大学のメールシステムを狙ったフィッシング詐欺が急増—正規メールとの見分け方と対策

ブラジルの連邦大学UFS Cがフィッシングメールのキャンペーン啓発を実施しています。毎日41万5千件のメール受信の中から数百のメール詐欺が検知されており、詐欺者は送信者名や公式メール形式を装うなど巧妙な手口を使っています。本記事では、詐欺の仕組み、よくある詐欺パターン、そして自分を守るための具体的な対策を紹介します。

フィッシング詐欺とは

フィッシング詐欺は、詐欺師が公式な企業や機関になりすまして、メール・SNS・LINEやWhatsAppなどのメッセージを通じて、個人情報や機関の情報を盗もうとする行為です。受信者に本物の通信だと思わせることが成功のカギになります。

詐欺師が利用する心理学的トリック

詐欺メールは、人間が考える前に反射的に行動してしまう4つの心理的なトリガーを利用します：

権威性：上司や公式機関からのメールに見えることで、信頼感が生まれます。

緊急性：「今すぐ確認してください」など緊急性を持たせることで、よく考えずに行動させようとします。

希少性：「限定的な機会」や「このままではアクセス不可になります」という恐怖心を利用します。

互恵性：報酬や特典を提供することで、個人情報を提供させようとします。

大学のメールシステムで報告された詐欺パターン

パターン1：「アカウント確認」という名目

詐欺師は「あなたのアカウントを確認する必要があります。ここをクリックしてください」というメールを送ります。大学は決してこのようなリクエストをメールで行いません。パスワード変更の場合は、公式ポータルにアクセスして行う必要があります。

パターン2：「システムメンテナンス」という名目

「システムの混雑やメンテナンスがあります。メールアドレスを確認するために、ここをクリックしてください」という内容のメールが届きます。大学は大規模なメンテナンスや変更を公式ウェブサイトと公式チャネルで周知します。

パターン3：「異常な行動検出」という名目

最近流行している詐欺メールには、公式なサポートメールの署名形式、正しい連絡先、そして実際の公式リンクまで含まれています。しかし、マウスカーソルをリンク上に置くと、実際のリンク先がメールに表示されているアドレスと異なることに気付けます。また、送信者は「UFSC メールサポート」と表示されていますが、実際には乗っ取られたアカウントから送信されています。

詐欺メールを見分けるチェックリスト

送信者を確認する

マウスをクリックせず、送信者の名前の上にマウスカーソルを置いて、真の送信者アドレスを確認してください。スマートフォンの場合は、名前をタップして詳細を表示します。多くの詐欺メールは正規の「名.姓」のアカウントに見えますが、実際のメールアドレスを確認すると異なっています。

リンクを確認する

表示されているテキストと、実際にリンクする場所が異なることがあります。クリックせずにマウスカーソルをリンク上に置き、ブラウザまたはメールクライアントの下部に表示される実際のリンク先を確認してください。以下のようなニセドメインに注意してください：

fake-ufsc.br
mail-ufsc.br
ufsc.com.br
ufsc-edu.br
ufsc.br.suporte.net

正規のドメインは「ufsc.br」または「.ufsc.br」で終わる必要があります。

添付ファイルを確認する

ファイル拡張子（ファイル名の最後の3～4文字）に注意してください。.EXE、.SCR、.BAT、.JS、.VBSなどの実行可能ファイルは、ほぼ間違いなくマルウェア（コンピュータを破壊・侵入・悪用するプログラム）です。「PHOTOS.JPEG.EXE」のような偽装されたファイル名にも注意が必要です。本当に重要なのはファイル名の最後の拡張子です。

メールのトーンを確認する

文体が不自然だと感じたら、詐欺の可能性があります。以下の点に注意してください：

翻訳の質が低い（国際的な詐欺がブラジルに流入している可能性）
過度に形式的な言葉（「閣下」など）
公式コミュニケーションに不ふさわしい俗語や略語、または過度なカジュアルさ

AIの使用により、詐欺師はテキストの正確さと適切さをますます改善しており、このアラームサインの識別がより困難になっています。

要求内容を確認する

大学は決して以下をメールで要求しません：

「パスワードを確認するため、ここをクリックしてください」
「支払いを解放するため、緊急にこのアカウントに転送してください」
「保留中の問題を解決するため、添付のボレットをクリックしてください」
「このリンクで登録データを更新してください」

詐欺メールのクリック後の対応方法

万が一、詐欺メールをクリックしてしまった場合、以下の手順に従ってください：

直ちにパスワードを変更する：影響を受けたサービスのパスワードを、すぐに変更してください。
他のサービスのパスワードも変更する：複数のサービスで同じパスワードを使用していた場合は、それらも変更してください（ただし、複数サービスで同じパスワードを使用することはお勧めできません）。
大学に報告する：機関のメールアカウントの場合、できるだけ早く大学に報告してください。クリックから報告までの時間が短いほど、被害を最小限に抑えられます。
同僚に知らせる：同じメールが他のユーザーにも送信されている可能性が高いため、あなたの部門や関係者に通知してください。

報告方法

大学は非懲罰的な教育方針を採用しており、報告者が罰せられることはありません。迅速な報告が重要です。

パスワードがある場合：https://chamados.setic.ufsc.br
ログインできない場合：https://atendimento.setic.ufsc.br
質問がある場合：SeTIC対応窓口に電話（内線6333）