（画面は某銀行から届いたメール画面）

皆さんこんにちは。
プライバシーザムライ中康二です。

この記事は、先日から書いている記事の続きです。
フィッシング詐欺は見ただけでは見抜けない〜高まるドメインの重要性〜
フィッシング詐欺は見ただけでは見抜けない(2)〜やはり高まるドメインの重要性〜

本物そっくりの詐欺サイトがあった場合に、
本物かどうかを知るためにはドメインを確認するしかない
ということをお書きしました。

今回はその手前、本物そっくりの詐欺メールが送られてきた場合に、
本物かどうかを知るためにはドメインを確認するしかないという話です。

昨日、私の会社のメールアドレスに、某銀行から発信されたと思われるメールが届きました。
（トップ画像がそれです）

当社では、その某銀行とお取引があります。
いただいているメールアドレスは確かにその銀行に登録してあるアドレス
と思われます。ですから、少しは心当たりはありました。
しかし、送信者アドレスは「noreply@qemailserver.com」というものでしたし、
リンク先アドレスも某銀行とは全く関係のないドメインのURLでした。

お問い合わせ先の電話番号がありましたが、
それもその銀行の正式な番号かどうか確認できませんでしたし、
お問い合わせメールアドレスのドメインも
その銀行のWebサイトとは異なるドメインでした。

もしかすると、これは不特定多数のユーザーに無差別に送信している
詐欺メールの可能性があると不審に思いました。

※もちろんこの時点で、どうせその銀行がアンケート業者のシステムを
使ってメールを送信しているんだろうという考えはありました。
しかし、確証がもてなかったので、このメールが本物なのか、
詐欺メールなのか、最後まで確認しようと思いました。

まず、送信者メールアドレスの
qemailserver.com
を検索してみました。

なんだかいろんな会社のアンケート情報みたいなサイトがヒットしました。
でもよく分からないなと思いました。

次に、リンク先アドレスのドメインである
qualtrics.com
を検索してみました。

やはりアンケートシステムを提供している会社のようです。
しかし、個人的には見たことも聞いたこともない会社です。
もしかしたらこのサイト自体が詐欺サイトの可能性があります。

もう仕方ないと思って問い合わせ先電話番号として記載されている
03-6838-****
という電話番号を検索してみました。

よくある電話番号検索サイトの情報で、
どうやらその銀行らしいということは分かりました。
しかし、そうは言っても、公式サイトでもないし、
それだけの情報で信頼することもできないですよね。

その番号に電話しようと思ったのですが、
たとえ電話して「はい。●●銀行です」と言われたとしても、
その相手が本物かどうか確認する手段もありません。

もうこの辺りで、私はかなりイライラしています。
最後にお問い合わせメールアドレスに記載されている
******-bk.co.jp
をブラウザに打ち込んだところ、何も出てきません！！！！

なんだこりゃ！
（この銀行はなぜか複数の「co.jp」ドメインを使い分けていて、
公式Webサイトと社員用アドレスのドメインが異なっていたようです）

お手上げになった私は、いつもお取引の窓口をしていただいている
その銀行の担当者に電話して聞いてみましたところ
「私たちの知らないところでアンケート調査をしているようですよ」
とのこと。

最終的に、何も確認できず、終わってしまいました。

このまま終わっては悲しいので、最後の最後に
お問い合わせ電話番号に記載されていた番号に電話し、
お名前が記載されていた担当者の方とお話ししてみました。

まあそれでも実際のところ、本物の銀行の方なのか、
偽物の詐欺集団の方なのかは分からないのですが、
しばらくお話ししてみて、総合的に本物と判断しました。

ちなみにその方がおっしゃったことには
1万社に送付して200社程度から既に回答を受け取った
詐欺メールではないかとのお問い合わせは私が2人目である
ということでした。（あくまで参考情報として）

さてさて、
何がよくなかったのでしょうか？
やはりドメインが良くなかったのだと思います。

送信者メールアドレスやリンク先URLが、Webサイトと同じ
******bank.co.jp
であれば、まだ少しは安心して画面を開くことができたでしょう。

qemailserver.com
qualtrics.com
というような、その銀行と関係がなく、またなじみもない
ドメインでは安心して画面を開けないのです。

ということで、やはり今後は、
送信者メールアドレスやリンク先URLには自社ドメインを使う
外部のアンケートシステムなどの利用により自社ドメインが使えない場合には、
そういうメールが届くことを事前に案内しておく
などがセキュリティ的にも今まで以上に重要になってきていると思います。

何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。