チャットのリンクは五つの停止点で確かめる

一段目は会話が突然別の用事を始めていないか

日常のやり取りの途中で、至急のログイン、支払い情報の修正、賞品の受け取り、ファイルや拡張機能の導入、QRコードの読み取り、別サービスへの移動を求められたら、新しい依頼として切り離します。CISAの案内は、予期しない依頼、急がせる表現、不審なリンクや添付を確認し、相手とやり取りを続ける代わりに信頼できる窓口から報告する考え方を示しています。表示名やアイコンがいつもと同じでも、それだけで今回の送信者を確定できません。知人のアカウントが本人の意図しないメッセージを送ることもあります。確認するなら、以前から知っている電話番号、保存済みの連絡先、別の既存チャネルを使い、そのメッセージ内に新しく書かれた連絡先は使いません。

二段目で表示先を読み、三段目で公式入口へ移動する

アプリのリンク詳細、長押しのプレビュー、パソコンならカーソル表示を使い、ページを読み込む前にホスト名を確認します。似た文字への置き換え、ブランド名を含むだけの長いサブドメイン、短縮URL、IPアドレス、見慣れないポート、複数の転送、表示文字と実際のURLの不一致を分けて見ます。HTTPSや鍵の表示は端末からそのサイトまでの接続状態を示しますが、運営者が名乗っている組織本人だという証明ではありません。既知のサービスを名乗るリンクなら、疑わしい文字列を修正して試すのではなく、いったん閉じます。その後、インストール済みの公式アプリ、保存済みのブックマーク、別に調べて確認した公式トップページから同じ案内が存在するかを確かめます。秘密の招待URLや復旧URLを第三者の公開スキャナーへ送る方法は、この確認の代わりになりません。

四段目で操作を分類し、五段目で認証の境界を守る

公開情報を読むだけのページと、サインイン、ワンタイムコード、アカウント復旧、支払い、ファイル取得、ブラウザー権限、構成プロファイル、公式ストア外のアプリ導入を求めるページは同じ扱いにできません。続ける前に、求められている操作を短い言葉で書き出します。認証が必要なら、チャットのリンクを入口にせず、自分で到達した公式画面から始めます。NISTの要件では、フィッシング耐性は正規の検証者や保護されたチャネルとの技術的な結び付きで考えられ、利用者が見た目を見抜くことだけには依存しません。通常のパスワードや手入力するワンタイム出力は、それ自体ではこの性質を持ちません。より強い認証方法を利用していても、自分が開始していない承認通知は許可せず、取り消して既知の入口からやり直します。

製品側は恐怖ではなく遷移先の曖昧さを減らす

コンパニオンアプリは、リンクの横に有効なホスト名を出す、転送があることを示す、外部ページを自動で開かない、非公開URLを取得し得るリッチプレビューを抑える、通常の移動とダウンロードを分ける、といった設計ができます。報告機能は必要な技術情報だけを選び、送信される時刻、表示アカウント、URLのホスト部分、端末情報を事前に説明すると判断しやすくなります。一方、外部リンクをすべて危険と断定したり、カウントダウンで急がせたりする必要はありません。サービスが管理するリダイレクトについて、OWASPは安全な行き先への固定マッピングや厳格な検証を示しており、任意のURLパラメーターをそのまま出口にする設計とは区別されます。警告が出なかったことも、そのページの正当性を保証する結果ではありません。

報告と復旧を限定し、無害な負のテストを行う

まだ開いていない場合は、アプリ内の現在の報告操作か、自分で到達した公式サイトの窓口を使います。記録は受信時刻、画面上の送信者、見えていたホスト名、報告番号に絞り、私的な会話をむやみに転記しません。ページを開いたものの何も入力していないなら、閉じてダウンロードを取り消し、ブラウザーのダウンロード履歴と権限状態を確認します。認証情報を送信した、または予期しない認証を承認した場合は、既知の公式入口からそのサービスの現在のアカウント保護手順を開き、セッションと影響した認証情報を確認します。製品の挙動を試すときは、トークンを含まない公開公式ページと、自分が管理権限を持つ無害な転送だけを使用します。類似ドメインを作ったり、他人へ欺くメッセージを送ったり、実在する悪性URLを開いたりしません。外部遷移の確認画面でキャンセルし、新しいタブ、ダウンロード、ログイン画面が残らないことを確かめる負のテストを最後に加え、アプリ版、端末、リンク種別、期待結果、実際の表示を記録します。

このテーマをさらに見る