しでも怪しいと感じるような癖を付けておくといいかなと思います。

そして、怪しいと感じたら、「三菱東京ＵＦＪ銀行　重要なお知らせ」などのようにして、ウェブ検索してみてください。
いろいろな人が情報を書いてくれているはずです。