「フィッシングサイトかもしれないページにパスワードを入力してしまった」
「入力した後に偽物だと気づいた」
「すぐパスワードを変更すれば大丈夫？」
このような状況になると、かなり焦ると思います。
しかし、フィッシングサイトにID・パスワードを入力してしまったからといって、必ずアカウントが乗っ取られたとは限りません。
重要なのは、気づいた後にできるだけ早く適切な対応をすることです。
特に注意したいのは、
「パスワードを変更したから、もう大丈夫」
と考えてしまうことです。
攻撃者がすでにアカウントへログインしていた場合や、同じパスワードを他サービスでも使用している場合、被害が別の場所へ広がる可能性があります。
本記事では、
- フィッシングサイトにパスワードを入力した場合の対処法
- パスワード変更だけでは足りない理由
- 同じパスワードを使っているサービスへの対応
- MFA・認証コードまで入力した場合
- クレジットカード情報も入力した場合
- スマートフォンにアプリをインストールした場合
まで、順番に解説します。
まず確認｜どこまで入力・操作しましたか？
フィッシング被害への対応は、どこまで操作したかによって変わります。
| 状況 | まず行うこと | 緊急度 |
|---|---|---|
| リンクをクリックしただけ | ページを閉じ、不審なDL等を確認 | 中 |
| ID・パスワードを入力 | すぐに正規サイトから変更 | 高 |
| 同じPWを他でも使用 | 他サービスも変更 | 高 |
| カード情報を入力 | カード会社へ連絡・停止等を確認 | 非常に高 |
| OTP・認証コードも入力 | 不正ログイン・取引を至急確認 | 非常に高 |
| アプリをインストール | 端末のアプリ・権限等を確認 | 非常に高 |
特にパスワードと認証コードの両方を入力した場合は、攻撃者がリアルタイムでログインを試みていた可能性も考える必要があります。
1．まず正規サイトからパスワードを変更する
最初に行いたいのがパスワード変更です。
ただし、フィッシングメールやSMSに書かれていたリンクから変更してはいけません。
一度ページを閉じ、
- 公式アプリ
- 自分で開いた公式サイト
- ブックマーク済みの正規サイト
などからサービスへアクセスします。
そこでパスワードを変更してください。
Googleも、フィッシングなどによって第三者にパスワードを知られた可能性がある場合、Googleアカウントおよび同じパスワードを使用しているサイトのパスワード変更を案内しています。
2．同じパスワードを使っているサービスも変更する
ここは非常に重要です。
例えば、フィッシングサイトに入力したパスワードが、
Amazon
Instagram
Google
楽天
ネット銀行
などでも同じだった場合、攻撃者は別サービスでもその組み合わせを試す可能性があります。
これが**パスワードリスト攻撃（Credential Stuffing）**です。
攻撃者からすると、
メールアドレス：example@example.com
パスワード：XXXXXXXX
という組み合わせを一つ入手すれば、
「他のサービスでも同じなのでは？」
と考えることができます。
そのため、フィッシングサイトに入力したものと同じ、または似たパスワードを使用しているサービスについても変更してください。
3．ログイン履歴を確認する
次に確認したいのが、
すでに第三者がログインしていないか
です。
サービスによって名称は異なりますが、
- 最近のログイン
- ログイン履歴
- デバイス
- セッション
- セキュリティアクティビティ
などを確認します。
見るべきポイントは、
知らない端末
心当たりのない時間
通常と異なる場所
見覚えのないブラウザ
などです。
ただし位置情報はIPアドレス等から推定されることがあり、実際の現在地と一致しない場合もあります。
場所だけで判断せず、端末・日時・操作内容を総合的に確認しましょう。
4．知らない端末・セッションをログアウトする
ここはパスワード変更とセットで考えたいところです。
攻撃者がすでにログインしていた場合、サービスによってはログインセッションが残っている可能性があります。
そのため、
- 見覚えのない端末をログアウト
- 不審なセッションを終了
- 必要なら「すべての端末からログアウト」
などを行います。
パスワードを変えることと、すでに入っている人を追い出すことは別の対策だと考えると分かりやすいでしょう。
5．登録メールアドレス・電話番号を確認する
攻撃者がアカウントへ侵入すると、本人が取り戻せないようにアカウントの復旧情報を変更する場合があります。
確認したいのは、
- 登録メールアドレス
- 電話番号
- 復旧用メールアドレス
- MFA設定
- 信頼済み端末
などです。
自分が設定した覚えのない情報が追加されていないか確認してください。
6．メールアカウントを特に確認する
フィッシングで盗まれたのがメールアカウントのパスワードだった場合は、特に注意が必要です。
メールは多くのオンラインサービスで、
パスワード再設定の入口
として利用されています。
攻撃者がメールへアクセスできると、
メールを乗っ取る
↓
別サービスの「パスワードを忘れた」を実行
↓
再設定メールを受信
↓
別サービスまで乗っ取る
という被害拡大につながる可能性があります。
Googleも、アカウントが不正利用された場合には、Gmailの転送設定やフィルタなどに不審な変更がないか確認するよう案内しています。
メールアカウントについては、
- 転送設定
- フィルタ
- 復旧用メール
- 電話番号
- ログイン端末
まで確認してください。
7．MFA・2段階認証を設定する
まだMFA（多要素認証）を利用していない場合は、設定を検討しましょう。
ID・パスワードだけでログインできるサービスの場合、パスワードが盗まれると攻撃者もログインできてしまいます。
MFAを利用すれば、
パスワード
＋
別の認証要素
が必要になるため、不正ログインのリスクを下げられます。
ただし、MFAを設定すればフィッシングを完全に防げるわけではありません。
OTP・SMS認証コードまで入力してしまったら？
ここからは緊急度が一段上がります。
フィッシングサイトに、
ID・パスワード
↓
SMSで届いた認証コード
まで入力してしまった場合、攻撃者がリアルタイムで正規サービスへのログインを試みていた可能性があります。
例えば、
① 偽サイトへID・PWを入力
↓
② 攻撃者が正規サイトへ入力
↓
③ 本物のサービスからSMS認証コードが届く
↓
④ 偽サイトが「認証コードを入力してください」と表示
↓
⑤ ユーザーが入力
↓
⑥ 攻撃者が正規サイトへコードを入力
という流れです。
この場合、ユーザーのスマートフォンへ届くSMS自体は本物です。
だからこそ騙されやすいのです。
「本物の認証コードが届いた＝サイトも本物」ではない
これはぜひ覚えておきたいポイントです。
フィッシングサイトへID・パスワードを入力した直後に本物のSMSが届くと、
「やっぱり正規サイトだったんだ」
と思ってしまうかもしれません。
しかし実際には、攻撃者がそのID・パスワードを使って正規サイトへログインしたため、本物のSMSが発行された可能性があります。
OTPまで入力した場合は、
- ログイン履歴
- 登録情報
- 利用履歴
- 取引履歴
などを速やかに確認してください。
金融・決済サービスの場合は正規の問い合わせ窓口への連絡も検討します。
クレジットカード情報も入力してしまったら？
フィッシングサイトへ、
- カード番号
- 有効期限
- セキュリティコード
- 暗証番号
などを入力した場合は、パスワード変更だけでは対応できません。
カード会社の公式アプリ・公式サイト・カード記載の窓口などから、不正利用やカード停止・再発行について確認してください。
今回モバイル不正対策ラボで取り上げた、
- Mastercard
- VISA
- JCB
- 三井住友カード
- 楽天カード
- イオンカード
などでも、フィッシングへの注意喚起や被害時の対応が案内されています。
Instagramのパスワードを入力してしまった場合
Instagramを装ったフィッシングでは、
「普段と異なる環境からログインされました」
「著作権違反が確認されました」
「アカウントを停止します」
などとして偽ログインページへ誘導する手口が考えられます。
Instagramのパスワードを入力してしまった場合は、正規アプリから、
- パスワード変更
- ログイン状況
- 登録メールアドレス
- 電話番号
- 2段階認証
- 連携サービス
などを確認します。
アカウントを奪われると、フォロワーへのDMなどを通じて被害がさらに広がる可能性があります。
Googleのパスワードを入力してしまった場合
Googleアカウントは特に注意が必要です。
Gmailだけでなく、
- Google Drive
- Google Photos
- YouTube
- Chrome同期
- 他サービスへのGoogleログイン
など、多くのサービスとつながっているためです。
Googleでは、アカウントが不正使用された可能性がある場合、最近のセキュリティイベントやデバイスを確認し、見覚えのない操作への対応を行う手順を提供しています。
Google公式：不正使用されたGoogleアカウントを保護する
Apple Accountのパスワードを入力してしまった場合
Appleも、Apple Accountが不正利用された可能性がある場合、パスワード変更やアカウント情報の確認、身に覚えのないデバイスの削除などを案内しています。
Apple Accountは、
- iCloud
- 写真
- メール
- App Store
- デバイス管理
などとも関連するため、見覚えのない端末が追加されていないか確認しましょう。
Apple公式：Apple Accountの不正利用が疑われる場合
不審なアプリをインストールしてしまった場合
フィッシングはWebページだけとは限りません。
「本人確認アプリをインストールしてください」
「セキュリティアプリを更新してください」
などとして、不正なアプリをインストールさせるケースも考えられます。
特にAndroidでは、不正アプリがアクセシビリティ機能などの権限を悪用し、
- 画面情報の取得
- 入力内容の窃取
- 他アプリへの干渉
- 認証情報の取得
などを試みる可能性があります。
不審なアプリを入れてしまった場合は、その端末から金融サービスなどへのログインを続ける前に、アプリ・権限・端末状態を確認することが重要です。
パスワードを変更したのに不審な操作が続く場合は？
この場合、
パスワード以外の問題
も考える必要があります。
例えば、
- 既存セッションが残っている
- 復旧情報が変更されている
- 不審な外部アプリが連携されている
- メール転送が設定されている
- 端末そのものに問題がある
などです。
単純にパスワードを何度も変更するだけではなく、アカウント全体のセキュリティ設定を確認してください。
今後はパスワードを使い回さない
今回フィッシングサイトに入力したパスワードを複数サービスで使っていた場合、この機会にパスワード管理を見直しましょう。
サービスごとに異なるパスワードを設定すると、
1サービスから漏えい
↓
他サービスへログイン
という被害の連鎖を抑えられます。
覚えるのが難しい場合は、信頼できるパスワードマネージャーを利用する方法もあります。
また、対応サービスではパスキーなど、パスワードに依存しにくくフィッシング耐性を高められる認証方式を利用する方法もあります。
企業側は「パスワードが盗まれること」まで想定する
ここからはサービス提供企業側の視点です。
フィッシング対策というと、
怪しいメールをクリックしないでください
パスワードを入力しないでください
という注意喚起が中心になりがちです。
しかしフィッシングが高度化している以上、
「ユーザーが絶対に騙されない」
ことをセキュリティの前提にするのは難しくなっています。
企業側には、
認証情報が盗まれても被害を拡大させない設計
が求められます。
正しいID・パスワードでログインする攻撃者をどう見抜くか
フィッシングでID・パスワードを盗んだ攻撃者は、
間違ったパスワード
ではなく、
正しいパスワード
でログインします。
つまり、単純なパスワード認証では、
本人なのか
パスワードを盗んだ攻撃者なのか
を区別しにくくなります。
そこで、
- MFA
- Device Binding（端末認証）
- 新規端末検知
- リスクベース認証
- アプリ・実行環境確認
- セッション監視
- 異常行動・取引検知
などを組み合わせる考え方が重要になります。
「認証成功」でセキュリティを終わらせない
例えば金融アプリで、
正しいID・パスワード
↓
ログイン成功
↓
登録電話番号変更
↓
新規振込先登録
↓
高額送金
という操作が行われたとします。
認証だけを見れば「成功」です。
しかし、
新しい端末
＋
普段と違う環境
＋
重要設定変更
＋
高額取引
まで見れば、不正を疑う材料が増えます。
そのため、
認証
↓
端末
↓
アプリ
↓
セッション
↓
操作
↓
取引
までを多層的に評価することが重要です。
まとめ｜パスワードを入力してしまっても、そこで終わりではない
フィッシングサイトにパスワードを入力してしまった場合、まず行いたいのは正規サイトからのパスワード変更です。
しかし、それだけで終わらせないことが重要です。
確認したいのは、
- パスワードを変更する
- 同じパスワードを使用しているサービスも変更する
- ログイン履歴を確認する
- 不審な端末・セッションをログアウトする
- 登録メール・電話番号を確認する
- 外部アプリ連携を確認する
- MFAを設定・確認する
- メールアカウントなら転送設定等も確認する
です。
さらに、
OTPまで入力した
カード情報も入力した
不審なアプリをインストールした
場合は、それぞれ追加の対応が必要になります。
フィッシングに気づいた後は、「入力してしまった」という事実より、その後どれだけ早く被害拡大を止められるかが重要です。
そして企業側でも、利用者に「絶対に騙されないこと」を求めるだけではなく、認証情報が盗まれた場合でも不正アクセスや不正取引を検知・阻止できる多層的なセキュリティ設計が求められます。
関連記事
- 「普段と異なる環境からログインされました」は本物？不審なログイン通知の確認方法
- フィッシング詐欺とは？手口と企業・利用者が知っておきたい対策
- パスワードリスト攻撃とは？スマホアプリが狙われる理由
- 不正ログイン対策とは？企業が確認すべきポイント
- MFAとは？多要素認証の意味と導入時の注意点
- Device Binding（端末認証）とは？金融アプリで注目される理由
- マスターカードを装う迷惑メールをクリックしてしまったら？確認すべきポイントと対処法
- VISAを装う迷惑メールをクリックしてしまったら？本物との見分け方と対処法
- Androidアクセシビリティ機能を悪用した攻撃とは？金融アプリが注意すべき最新手口を解説