メールの依頼が本物か、別の連絡先で確認する

フィッシングは、偽のメールや画面を使い、パスワードの入力や送金などをさせる手口です。差出人の表示名、会社のロゴ、自然な日本語はコピーできます。「今日中に」と急がせる、秘密の番号を尋ねる、振込先を変更させる依頼では、見た目だけで本物と判断しないでください。誰が、何の手続きを、なぜ頼んでいるかを確認します。

怪しいメールに書かれた電話番号へかけても、偽メールを送った相手につながるかもしれません。以前から使っている社内の電話帳や、自分で開いた公式アプリから担当者に連絡し、その依頼を本当に送ったか確かめます。メールのリンク先に鍵のマークがあっても、それだけでは正しい会社の依頼だとは分かりません。暗号化された偽サイトも作れるためです。

普段から知っている担当者が「その依頼は送っていない」と答えたら、手続きを止め、会社で決められた窓口へ報告します。本物だと確認できた場合は、会社の手順に従って処理します。何でも拒否すると必要な仕事まで止まります。調査に必要なメールは決められた方法で保管し、危険なリンクを無関係な人へ広めないでください。添付ファイルを開いてしまった場合も、隠さず、いつ何をしたかを担当者に伝えます。

届いた依頼を別の連絡先で確かめる考え方を、偽のログイン画面の資料に使います。login.txtに書いたHTMLのformは入力を送る仕組み、actionは送信先です。表示するロゴや文章とは別に、送信先のホスト名を確認します。

accounts.example.test.evil.invalidはaccounts.example.testとは別の相手です。実習ではactionの相手を直し、表示名が同じでも送信先だけが変わることをPythonの出力で確かめます。login.txtは文章として読み、本物の秘密の入力や外部への送信は行いません。