フィッシングリンクをクリックした？今すぐこの6つを
ひと呼吸おいてください。フィッシングリンクをクリックすることは、自動的に大惨事になるわけではありません。ほとんどの場合、クリックそのものがアカウントやデバイスを侵害することはありません。大事なのは、クリックした直後の数秒間に何が起きたか — そして、これからの数分間にあなたが何をするかです。
このガイドは、まさにそれを解説します。トリアージ、行動ステップ、そして二度と起こらないようにする方法です。
まず：クリックしたとき、実際に何が起きたのか？
現代のブラウザとOSは、脅威を封じ込めるように作られています。悪意あるページに単に着地するだけでは、それ自身で何かがインストールされることはめったにありません。本当の被害は、ほぼ常に、あなたがさらなる行動を取ること — 何かを入力する、何かをダウンロードする、プロンプトを承認する — を必要とします。
次のどの分岐が、あなたの状況に当てはまるかを自問してください。
クリックしただけで、すぐにタブを閉じた。 低リスク。あなたのデバイスは、まず問題ないでしょう。それでも下記のステップ1と4は実行してください。ただし、パニックにはならないで。
パスワードやユーザー名を入力した。 高リスク。認証情報は漏洩したものとして扱ってください。すぐにステップ2に進み、素早く行動を。認証情報の窃取は、フィッシングのクリックで最も一般的な結末です。
ファイルをダウンロードして開いた。 高リスク。ダウンロードしたファイルはコードを実行し得ます。ステップ4 — マルウェアスキャン — が最優先になります。あわせて、そのデバイスでアクセスしたアカウントのパスワードを変更してください。
クレジットカードやデビットカードの情報を入力した。 高リスク。すぐに銀行に連絡し（ステップ5）、カードを凍結または監視してもらってください。ここでは時間が勝負です。
認証プロンプトを承認した、またはアプリに権限を与えた。 高リスク。攻撃者は「MFA疲労」攻撃やOAuthの権限付与を使い、パスワードを盗まなくてもアカウントを乗っ取ります。アカウントのセキュリティ設定に行き、見覚えのないアプリの権限を取り消してください。
何が起きたかまだ不確かなら、6つのステップすべてを順番に進めてください。20分もかからず、あらゆるシナリオをカバーできます。
今すぐ取るべき6つのステップ
1. ページから離れ、それ以上何も入力しない
まだなら、すぐにタブを閉じてください。そこへ戻らず、何も再入力せず、ページ内の二次的なポップアップや「閉じる」ボタンもクリックしないでください — 一部のフィッシングページは、それらをダウンロードの引き金に使います。
まだ不審に感じるページにいるなら、そこから移動するのではなく、ブラウザウィンドウ全体を閉じてください。スマホでは、アプリを強制終了します。
デバイスをインターネットから切断する必要はありません。フィッシング攻撃は、あなたが情報を提供することに依存しています — ページが読み込まれた瞬間に、バックグラウンドで密かに動くドライブバイの悪用であることは、通常ありません。
2. 露出したパスワードをすぐに変更する — 使い回している場所すべてでも
フィッシングサイトでパスワードを入力したなら、そのパスワードは今、攻撃者の手の中にあると想定してください。このリストの残りを終える前に、今すぐ正規のサイトで変更してください。
そして、いったん止まってください。同じパスワードを他のどこで使っているか考えるのです。それを共有するすべてのアカウントが、今や脆弱です。攻撃者は、盗んだ認証情報を数十の人気サイトに対して自動的に試すからです（これはクレデンシャルスタッフィングと呼ばれます）。使い回しているすべてのアカウントで、パスワードを変更してください。
サイトごとに、固有でランダムに生成されたパスワードを使いましょう。パスワードマネージャーが、これを現実的にしてくれます。
3. 二要素認証を有効にする
侵害されたパスワードを変更したら、そのアカウント — およびまだ設定していない他の重要なアカウント — で二要素認証（2FA）を有効にしてください。
2FAがあれば、攻撃者が明日あなたの新しいパスワードを手に入れても、第2の要素なしには侵入できません。可能な限り、SMSではなく認証アプリ（Google AuthenticatorやAuthyなど）を使ってください — SMSのコードは傍受され得ますが、それでも何もないよりはましです。
4. マルウェアスキャンを実行し、デバイスの挙動を見守る
フィッシングページからファイルをダウンロードして開いたなら、お使いのセキュリティソフトで完全なマルウェアスキャンを実行してください。Windowsでは、Microsoft Defender（標準搭載）が手堅い出発点です。Macでは、Malwarebytesに評判の良い無料版があります。
何もダウンロードしていなくても、今後48時間はデバイスに目を配ってください。
- 予期しない動作の遅さやCPU使用率の高さ
- インストールした覚えのない新しいブラウザ拡張機能やツールバー
- 依頼していないパスワードリセットのメール
- アカウント履歴に見慣れないログイン活動
これらのいずれかが見られたら、エスカレーションを — 仕事用デバイスで起きたならITチームに連絡し、あるいは専門家の助けを検討してください。
5. 支払い情報が関わったなら銀行に連絡する
カード番号、有効期限、CVV、または銀行の認証情報を入力したなら、今すぐ銀行かカード会社に電話してください。多くは24時間の不正利用対応窓口を持っています。次を依頼してください。
- カードを監視対象にする、または再発行する
- 最近の取引に見慣れないものがないか確認する
- 見覚えのない加盟店への支払いをブロックする
数時間以内に行動することで、不正な請求を止めたり取り消したりできる可能性が劇的に高まります。朝まで待たないでください。
6. フィッシングの試みを報告する
報告は2分で済み、他の人を守るのに本当に役立ちます。報告先は次のとおりです。
- お使いのメールプロバイダー： Gmail、Outlook、Apple Mailの「フィッシングを報告」ボタンを使ってください。これにより、同じ攻撃が他の人を狙うのを、フィルターが捕まえられるよう学習します。
- あなたのITまたはセキュリティチーム（仕事用アカウントだった場合）： 組織内の他の人が狙われたかを調査できるよう、彼らは知る必要があります。
- なりすまされた会社： フィッシングメールが、あなたの銀行、Netflix、PayPal、その他のブランドを装っていたなら、その会社の不正対応またはセキュリティチームに転送してください（多くはフィッシング報告用アドレスを公開しています。例：phishing@paypal.com）。彼らはサイトを閉鎖させる措置を取れます。
- 各国のサイバー犯罪機関： 米国では、Anti-Phishing Working Group（reportphishing@apwg.org）に報告し、メールを phishing-report@us-cert.gov に転送してください。英国では、National Cyber Security Centreの報告ツールを使ってください。
iPhoneやAndroidでクリックした場合の注記
多くの人が、パニックで「フィッシングリンク クリック iPhone」や「フィッシングリンク クリック Android」と検索します。正直な答えはこうです。現代のモバイルOSは、強力なサンドボックス化を備えています。リンクをタップすること — たとえ悪意あるものでも — が、自動的なコード実行や感染につながることは、ごくまれです。
モバイルでの本当のリスクは、デスクトップと同じです。あなたが何を入力したか、です。モバイルの画面は小さく、URLは検査しにくく、攻撃者はこれを知っています — フィッシングサイトは、スマホで完璧に見えるよう、ますます巧妙に設計されています。モバイルサイトで認証情報や支払い情報を入力したなら、どのデバイスを使ったかにかかわらず、上記のステップ2と5に従ってください。
リンクをクリックしただけで（何もダウンロードもインストールもせずに）スマホを工場出荷時にリセットすることは、ほぼ必要ありません。工場出荷時リセットは、不審なアプリをインストールしてしまい、それを削除できない場合のために取っておきましょう。
予防：次回はクリックする前にリンクを確認する
この状況を避ける唯一最良の方法は、本物のデバイスで開く前にリンクを確認することです。
2つの選択肢が、これを簡単にします。
まずリンクの読み方を学ぶ。 私たちの 安全なリンクチェッカーガイド は、静的URLスキャナーがなぜ真新しいフィッシングドメインを見逃すのか — そして、代わりに不審なリンクを安全に検査する方法を解説しています。数分で済み、費用はかかりません。
数分後には存在しないブラウザで開く。 Tempbrowserのアナライザー は、あなたの画面にストリーミングされる一時的なクラウドサンドボックス内でリンクを開きます。ページは隔離された環境で動きます — あなたのデバイス上ではなく。セッションが終わると、サンドボックス全体が消去されます。履歴なし、クッキーなし、痕跡なし。ページが何かを試みても、それはまったく別の場所で起こります。Freeプランは登録もクレジットカードも不要です — 1日3回の起動が可能で、各回は最大3分。信頼するかどうかを判断する前に、不審なリンクを検査するには十分すぎるほどです。
不審なリンクの評価についてさらに知りたい方は、私たちのガイドをご覧ください：このリンクは安全？クリックする前に確認する方法。
FAQ
リンクをクリックしただけでスマホをハッキングされますか？
現実世界のほぼすべてのケースで、いいえです。リンクをクリックしてページを読み込むこと自体が、マルウェアをインストールしたりアカウントを侵害したりすることはありません。高度な「ゼロクリック」の悪用は存在しますが、まれで、標的が絞られ、すぐにパッチが当てられます。フィッシング攻撃の圧倒的多数は、あなたが何かを入力すること — パスワード、カード番号、認証コード — を必要とします。クリックしたが何も入力していないなら、リスクは非常に低いです。
クリックしたけど何も入力しなかった場合は？
まず問題ありません。タブを閉じ、ファイルをダウンロードしたなら手早くマルウェアスキャンを実行し、今後数日はアカウントに異常な活動がないか目を配ってください。実際に認証情報を入力していない限り、パスワードの変更は不要です。
フィッシングリンクをクリックした後、工場出荷時にリセットすべきですか？
まず間違いなく不要です — 特に、クリックして閉じただけなら。工場出荷時リセットは、悪意あるアプリがインストールされて削除できない状況のための最終手段です。何もダウンロードもインストールもしていないフィッシングのクリックに対しては、工場出荷時リセットは大幅なやり過ぎであり、不必要にデータを失う原因になります。
クリックせずに不審なリンクを確認するにはどうすればいいですか？
2つのアプローチがうまくいきます。1つ目は、リンクの上にホバーして（デスクトップで）、ブラウザのステータスバーに実際のURLを表示させること — 既知ブランドのスペルミスや、不自然なドメイン拡張子を探しましょう。2つ目は、使い捨ての場所で開くこと。URLを Tempbrowserのアナライザー に貼り付ければ、悪意あるコンテンツはあなたのデバイスに一切触れない隔離されたクラウド環境で動きます。私たちの 安全なリンクチェッカーガイド は、静的スキャナーだけではなぜ不十分なのかを解説しています。
フィッシングリンクをクリックした後、最も一般的な結末は何ですか？
認証情報の窃取が、群を抜いて最も一般的な結末です。攻撃者は、銀行、メールプロバイダー、人気アプリの説得力ある偽ログインページを作り、あなたのユーザー名とパスワードを収集し、その認証情報をすぐに — 多くは数分以内に — 使います。露出したパスワードを素早く変更することが、これほど重要な理由がここにあります。
事後にこれを読んでいるなら、あなたにはもう明確な行動リストがあります。順番に進めれば、分別ある人ができることはすべてやったことになります。これからは、クリックする前の2秒の確認だけで、フィッシング攻撃の危険性を劇的に下げられます。
次の不審なリンクを安全に開こう — 登録不要： Tempbrowserのアナライザー