- 表示名・ロゴ・文章の自然さだけでは本物と決めない
- メッセージ内リンク・電話番号を確認経路に使わない
- 公式アプリ・保存済みブックマーク・自分で開いた公式サイトから状態を確認する
- 企業・官公庁を名乗る場合は、公式サイトに掲載された連絡先や通知方針を見る
- 公式側でも同じ問題が確認できた場合は、その公式画面から必要な対応を進める
「送信元が本物っぽい」は証拠にならない
メールは、受信画面に表示される名称やアドレスが実在企業と同じように見える場合があります。スマートフォンでは表示される技術情報も限られるため、見た目だけでの判定は難しくなります。
SMSでも、会社名のような送信者表示や過去の正規メッセージと同じスレッドに見えることを、本人確認の代わりにはしません。表示方式はサービスや通信環境によって異なるため、「同じ場所に表示された」より「公式側に同じ事実があるか」を確認します。
本物の会社名・ロゴが使われていても安心できない
なりすましでは、実在するブランド名、ロゴ、住所、サポート文面などがコピーされることがあります。会社そのものが実在することと、目の前のメッセージをその会社が送ったことは別です。
企業名で検索して実在を確認するだけではなく、その企業の公式サイトに掲載されたドメイン・連絡先・注意喚起から、メッセージの内容と連絡方法を照合します。
文章が自然でも安全とは限らない
以前は「不自然な日本語」が詐欺の目印として語られることがありましたが、自然な文面を作ること自体は難しくありません。逆に正規サービスの通知にも短い文や定型文があります。文章品質は一つの手掛かりにすぎず、本人確認にはなりません。
独立した公式経路で「事実」を確認する
「未払い」「不正アクセス」「配送」「カード停止」「本人確認」などの通知が来た場合、そのメッセージが本物かを文面だけで当てるより、サービス側に実際の問題が存在するかを確認します。
- 公式アプリを普段のアイコンから開く
- 保存済みの公式ブックマークからアクセスする
- 検索する場合は広告枠や類似ドメインだけで決めず、公式ドメインを確認する
- 公式サイトの「お知らせ」「セキュリティ」「連絡方法」ページを確認する
- 電話確認が必要ならメッセージ本文ではなく公式サイト側の番号を使う
公式側にも同じ警告がある場合
本当に不正アクセスや支払い問題が存在するケースもあります。公式アプリや正規サイト側に同じ通知が確認できた場合は、そこで案内されるパスワード変更、支払い確認、本人確認等を進めます。
つまり「怪しいメッセージのリンクを使わない」と「実在する問題を放置する」は別です。通知の真偽確認と、公式サービス側で必要な対応を分けます。
名乗っている相手によって確認先を変える
なりすましの基本原則は共通ですが、実際に確認すべき情報は相手によって違います。アカウント停止通知ならサービス内のセキュリティ状態、カード会社なら利用明細と発行会社、国税庁なら公表されている連絡方針、警察なら警察庁の注意喚起と独立した警察窓口を確認します。
アカウント停止・本人確認
実際のアカウント状態を公式側から確認。
カード会社を名乗る通知
カード情報入力前に発行会社側で確認。
国税庁・税務署を名乗る通知
国税庁が公表する現在の連絡方針と照合。
警察を名乗るSNS・逮捕状画像
SNS連絡や送金要求を警察庁の方針と照合。
SPF・DKIM・DMARCを知っていても過信しない
送信ドメイン認証は、事業者側がなりすまし対策を行う重要な技術です。ただし一般利用者が一つの表示やヘッダーだけを見て「認証があるから内容まで正しい」と判断するための万能な証明ではありません。正規アカウント自体の侵害や、別経路の詐欺など、送信元認証だけでは解決しない問題もあります。
ScamScanの位置づけ
ScamScanは、メッセージ本文や画像から、なりすましらしい要求、緊急性、リンク、個人情報要求などを整理できます。ただし、送信メールサーバーの真正性や企業アカウントの所有者、警察官・企業担当者等の身元を認証する機能ではありません。