最近 Amazon から届いたメール、アカウントがハッキングされ勝手に色々発注されているらしい。え、まずいじゃん。しかも9月に入ってからすでに数件、連続して発注・キャンセルが報告されていた。
本当かよ？
筆者はメールを受け取っても基本的に HTML メールは絶対開かないし見ないのでプレーンテキストですが、貰ったメール全文をここに紹介します。
ここから引用
アカウントサービス Amazon.co.jp Amazon.co.jpをご利用いただき、ありがとうございます。 あなたのアカウントに異常な活動が検出されましたので、ご注文商品【Apple Smart Cover (iPad- 第7世代・iPad Air- 第3世代) - ブラック】はキャンセルされました。 すぐにアカウント情報を更新してください。 アカウントの更新 アカウント情報を確認する前に、アカウントへのアクセスを停止します。 何卒、よろしくお願い申し上げます。 Amazon.co.jpのまたのご利用をお待ちしております。 注意：本通知メールは送信専用アドレスで送信しております。返信いただいても受信できませんのでご了承下さい。 このメッセージは 匿名希望@prester.org に送信されました。
ここまで引用
テキストメールだとダミー URL リンクを本文に仕込むことができないので閲覧は安全です、しかしフィッシングの意図に気が付かない場合はあります。
フィッシングを見抜くためには
メールの送信元情報確認はフィッシングを見抜く基本、ですが最近はツールが普及しているためメールヘッダーが改竄され偽装されている。だからメーラーから見ても嘘に気が付かない場合があります。むしろ送信元情報はあまり信用せず、しっかりメール内容を精査する方が良い。
今回の場合、
From：info <info@amazon.co.jp>
From：account <info@amazon.co.jp>
こんな感じで、やはりEメールの発信元情報として「@amazon.co.jp」がしっかり利用されています。
送信元情報を確認せよの下りは Amazonセラーセントラルでも説明があります。
参考（Amazonセラーセントラル）：スパムメールの見分け方
ただし今回は改竄されたものなので実際に amazon.co.jp から送られてきたわけではありません。最近のメール事情だと、発信元情報をメーラーから見てもフィッシングとは見抜けない場合が多いのです。
詐欺の決め手はダミーURL
最終的にはこれに尽きます。
偽の URL へ誘導することが目的のフィッシング詐欺メールなのでメールのどこかに必ず偽の URL へ誘導があります。
HTML 形式のメールを筆者が一切見ないのは URL を安易に踏まないためです。
Trust,but verify (信頼する、されど検証せよ)
もとはロシアの格言「Доверяй, но проверяй」であり、これを引用した米国のロナルド・レーガン大統領の言葉として、英語版の「Trust,but verify」の方が現在は広く知られるようになりました。
フィッシングとか詐欺被害対策用の言葉としてはやや大げさなのかもですが、詐欺とかフィッシングは絶えることなく今後も活動は続けられ、被害者も必ずどこかで出ます。
常に検証を怠るなという言葉は、とても大事だと思います。そしていざ慌てないためにも HTML メールは開いても安易に URL を踏まないようにしましょう。