Mac でフィッシングチェック：このリンク、メッセージ、サイトは偽物？

Mac で見かけるフィッシングの例

フィッシングとは、信頼している会社になりすましたメッセージやページで、サインイン、支払い、電話、何かのインストールをさせようとするものです。メール、「メッセージ」の SMS、SNS の DM、QR コード、検索結果の一番上に出る広告など、さまざまな形で届きます。よくあるもの：

• 荷物を配達できなかったので、少額の手数料や新しい住所が必要だという。
• Apple アカウント、銀行、カードがロックされた、または海外で使われたので、情報を確認する必要があるという。
• iCloud のストレージがいっぱいで、写真が削除されるという。
• 官公庁や公共料金の会社を名乗る、税金の還付、通行料金、未払いの請求。
• 買った覚えのない領収書やサブスクリプションの更新のお知らせで、解約のための電話番号が書かれている。
• ほかのどこよりも極端に安いショップや、数分で終わるセール。

共通するのは、急がせることと、メッセージそのものを通じて行動させようとすること。正しい日本語や本物のロゴは、何の証拠にもなりません。

1. リンクの本当のアドレスを読む

1. メールでは：クリックせずにリンクの上にポインタを置きます。少しすると、黄色いラベルかウインドウの下部に本当のアドレスが表示されます。
2. メッセージでは：Control キーを押しながらリンクをクリックしてリンクをコピーを選び、メモに貼り付けて読みます。
3. Safari では：ページを開いたら、アドレスバーを見ます。Safari はサイトの名前しか表示しないので、アドレスバーをクリックして全体を確認します。

次に、サイトの本当の名前を見つけます。最初の単独の / の直前の部分を、右から左へ読みます。https://apple.com.id-verify.top/login のサイトは Apple ではなく id-verify.top です。https://amazon.co.jp-account.help なら jp-account.help です。次の点に注意してください：

• 文字の入れ替え：app1e.com、rnicrosoft.com（m の代わりに r と n）、paypa1.com。
• 余分な単語：apple-support-center.com、secure-mybank-login.net。
• .com や .jp を使っている会社なのに、.top、.xyz、.click、.cn などの見慣れない末尾。
• bit.ly などの、アドレスを隠す短縮 URL。本物の会社が、アカウントの問題について短縮 URL を送ってくることはまずありません。

鍵のマークと「https」は、通信が暗号化されていることを示すだけです。フィッシングサイトにもあります。

2. 開かずにアドレスを確認する

リンクをコピーして、次のどちらかの無料チェックサービスに貼り付けます。どちらも Mac 上でページを開きません：

• Google セーフ ブラウジングのサイト ステータス：Chrome や Firefox が警告に使っているのと同じリストです。そのサイトが現在、危険と判定されているかが分かります。
• VirusTotal：数十社のセキュリティ企業のリストとアドレスを一度に照合します。あまり知られていないベンダーで 1〜2 件ヒットするだけなら誤検知のこともありますが、複数件、またはフィッシングとして 1 件でもヒットすれば、開いてはいけません。

問題なしという結果は保証ではありません。新しいフィッシングサイトは毎時間のように公開され、多くはリストに載る前の1日以内に消えます。メッセージ自体が怪しいなら、問題なしという結果が出ても安全とは言えません。

3. サインインページはパスワードに確認させる

これは Mac でできる最も確実なフィッシングチェックで、偽のページが完璧に見えても機能します。「パスワード」アプリと iCloud キーチェーンは、保存したそのサイトでしかパスワードを入力せず、パスキーも提案しません。銀行や Apple のサインインページに見えるページを開いて Safari が何も提案しなければ、そのアドレスは本物ではありません。ページを閉じてください。

パスキーはさらに安全です。偽のページにはそもそも入力できません。Apple、Google、Amazon、多くの銀行など、パスキーに対応しているサイトでは切り替えましょう。

4. Mac に備わった警告をオンにしておく

• Safari：Safari › 設定 › セキュリティで、詐欺Webサイトの閲覧時に警告をオンのままにしておきます。既知のフィッシングサイトを開く前に、Safari がページ全体に赤い警告を表示します。警告を無視して先に進まないでください。
• Chrome：設定 › プライバシーとセキュリティ › セキュリティで、セーフ ブラウジングをオンのままにしておきます。保護強化機能を選ぶと、新しいサイトもチェックされます。
• メッセージ：メッセージ › 設定で、不明な差出人のスクリーニングをオンにします（以前のバージョンでは不明な差出人をフィルタ）。知らない番号からの SMS は、別のリストに振り分けられます。
• メール：メール › 設定 › プライバシーでメールでのアクティビティを保護をオンにします。メッセージを開いても、あなたのアドレスが実在することが送信者に伝わらなくなります。

5. メッセージそのものを確認する

送信元のアドレス、宛名、そして何より、何をさせようとしているかを見ます。メールが詐欺かどうかを見分ける方法では、「メール」での送信者、リンク、ヘッダの確認方法をステップごとに紹介しています。判断がつかないときは、逆の道から確かめます。その会社のアプリを開くか、アドレスを自分で入力して、同じお知らせがあるか探してください。アカウントに本当に問題があれば、必ずそこにも表示されています。

Tidy My Mac でフィッシングチェック

上の手順は有効ですが、メッセージが最ももっともらしく見えるその瞬間に、あなたが思い出せるかどうかにかかっています。Tidy My Mac は、そのうち2つを代わりに行います：

• Web Protection は、既知のフィッシング、詐欺、偽ショップ、マルウェアのサイトを、Safari、Chrome、Firefox をはじめ、メールやメッセージを含むすべてのアプリでブロックします。ブラウザの機能拡張は不要で、アクセスしたサイトは Mac 上でチェックされ、どこにも送信されません。
• Scam Detector：疑わしいメール、SMS、DM を貼り付けると、どれくらい危険そうか、その理由とともに表示され、急がせる表現、リンク、求めている内容を指摘します。Apple Intelligence を使えば、チェックは Mac 上で行われます。
• すでにクリックして何かをインストールしてしまった場合は、Antivirus と Adware がフィッシングページからインストールされたものをスキャンし、Browser Extensions がすべてのブラウザの機能拡張を一覧表示します。

クリック、サインイン、支払いをしてしまった場合

• リンクを開いただけの場合：ページを閉じてください。最新の状態の Mac では、ページを開いただけで被害が出ることはほとんどありません。ページが勧めるものは、ダウンロードも許可もしないでください。
• パスワードを入力した場合：今すぐ本物のサイトで変更し、同じパスワードを使っているほかの場所でも変更して、2ファクタ認証かパスキーをオンにします。そのアカウントの最近のサインインと、メールの場合は転送ルールも確認してください。
• カードや銀行の情報、ワンタイムコードを入力した場合：今すぐカードに記載された番号で銀行に電話し、カードを止めてもらいます。偽のページに入力したワンタイムコードがあれば、詐欺師は支払いやサインインを完了できてしまいます。
• 何かをインストールした、または誰かに Mac を操作させた場合：インターネットから切断し、Mac がハッキングされたかどうかを確認する方法に沿って確認してください。

報告する

• Apple を装ったメッセージ：reportphishing@apple.com に転送します。「メッセージ」では、会話の下にある迷惑メッセージを報告を使います。
• 日本：フィッシング対策協議会 info@antiphishing.jp。アメリカ：reportphishing@apwg.org と ReportFraud.ftc.gov。イギリス：report@phishing.gov.uk。ドイツ：phishing@verbraucherzentrale.nrw。
• お金をだまし取られた場合は、銀行と警察にも届け出てください。