｢送信元が公式ドメイン→安全｣は嘘《GoogleやMicrosoftのサービスが詐欺の"配達役"に》だまされないための3つの習慣

これらの通知はGoogleやMicrosoftのサーバーから送られるため、このフィルターを難なく通過し、受信トレイにまで届いてしまいます。サービス側も不正検出や詐欺ページの削除を進めているものの、作っては消されるいたちごっこが続いており、すり抜けてくるものをゼロにはできません。

実際に報告されている巧妙な手口

では、具体的にどのような形で届くのでしょうか。代表的な3つの事例を紹介します。

1）Googleフォーム：本物のURLで届く偽ログイン画面

攻撃者はGoogleフォームのメール送信機能を使って、標的にメールを送り付けます。そこに記載されたフォームのリンクも「docs.google.com」で始まる本物のURLなので、ブラウザもセキュリティソフトも危険を検知できません。

リンクの先のフォームは、銀行やECサイトのログイン画面を模倣しており、ログインのつもりで入力したアカウント情報が、そのまま攻撃者に窃取されてしまうのです。

なお、Googleフォームの画面下部には「Google フォームでパスワードを送信しないでください」という注意書きが常に表示されています。それでも、本物そっくりのログイン画面を前にすると、この一文は見過ごされてしまいがちです。

（画像：筆者原稿を基に生成AIを使用して編集部作成）

2）OneDrive・SharePoint：ファイル共有通知を装う

攻撃者は自分のOneDriveやSharePointにファイルを置き、標的のメールアドレスへ共有すると、正規のMicrosoftドメインから「ファイルが共有されました」という通知が届きます。

ファイルを開くと偽のログイン画面に誘導され、そこで入力した認証情報が盗まれるという仕組みです。共有通知そのものは本物なので、危険なのはリンクを開くことではなく、その先でパスワードを入力してしまうことです。