フィッシングを見分ける

example.com.account-check.exampleというアドレスでは、ページを実際に持っているサイトはaccount-check.exampleです。先頭のexample.comは、その持ち主が選んだラベルにすぎません。

宅配業者が送っていない荷物のSMS

よくある種類の架空のSMSを見てみましょう。「住所が不完全なため、お荷物をお届けできませんでした。24時間以内に更新してください」のあとに短いリンクがついています。荷物を待っているなら、もう親指はリンクの上にあるでしょう。これがフィッシングです。有害な添付ファイルを開かせたり、偽のサイトへのリンクをクリックさせたり、個人情報やお金に関わる情報を渡させたりするために作られたメッセージです。メール、SMS（よくスミッシングとよばれます）、メッセージアプリ、電話で届きます。

短いSMS1通にひそむ兆候

CISAはよくある兆候を挙げていて、荷物のSMSにはそのほとんどがあります。急がせたり感情に訴えたりする言葉と、今すぐ行動しないと困ったことになるという脅し。個人情報やお金に関わる情報の要求。信頼できない短縮リンク。1文字入れかわっていたり、余分な語が加わっていたりする、少しおかしな送信元アドレスやリンク。ただし、昔の兆候の1つはもう通用しません。以前はつづりや文法のまちがいでフィッシングを見分けやすかったのですが、CISAは、AIの時代には文法もつづりも完璧なメッセージがあると指摘しています。ですから、どれだけうまく書かれているかではなく、メッセージがあなたに何をさせようとしているかを見ましょう。「安全のためにロックされた」銀行口座、応募した覚えのない賞品、今日お金が必要だという新しい番号の家族。どれも、考える前に行動するようせき立てます。

リンクを右から読む

リンクをタップする前に、ホスト名を見ましょう。https://のあと、最初の1本だけのスラッシュの前の部分です。右から読みます。最後の2つの部分（.co.krのようなアドレスでは3つ）が、それを管理する組織の名前で、その左にあるものはすべて、その組織が選んだラベルです。ですからlogin.example.comはexample.comのものですが、example.com.account-check.exampleはaccount-check.exampleのものです。スマートフォンでは、リンクを長押しすると、開かずに完全なアドレスを見られます。ここでもパスキーが役立ちます。本物でないサイトではまったく使えないからです。（このページのアドレスはすべて、example.comや末尾の.exampleのような例示用に予約された名前を使っているので、どれも実在のサイトではありません。）

別の経路で確かめてから報告する

CISAは3つのコツを挙げています。見抜く、こらえる、削除する。上の兆候は1つ目です。こらえるとは、あやしいメッセージのリンクをクリックしたり添付ファイルを開いたりせず、返信もしないことです。「配信停止」のリンクでさえ押しません。メッセージが利用している会社からのものだと名乗っているなら、その会社のアプリを開くかアドレスを自分で入力して、そこで確かめましょう。知り合いからだと名乗っているなら、すでに知っている番号に電話します。そして、メールやメッセージアプリの「迷惑メールとして報告」や「フィッシングを報告」で報告してから、メッセージを削除します。韓国では、KISAがハッキング、迷惑メール、個人情報の問題のための無料の窓口118を運営しています。そのメニューからは、ボイスフィッシングやスミッシングの通報を警察につなぐこともできます。KISAのサイト「ボホナラ」（boho.or.kr）には、あやしいSMSを確認するサービスがあります。

電話も同じパターンです。銀行、宅配業者、警察、検察庁の者だと名乗り、あなたの口座が犯罪に関わっていると告げて、お金を移す、アプリを入れる、コードを読み上げるよう求めます。本物の機関が電話でそんなことを求めることはありません。電話を切り、公式の番号を自分で調べてかけ直しましょう。電話の相手に言われたからといって、アプリや遠隔操作のプログラムを入れてはいけません。