三菱UFJニコス「MUFGカード」のフィッシングメールに注意

最近、三菱UFJニコスを装ったMUFGカードのフィッシングメールが横行しているようなので、くれぐれもアクセスしないように注意をしよう。

1. MUFGカードのフィッシングメール

先日、上記のメールが届いた。

どうしてフィッシングメールだと分かるのかというと、私はMUFGカードを持っていないからだ。

「家族がMUFGカードを作っているが・・・」の延長から推測しても、やはりおかしい。

ちなみに送り主のアドレスは「evo6-5455@dolphin.ocn.ne.jp」なので、このアドレスから送られてきたメースは無視しよう。

2. MUFGに問い合わせてみた

私「MUFGカードを持っていないのですが、登録変更のお願いメールが届きました。」

MUFG「お客様はMUFGカードを持っておられないとのことなので、それはフィッシングメールだと思います。」

私「やっぱりそうですよね。」

MUFG「そうですね・・・。メールを破棄して頂き、リンク先にもアクセスしないようにお願い致します。」

私「リンクにアクセスしたらどうなるんですか？」

MUFG「いろんなケースが報告されていますが、ウイルスに感染したり、偽サイトでパスワードを抜き取られるといったトラブルがあります。」

私「やばいですね・・・。」

MUFG「ちなみに、日時を教えて頂いてもよろしいでしょうか？」

私「2018年4月15日の日曜日、22時51分です。」

MUFG「つい先日ですね・・・。わざわざご連絡して頂きありがとうございました。」

3. 自分が持っているカードなら引っかかる？

どうやらMUFGカードのフィッシングメールについては、三菱UFGニコス会員であるかどうかに関わらず送られており、お問い合わせの件数が多いようだ。

基本的にフィッシングメールは迷惑メールに振り分けられるが、私は仕事のメールがたまに迷惑メールに入ってしまうことからも、毎日必ず迷惑メールもチェックしている。

さすがにMUFGカードを持っていないのでフィッシングメールだと分かったが、自分が利用しているカード会社や銀行からのメールにおいて、もう少し本格的な文脈なら引っかかるかもしれないと思った。

3-1. 不安を煽る2つの文章

今回のMUFGカードのフィッシングメールにおいて、

「MUFGカードWEBサービスに対し、第三者によるアクセスを確認いたしました。」

「万全を期すため、本日、お客様のご登録IDを以下のとおり暫定的に変更させていただきました。」

この2つの文章が罠であり、ここに不安を煽られる。

不正アクセスが確認されたと断言されて、さらにIDを変更されたと言われたら、当然ながら不安心理はMAXだ。

しかし、こうした時は焦っても仕方がないので、冷静に文章と状況を分析しよう。

3-2. そもそも勝手に登録内容を変更されるのか？

カードのWEBサービスにおける登録内容とは、以下のようなものだ。

• ログインID
• パスワード
• カード番号
• 住所や氏名など

基本的にカード会社が独断で上記のような内容を変更することはない。

また、不正アクセスが確認されたと言われても、それはカード会社のセキュリティに問題があるので、責任はカード会社にあることを抑えておこう。

ユーザー視点では、端末登録によって日頃利用していない端末からのアクセスが不正アクセスという考え方もあるが、この場合は登録しているメールアドレスにその旨の通知が届くはずだ。

3-3. 「暫定的」や「自動採番」なんて使わない

「万全を期すため、本日、お客様のご登録IDを以下のとおり暫定的に変更させていただきました。」

この文章の違和感が半端ない。

万全を期すならそのIDに対するアクセスを一旦停止にする方が良心的だし、勝手に暫定変更するなら正式決定の日時も合わせて連絡するのが礼儀だ。

「上記MUFGカードWEBサービスIDは弊社にて自動採番しているものですので、弊社は、インターネット上の不正行為の防止・抑制の観点からサイトとしての信頼性・正当性を高めるため、大変お手数ではございますが、下記URLからログインいただき、任意のIDへの再変更をお願いいたします。」

この文章も違和感が半端ない。

まず、1文が長すぎる。句読点は「句点1：読点2」がスタンダードであり、MUFGのメール担当者が文章苦手なことを想定しても一旦は真ん中で切るだろう。

次に自動採番は珍しい用語であることからも、その意味が分からない人への配慮から使うことはきっとない。

4. フィッシングメールの注意点まとめ

フィッシングメールは三菱UFJニコス以外にも、楽天カードやJCBカードなどすべてのカードにおいて起こり得るトラブルだ。

• 正式URLを確認する
• 正式メールアドレスを確認する
• 文章や内容を良く見る
• ログインは必ず公式サイトから
• メールに貼ってあるリンクをクリックしない

何よりも注意をしておきたいのは、メール内に貼ってあるリンクをクリックしないことだ。

基本的に変なメールが届いたら、公式サイトからログインして状況を把握するようにしよう。

利用しているカード会社や銀行など、どんなサービスに関しても公式サイトをお気に入りへ追加しておくと対処しやすい。