リンクをクリックする前に安全性を確認しましょう

Webサイトの安全性を判断するには、まずはアバストのリンクチェッカーなどのスキャナを使ってURLをチェックしましょう。あとは、アドレスバーを見てHTTPS暗号化があることを常に確認し、"タイポスクワッティング"（たとえば、google.comではなく、goog1e.comのような偽URL）がドメインに見られないかを注意深く調べてください。

また、本物のサイトには連絡先情報やプライバシーポリシーがしっかりと記載されていますが、怪しいサイトには、過剰なカウントダウンタイマー、不自然な日本語、"あり得ないほど安い"価格などが見られます。疑わしい場合、サードパーティのレビュープラットフォーム上で、サイト名と一緒に"詐欺"や"フィッシング"といった言葉を組み合わせて検索すれば、ほとんどの場合、詐欺かどうかわかります。 また、Avast Oneもネット上のセキュリティの確保をサポートします。

ソーシャルエンジニアリングの兆候として、リンク切れ、解像度の低いロゴ、ひどい誤字や文法ミスなどが海外の犯罪グループによる詐欺においてよく見られます。HTTPSであれば、接続自体は安全であることは判断できますが、暗号化によって保護されているのはデータ経路のみで、サイト運営者の目的は判断できません。

緊急性を演出するカウントダウンタイマーや、"期間限定特典"のために機密データ（銀行口座の認証情報など）の入力を促す煩わしいポップアップ画面など、ソーシャルエンジニアリングの手口には特に警戒してください。また、詐欺検出ツールを使って、Webサイトをチェックすることもできます。

まずは専用のリンク安全性チェッカー（Google透明性レポートやアバストのリンクチェッカーなど）を使って、リンクをクリックする前にURLをスキャンして、隠れたマルウェアやフィッシングがないかをチェックしてみましょう。サイトを開いたら、ブラウザのアドレスバーをチェックしてください。HTTPS（南京錠のアイコンを探してください）で接続が保護されていることを確かめたら、南京錠のアイコンをクリックしてSSLサーバー証明書を確認してください。証明書の発行先が全く別の企業である場合や証明書の期限が切れている場合は、ページをすぐに閉じてください。

次に、所在地が実在するか、電話番号が正当なものかを調べる"企業の透明性チェック"を行ってください。詐欺師が追跡可能な足跡を提供していることはほぼありません。米国やカナダにお住まいの方であれば、TrustpilotやBetter Business Bureauといった独立したプラットフォームで、サイトの評判も調べてください。"あり得ないほど安い"価格、"緊急性"を煽る怪しいポップアップ画面、悪意のある広告が表示され機密データを要求してきたら、要注意です。

また、URLのちょっとした誤字（たとえば、amazon.comではなくamozon.com）などのタイポスクワッティングにも注意を払ってください。タイポスクワッティングは認証情報を盗み取ろうとするコピーサイトの典型的な特徴です。

Webサイトが詐欺サイトとして通報済みかどうかを確認するには、専用のスキャナとコミュニティ主導のレビュープラットフォームを組み合わせて調べてください。まずは、アバストなどの信頼性が高い企業が提供するリンクチェッカーにURLを貼り付けます。このようなリンクチェッカーは、多数のセキュリティエンジンのレポートを集計して、現在横行しているフィッシング、マルウェア、サイト上の偽の警告を特定します。

消費者関連の詐欺や"詐欺"レポートについては、TrustpilotやBetter Business Bureau（米国やカナダにお住まいの場合）でドメインを検索すれば、商品が届かない、個人情報が盗まれたなど、他のユーザーからの通報を参照できます。

また、Whoisデータベースを確認して、サイトがごく最近作成されたもの（詐欺ドメインであることを示す一般的な特徴）かどうかを確かめることができます。他には、FCA Warning List（英国の場合）やFTC（米国の場合）を参照して、金融規制当局によって公的にブラックリストに登録されているサイトかどうかを調べることもできます。悪意のあるサイトに遭遇したら、Chrome上でブロックすることもできます。

アバストやノートンのような企業が提供している無料のWebサイト安全性チェッカーは、信頼性が高く安全です。こういったツールは操作しやすく、すぐに利用できます。URLをコピーして、無料リンクチェッカーに貼り付ければ、脅威データベースに登録済みのものかどうかを確かめられます。また、Google セーフ ブラウジングをチェックしたり、不審なサイトを関係当局に通報したりすることもできます。

ネットショッピングの場合、セキュリティを重視すると一番の選択肢はクレジットカードになります。その理由は、法的な枠組みがしっかりしているためです。一般的には、支払いや"請求ミス"に対して取り消しを求めることが可能です。それに対して、デビットカードの場合は、保護されているとはいえ、銀行口座から支払いの引き落としが直接行われます。復旧プロセスには時間がかかる場合があり、銀行が調査を行っている間に口座から現金が引き落とされてしまいます。"

また、デジタルウォレット（Apple Pay、Google Pay、PayPal）やバーチャルカード番号の使用もおすすめです。こういった形態のサービスであれば、購入者の実際の16桁のデジタルカード番号に代わって、1回限りの暗号化コードが事業者に送信されます。将来的にWebサイトがデータ侵害の被害にあったとしても、ハッカーが入手できるのは、意味のない、期限切れのトークンだけです。永続的な価値がある購入者の金融データがハッカーの手に渡ることはありません。このような手段は、事業者側で起きるデータ侵害による影響を軽減するために役立ちます。さらに、スミッシングにはご注意ください。スミッシングとは、購入者を巧みにだまして上に挙げた保護手段を回避し、個人情報を直接手に入れる手口です。

リンクにカーソルを合わせてみてください。これは、フィッシング試行を受ける前に見破ることができる最も効果的かつ簡単な方法の1つです。リンクをクリックせずに、カーソルをハイパーリンクの単語やボタンに合わせると、ウィンドウの左下隅にURLの実際のリンク先が表示されます。表示された画面上のリンク先に、ランダムな文字の組み合わせやブランド名の軽微な誤字を含むドメインが見つかった場合（たとえば、microsoft.comではなく、micros0ft.com）、そのサイトはほぼ間違いなくドメインの詐称を行って認証情報を盗み取ろうとしています。

また、短縮URLは、意図的にリンク先を隠しているため、固有のリスクがある可能性があります。この場合は、リンクにカーソルを合わせても、URLを"確認する"ことができません。このような場合や、それ以外にも不審なリンクが他にもあれば、URL展開ツール、アバストのリンク安全性チェッカー、Google透明性レポートをご活用ください。こうしたツールは、"被害から守るデジタルツール"として役立ちます。お客様の代わりにサイトにアクセスし、お使いのブラウザが脅威にさらされる前にマルウェア、フィッシングのスクリプト、偽サイトへのリダイレクトなどの有無をスキャンして探します。また、偽アプリの特定方法などについてご興味があれば、追加情報もご確認ください。

いいえ、HTTPS（ハイパーテキストトランスファープロトコルセキュア）は、Webサイトの信頼性や正当性を保証するわけではありません。ブラウザとサーバーの間の"パイプ"が暗号化されていることを保証しているだけです。この暗号化により、第三者がお客様のデータを"傍受"することはできなくなりますが、通信先の相手の目的については何ら評価していません。

最新のフィッシングや詐欺サイトでは、セキュリティが高いと錯覚させるために、HTTPSを使用して南京錠のアイコンを表示させています。サイトは完全に暗号化されている一方で、クレジットカード情報を盗み取るためのコピーサイトとして存在している可能性があります。偽サイトかどうか見破るには、南京錠以外にも注目してください。URLに"タイポスクワッティング"（たとえば、g00gle.comなど）がないか、連絡先が適切かどうか、長年にわたって評判が維持されているドメインかどうかを確認してください。Avast Oneなどの信頼できるウイルス対策ツールもお役に立ちます。

ブラウザの"危険なサイト"の警告とは、ブラウザのデジタル機能で、危険な挙動や技術的に危険な状態がWebサイトに見つかった場合に警告が表示されます。最も深刻な状態を示す表示は"赤色の画面"の警告（"この先は詐欺サイトです"や"危険なサイトです"といった表示）です。Google セーフ ブラウジングやMicrosoft SmartScreenといったサービスによって提供されます。警告が表示されたサイトは、マルウェア、パスワードを盗み取る目的のフィッシングのスクリプト、ソーシャルエンジニアリングの罠が潜んでいるものとして、ブラウザ側で特定されているということになります。この警告は最近はさらに高度なものになっています。セッションを乗っ取ろうとする"AIが操作する"フィッシングページや悪意のあるブラウザ拡張に対して注意喚起する場合が増えています。

"危険"警告や"接続がプライベートではありません"というメッセージが表示されたら、そのサイトが暗号化されたHTTPSではなく、古いHTTPを使用しているか、セキュリティ証明書が期限切れか無効であることが考えられます。ChromeやSafariなどのブラウザは"HTTPS優先モード"に移行しており、簡素な作りの一般向けのHTTPサイトにアクセスすると、サイト回避を選択できる警告が表示されます。この場合、そのサイトが必ずしも"悪意がある"というわけではなく、ログイン情報やクレジットカード番号などのデータを入力すると、同じネットワーク上のハッカーに容易に傍受される可能性があるということを示しています。

詐欺サイトに情報を入力してしまった場合には、攻撃者とお客様のアカウントの間の接続を切断してください。本物のサイト上でパスワードを早急に変更し、そのパスワードを他のサイト（特に、メールや銀行のアカウント）で使いまわしている場合は、対象アカウントの情報も更新してください。あとは、2要素認証（2FA）をすぐに有効にしましょう。

クレジットカード番号やセキュリティコードといった重要情報を漏えいさせてしまった場合は、金融機関のアプリを通してカードの利用停止を行い、金融機関の詐欺対策部門に連絡して、セキュリティ侵害を報告した上で新規カードの発行手続きを依頼します。

納税者番号や自宅の住所など、機密性が非常に高いデータを漏えいさせてしまった場合は、主要な個人信用情報機関に連絡をとり、クレジットを凍結させ、詐欺師によるお客様名義での新規口座の開設を防ぎましょう。さらに、信頼できる無料アンチウイルスでデバイス全体にマルウェアスキャンを実行して、サイトを閲覧中、気づかない間にキーロガーやトラッキングスクリプトがインストールされていないことを確認してください。

あとは、その後数週間は受信トレイや取引明細書を注意深くチェックしましょう。個人情報が他の詐欺師の手に渡っている可能性があり、そうなるとフィッシング試行の標的となる可能性が高まります。

リンクを見たらすべて疑ってかかるようにしてください。毎回URL上にカーソルを合わせ、実際のリンク先を確認しましょう。また、サンドボックス下で実行されるリンクチェッカーを使用して、リンクをクリックする前に不審なURLをスキャンしてください。Avast Oneなどのウイルス駆除ツールを使って保護することもできます。

サイトのログイン情報を設定する際には、FIDO2ハードウェアキーや生体認証を用いたパスキー（Face IDやTouch ID）などの耐フィッシング多要素認証（MFA）の導入をご検討ください。傍受されたり、詐欺に使われたりする可能性がある従来のSMSコードとは異なり、このような物理デバイスや生体認証は本物の登録ドメインの場合にのみ認証が行われます。