まず確認：このメールは自分の操作がきっかけか
信頼性を示す最も強いサインは、ロゴでも文面でもなく、時間的な因果関係です。明確なサービス上で「認証コードを送信」を押し、その数十秒後に対応するメールが届いたなら、この流れは自然です。何も操作していない場合は、知っているブランドから届いたメールでも、まず不審な事象として扱いましょう。
数字を急いでコピーしたり、メール内の「キャンセル」や「自分ではありません」リンクをクリックしたりしないでください。まずそのサービスの公式アプリを開くか、保存している公式サイトのアドレスを手入力し、ログイン履歴とセキュリティ通知を確認します。身に覚えのないコードは、誰かがメールアドレスを間違えた可能性もありますが、攻撃者が最初のパスワード認証を突破した可能性もあります。
- 2分以内に、自分でリクエストした。
- メールに記載されたサービスと操作が、現在開いているページと一致している。
- 認証コードは元のページに入力するだけで、誰にも転送しない。
サイン1：リクエスト時刻とコードの有効期限が一致している
正規の認証コードは通常、短時間だけ有効で、1回の具体的なセッションに対応しています。メールが十数分遅れて届いたり、何度も届いたり、ページを閉じた後も届き続けたりする場合は、信頼度を下げてください。攻撃者がコードを連続して要求し、「通知疲れ」を起こしたうえで、サポート担当者を装って最新の数字を聞き出そうとすることがあります。
遅延した場合は、元のページに戻ってもう一度リクエストし、最後に届いたメールだけを使いましょう。ページに表示された末尾の数字や対象メールアドレスが一致することも確認します。古いコードは無効な情報として扱い、順番に試してはいけません。
サイン2：表示名ではなく、実際の送信元ドメインを確認する
「アカウントセキュリティセンター」は自由に設定できる表示名にすぎません。メールの詳細を開き、完全なFromアドレス、Reply-Toに不審な点がないか、認証結果でSPF、DKIM、DMARCが合格しているかを確認します。認証に合格していても、サービスとして必ず信頼できるとは限りません。ただし、ドメインの綴り間違い、フリーメールからの送信、Reply-Toが見知らぬ宛先になっている場合は、直ちに操作を中止してください。
| 確認項目 | 通常考えられる状態 | 警戒が必要な状態 |
|---|---|---|
| 表示名 | サービス名と一致している | 「緊急サポート」を装っている |
| 完全なドメイン名 | サービスが公開している通知用ドメイン | 文字が多い・抜けている、または不自然なサブドメイン |
| 返信先アドレス | 認証コードへの返信を求めない | 個人メールアドレスやメッセージアプリのアカウント |
サイン3：メールの操作内容と対象サービスが一致している
登録用コード、ログイン用コード、パスワード変更用コードは、同じ認証ではありません。新しいアカウントを登録しているのに、「既存のパスワードをリセット」というコードが届いたら、すぐに操作を止めてください。メールには操作内容が明記されているはずですが、コードをサポート担当者、販売者、採用担当者、「認証ボット」などに送るよう求めることはありません。
短期の登録にはオンラインの使い捨てメールアドレスを使ってマーケティング追跡を切り離せます。ただし、アカウントの復旧、支払い、長期利用が必要なら、管理できる転送用メール別名に切り替え、使い捨てアドレスの期限切れで復旧手段を失わないようにしましょう。
サイン4：メールのリンクからログインページに戻らない
認証メールには便利なボタンが含まれていることがありますが、安全なのは、先ほど開いたページに戻ってコードを入力する方法です。ページを閉じた場合は、ブックマーク、公式アプリ、またはURLの手入力から再度アクセスしてください。リンクにカーソルを合わせれば明らかな問題は見つけられますが、最終的なリダイレクト先の安全性までは証明できません。
QRコードもリンクの一種です。別の端末で見知らぬQRコードを読み取り、「認証を完了」しようとしないでください。現在のログインセッションを攻撃者に渡す可能性があります。パスワードマネージャーが自動入力を拒否する場合も、ドメイン不一致を知らせる実用的なサインです。
サイン5：端末、場所、セッションの詳細が一致している
質の高いセキュリティ通知には、端末の種類、ブラウザ、おおよその地域、リクエスト時刻が記載されています。位置情報はモバイル通信やVPNによってずれるため、それだけで不正とは判断できません。ただし、見慣れない端末、まったく異なる国、本人ではない時間帯が同時に現れた場合は、リスクが高い状態です。
複数の弱いサインを組み合わせて判断しましょう。都市のずれは説明できても、見慣れないOS、異常な時刻、身に覚えのないリクエストが重なったら、すぐにパスワードを変更し、セッションを取り消して、多要素認証を確認してください。
身に覚えのない認証コードが届いたときの対処手順
- 返信しない、メール内のリンクをクリックしない、数字を誰にも伝えない。
- 公式入口から最近のログインと現在のセッションを確認し、見慣れない端末を取り消す。
- そのサービスの固有パスワードを変更する。パスワードを使い回していた場合は、他のアカウントも同時に対処する。
- 認証アプリまたはセキュリティキーを有効にし、オフラインの復旧コードを保存する。
- そのアドレスに攻撃メールが継続して届くようになった場合は、露出度チェッカーを使って、移行や別名の変更が必要か判断する。
認証コードは一度限りの秘密であり、身分証明ではありません。「誰が開始したか」「何を承認するのか」「どこに入力するのか」の3点を確認すれば、多くの誘導攻撃は数字を入力する前に見抜けます。