フィッシング攻撃とは何か（目的と流れ）
フィッシング攻撃は、銀行・サービス・配送業者など“本物らしい組織”を装い、メールやSMS、偽のWeb画面を通じてユーザーの行動を誘導する攻撃です。多くの場合の目的は、ログイン情報（ID・パスワード）やワンタイムコード、クレジットカード情報、個人情報の入手、もしくは不正送金につながる操作を行わせることにあります。
典型的な流れは次のように整理できます。まず攻撃者は、緊急性や特典、アカウント停止などの“焦り”を作る文面を送ります。次に「確認してください」といった形で、特定のリンクや添付ファイルへ誘導します。最後に、偽サイトや偽の入力フォームで情報を取得し、アカウントの乗っ取りや不正利用へつなげます。
仕組みをシンプルに理解する（どこで失敗が起きるか）
フィッシングは「あなたが入力してしまう瞬間」を狙います。ここで重要なのは、見た目がそれっぽいだけでは防げない点です。攻撃側は、ロゴや文面、画面のレイアウトを“本物に近づける”ことで心理的なハードルを下げます。そのため防御では、次のような判断基準を“行動”に落とし込む必要があります。
1つ目は、相手の正しさではなく「提示された経路の整合性」です。たとえば、メール中のリンクを開くことで初めて到達先が決まる場合、本文の文言だけで安全だと判断してはいけません。2つ目は、入力する情報の種類です。パスワードやワンタイムコードなど“再発行しにくい情報”は、少しでも疑わしい時点で入力を止める判断が有効です。3つ目は、緊急性が強いほど慎重に扱う点です。焦りは、確認の手順を省かせるために使われます。
よくある見分け方（ただし断定はしない）
フィッシングの兆候には傾向がありますが、「この特徴があれば確実に偽物」と断定できるものは多くありません。そこで次の確認は、怪しいかどうかの判定というより“行動の安全側の選択”として使います。
- 文面が強い緊急性を求める（今日中／停止する／至急対応など）
- 一見した送信元や署名が“それっぽい”が、リンク先や参照先の確認ができない
- 添付ファイルの実行や、許可の要求が不自然に早い
- ログインや支払いの手続きを求めるのに、利用者側の通常手順（公式アプリ、公式URLへの手打ち等）と矛盾する
加えて、偽サイトではURL表示、入力フォーム、ボタンの文言などを工夫して“見慣れた体験”に寄せてきます。視覚的な印象だけでなく、「リンク先が本当に意図したものか」を確認する姿勢が大切です。
実践的な確認方法（開く前・入力前にできる）
ここでは、再現性のあるチェックを「開く前」「入力前」「異常があった後」に分けます。
開く前：リンクや案内の扱い
まず、怪しい可能性がある案内では、リンクを直接タップ（クリック）しない判断が基本です。 代わりに、次の方法で到達先の確認を行います。