実際に利用制限などのメールが届いた場合には、送信元の確認をしよう。以下はエポスカードからのメールのようだが、フリーメールのHotmailから送られている。
エポスカードだがHotmailからの送信
以下はETC利用照会サービスだが、全く異なるドメインからの送信だ。
ETC利用照会サービスのメールだが関係ないドメインから送信されている
ただし、送信ドメインを偽装することもできるため、送信ドメインがあっているからといって正しいメールとも限らない。以下の送信ドメインはuber.com。uber.comからETC利用照会サービスのメールが送られているとちぐはぐだが、送信ドメインを偽装できる事は分かるだろう。
送信ドメインはuber.comだが偽装されている
最近はGmail、Yahoo!メールなどで公式サイトのロゴが表示される事も増えている。ロゴが表示されている場合は安全だ。
三井住友カードのロゴがあるメール
JCBのロゴがあるメール
ロゴを表示する技術仕様を確認すると、メールの認証技術「DMARC」で認証に失敗した場合迷惑メールボックスなどに隔離するか受信を拒否する指示がされており、この指示は送信メール側で行う必要がある。メールの受信側は、この指示に従って迷惑メールフォルダーに入れたり、受信を拒否したりする。設定にはドメイン情報を更新しなければならず、ドメインの管理者でなければ設定できないため安全という事だ。
しかし、最近の詐欺メールは、カード情報を盗むだけではなく、サーバーなどのアカウント情報を盗むようなメールも多い。「ドメインの即時更新が必要です」「メールアドレスのパスワードが期限切れです」などのメールが届き、別サイトに誘導してアカウント情報を盗む。盗んだアカウント情報を元に、本物のドメインからフィッシング詐欺のメールを送りつければ、一般利用者はフィッシングメールかどうかを見極めるのは非常に難しい。
従って、取引に関するメールなどが届いた場合、リンクをクリックせずにカード名で検索し、本物のサイトにアクセスする。本物のサイトにログインまたはアプリにログインすれば、本当に重要なメッセージの場合は、サイトやアプリ内で「お知らせ」や「通知」などで確認できるはずだ。
もし、偽物のサイトにID・パスワードを入力した場合は、本物のサイトで変更する。カード番号などを入力してしまった場合は、カード会社に電話し、カードを再発行してもらえば良い。
手口が巧妙になり、なかなか本物か偽物か判断しにくくなりつつあるため、本当に重要な内容ははがきなどのアナログに戻るのかもしれない。