鍵マークが付いていても偽サイトのことがあります｜フィッシングの3つの手口

本記事には広告・アフィリエイトリンクが含まれています。

結論：鍵マークが付いていても、偽サイトのことがあります

総務省「国民のためのサイバーセキュリティサイト」の記載です。

WebブラウザのURLに鍵マークが表示されているにもかかわらず、フィッシングサイトであるケースが増えています。鍵マークには、Webサイトとの通信が暗号化されているという意味と、Webサイトを運営している組織が実在しているといった全く異なる意味がありますが、いずれも同じように表示されています。鍵マークだけで安心せず、より詳しく、もしくは他の方法と組み合わせて確認しましょう。

「鍵マークがあれば安全」と覚えている方は多いのですが、鍵マークは「暗号化されている」ことしか保証しません。偽サイトでも暗号化はできます。

1. フィッシング詐欺の定義

フィッシング詐欺とは、送信者を詐称したメールやSMSを送りつけ、貼り付けたリンクをクリックさせて偽のホームページに誘導することで、クレジットカード番号やアカウント情報（ユーザID、パスワードなど）などの重要な情報を盗み出す詐欺のことです。

語源も説明されています。

フィッシングはphishingという綴りで、魚釣り（fishing）と洗練（sophisticated）から作られた造語であるといわれています。

2. 手口は3つに整理されています

(1) 電子メールやメッセージ機能で誘導

典型的な手口としては、クレジットカード会社や銀行からのお知らせと称したメールなどで、巧みにリンクをクリックさせ、あらかじめ用意した本物のサイトにそっくりな偽サイトに利用者を誘導します。

(2) SNSなどの情報で誘導

SNSの投稿サイトにURLを載せ、クリックさせて誘導します。短縮URLを悪用し、一読しただけではアクセス先のURLが分からないものが多いため注意が必要です。

(3) URLを本物に見せかける

ここが具体的です。

例えば、アルファベットの（オー）o を数字の 0 にしたり、アルファベットの大文字の(アイ) I を小文字の（エル） l にしたりして、閲覧者が見間違えるのを待ちます。

フォントによっては大文字のIと小文字のlはほぼ同じ形です。目視では区別できません。

3. 対策は「自分から行く」こと

金融機関のID・パスワードなどを入力するWebページにアクセスする場合は、金融機関から通知を受けているURLをWebブラウザに直接入力するか、普段利用しているWebブラウザのブックマークに金融機関の正しいURLを記録しておき、毎回そこからアクセスするようにするなど、常に真正のページにアクセスすることを心がけましょう。

メールのリンクを踏まない。これに尽きます。ブックマークから行く、アプリから行く、という運用にすれば、URLを見分ける必要そのものがなくなります。

アプリについても記載があります。

事業者が提供している正規のスマホアプリを利用することも有効です。スマホアプリをダウンロードする際は正規の提供元（Google Play や AppStore）から入手してください。

4. 確認するときの注意

金融機関などの名前で送信されてきた電子メールやSMSなどのメッセージの中で、通常と異なる手順を要求された場合には、内容を鵜呑みにせず、金融機関に確認することも必要です。

ただし、電子メールに記載されている相手の情報は正しいものとは限らないため、電話をかける場合には必ず正規のWebサイトや金融機関からの郵便物などで連絡先の電話番号を調べるようにしてください。

メールに書かれた電話番号にかけてはいけません。訪問販売や電話勧誘で「自分で調べた番号にかける」のと同じ構造です（電話勧誘の記事）。

5. サロンや店舗で気をつけること

個人の被害だけでなく、事業として持っている情報も対象になります。

  1. 予約サイトやSNSの管理画面のURLはブックマークから開く
  2. スタッフ全員に「メールのリンクから管理画面に入らない」と共有する
  3. 銀行・カード会社を名乗るメールは、必ず自分で調べた番号に確認
  4. 短縮URLは開かない
  5. ID・パスワードを入力する前に、いま自分がどこから来たかを思い出す

当サイトでは、個別のメールが詐欺かどうかを判断できません。総務省は参考としてフィッシング対策協議会および警察庁のフィッシング対策のページを案内しています。

自分でサイトを持つ場合

以下は広告です。当サイトでは各社のセキュリティ機能を検証していません。「国内最速」などの表現は広告主によるものです。料金・キャンペーン・最低利用期間は変更されることがあるため、必ず公式サイトで最新の内容をご確認ください。優劣を示すものではなく、選択肢として2つ並べています。

サーバーを借りること自体は、上のフィッシング対策とは別の話です。サイトを持つ場合の選択肢としてご覧ください。

WordPress以外の用途にも使う場合：ConoHa WING

WordPress専用として使う場合：XServer for WordPress

FAQ

鍵マークがあれば安全ではないのですか。

総務省は「鍵マークが表示されているにもかかわらず、フィッシングサイトであるケースが増えています」としています。鍵マークは通信の暗号化を示すもので、運営組織の実在を示す場合と表示が同じです。

URLのどこを見ればよいですか。

「ドメイン名が一致しているかどうか」を確認するよう案内されています。ただし o と 0、I と l のような見間違いを狙う手口があるため、ブックマークから行くほうが確実です。

SMSでも来ますか。

「スマートフォンを対象として、電子メールやSMSなどのメッセージ機能からフィッシングサイトに誘導しようとする手口も増えています」とされています。

クリックしてしまいました。

当サイトでは対処の手順を案内できません。ID・パスワードを入力してしまった場合は、速やかに該当サービスの正規窓口にご連絡ください。総務省は事例集も公開しています。

短縮URLは全部危険ですか。

総務省の記載は「短縮URLを悪用し、一読しただけではアクセス先のURLが分からないものが多いため注意が必要です」です。当サイトでは一律の判断は示しません。

参照した一次情報

  • 総務省「国民のためのサイバーセキュリティサイト｜フィッシング詐欺とは？」 soumu.go.jp
    2026年9月15日確認。フィッシング詐欺の定義と語源、3つの手口、o と 0・I と l の見間違いを狙う手口、鍵マークの2つの意味、ブックマークや正規アプリからのアクセス、電話番号を自分で調べることに関する引用はこのページに基づきます。

関連記事

この記事は当サイト運営者が執筆しました。セキュリティの専門家による記事ではありません。上記の確認日以降に総務省の記載が変わっている可能性があります。被害に遭った場合は、該当サービスの正規窓口および警察にご相談ください。

コメント

タイトルとURLをコピーしました