個人情報漏えいのあとに届く詐欺への備え｜今すぐできる対策と、届いたときの行動ルール【特集③】

こんにちは、Heartland-Labです。地震が起きてから、避難経路を考え始めても間に合いません。防災訓練で、あらかじめ道順を決めておくのは、そのためです。

詐欺も、まったく同じです。本名入りの連絡が届いてから考えると、焦りの中で判断することになります。だからこそ、届く前の今のうちに、「自分のルール」を決めておきましょう。むずかしいことは、ありません。

心構え：まず覚えておきたい3つのこと

いちばん大事なルール：「入口を自分で開き直す」

本物の通知か偽物かは、メールの文面や見た目では、見分けられなくなってきています（特集②）。そこで、見分けようとするのをやめて、メールやSMSの中のリンクや電話番号は使わず、自分で公式の入口を開き直すというルールにします。

1. 公式アプリを開く：アプリの「お知らせ」や、マイページから確認します。
2. 自分で登録したブックマークを使う：普段ログインしているページから入り直します。
3. 会社名で検索して、公式サイトを開く：検索結果の上に出る広告ではなく、公式サイトのドメインかどうかを確かめます。
4. 電話は、公式サイトや過去の書面、カードの裏面に載っている番号を使う：連絡に書かれていた番号や、相手が伝えた番号にはかけません。

たとえばソースネクストは、公式サイト上に、今回の件のお知らせとお問い合わせ窓口を載せています（公式のお知らせ）。メールが届いたら、そのメールのリンクではなく、自分で開いた公式サイトで、同じ内容の発表があるかを確認する。これが「入口を自分で開き直す」という動きです。

※通知メール自体に「手順どおりにパスワードを再設定してください」とある場合も、メール内のリンクではなく、公式サイトから手続きを始められるかを、まず確認してください。

場面別：届いたら、こう動く

起こりそうな場面ごとに、「やること」と「やってはいけないこと」をまとめました。

なお、企業は、メール・SMS・電話で、パスワードやカード番号、暗証番号を尋ねません。今回の通知でも、ソースネクストとskyticketの両社が、パスワードやクレジットカード番号は尋ねないと、はっきり書いています。尋ねられたら、その時点で偽物です。

今日やっておくこと：被害を小さくする準備

① パスワードの使い回しをやめる

今回、メールアドレスとパスワードが含まれる事案がありました。同じパスワードを使い回さないことが、いちばんの備えです。全部をいっぺんに変えるのは大変なので、優先順位をつけましょう。①メールアカウント、②銀行・カード・決済、③通販・ポイントサービス、④それ以外、の順です。パスワードは長めにして、管理アプリを使うと、覚える負担が減ります。

② 多要素認証を有効にする

パスワードが漏れても、もう1つの確認があれば、勝手にログインされにくくなります。メール、金融、通販の順に、設定できるものから有効にしましょう。選べるなら、SMSで届くコードより、アプリで確認する方式や、パスキーのような、フィッシングに強い方式を選ぶのがおすすめです。

③ 使っていないアカウントを整理する

タイムズカーの約660万件には、退会済みの人の情報も含まれていました。退会しても、情報が残る場合があるため、完全な対策ではありません。それでも、使っていないサービスの会員を増やさないことは、漏えいに巻き込まれる確率を下げます。退会の手続きは、サービスごとの公式窓口で行います。

④ 利用明細やログインの通知を、ときどき確認する

カードや銀行の利用明細、ポイントの履歴に、身に覚えのない動きがないかを見ます。infoQでは、会員からの問い合わせで、不正なポイント交換が見つかりました。ログイン通知の設定ができるサービスでは、オンにしておくと気づきやすくなります。

💡ここで！ 「多要素認証」とは？

ログインのときに、パスワードに加えて、もう1つ別の方法で本人かどうかを確認する仕組みです。たとえば、スマホに届くコードを入力したり、指紋や顔で確認したりします。パスワードだけが漏れても、それだけでは入れなくなります。

💡ここで！ 「パスキー」とは？

パスワードの代わりに、スマホやパソコンの指紋・顔認証などでログインできる仕組みです。偽のサイトでは使えない作りになっているため、偽サイトに誘導されても、情報を盗まれにくいとされています。使えるサービスでは、設定しておくのがおすすめです。

家族で決めておきたい、ひとつのルール

本名や生年月日を言い当てられると、特に高齢の方は、本物だと信じてしまいがちです。ご家族の間で、次のルールを決めておくと安心です。

一人で判断しないだけで、被害に遭う確率は大きく下がります。この記事のURLをご家族に送って、一緒に読んでおくのもおすすめです。

もし、被害に遭ってしまったら

リンクを開いてしまった、情報を入力してしまった、お金を払ってしまった。そんなときは、自分を責めずに、次の順番で動きましょう。早く動くほど、被害を小さくできます。

1. 入力した情報に応じて、すぐ止める：パスワードを入力したなら、そのサービスのパスワードを変更し、同じものを使い回していた他のサービスも変更します。カード番号を入力したなら、カード会社に連絡して、利用の停止や再発行を相談します。銀行の情報なら、銀行に連絡します。
2. 認証コードを伝えてしまったなら、特に急ぐ：認証コード（ワンタイムパスワード）は、誰に聞かれても教えてはいけません。伝えてしまったときは、すぐに、そのサービスや金融機関に連絡してください。
3. 証拠を残す：届いたメールやSMSの画面、サイトの画面、電話のあった日時などを保存します。相談するときに役立ちます。
4. 相談する：お金を取られた場合や、脅された場合は、最寄りの警察署や、警察相談専用電話（#9110）に相談します。ほかの窓口は、下の一覧をご覧ください。

※いますぐ危険が迫っているときは、110番に連絡してください。

相談窓口の一覧

連絡先は、各公式サイトの情報をもとにしています。変更されることがあるため、かける前に、公式サイトで最新の情報を確認してください。

※そのほかの企業の窓口は、通知メールや、各社の公式サイトのお知らせに載っています。

本レポートの結論

本名入りの連絡が届く時代は、「見た目で見分ける」から、「確認の入口を自分で決める」へと、考え方を切り替えるときです。メールやSMSの中のリンクや電話番号は使わず、公式アプリやブックマークから自分で開き直す。お金・暗証番号・認証コードが出てきたら、その場で答えない。この2つだけでも、被害の多くは防げます。身近な人が騙されてからでは手遅れです。このページのURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。