フィッシングメールのリンクを開いてしまったときの対処とは、何をどこまで入力したかを確かめ、その状況に合う手順を順番に実行することです。リンクを開いただけで何も入力していなければ、被害の可能性は低いとされています。IDやパスワード、カード番号、SMSの認証コードを入力した場合は、入力先への連絡とパスワードの変更が必要です。この記事は、踏んでしまった後の動きに絞って、状況別に手順をまとめました。見分け方や予防はフィッシング対策の基本｜見分け方7つと自社ドメインを守るSPF・DKIM・DMARC設定で解説しています。

まず、次の3つだけ覚えてください。

1. 何を入力したかを思い出し、画面の写真かメモを残す（入力していなければ、アカウントの履歴を確認するだけで足ります）
2. 入力した先のサービスは、メールのリンクではなく公式アプリやブックマークから開き、パスワードを変える
3. 会社のメールや端末なら、変更より先に社内の担当者へ一言報告する

まず状況を切り分ける

やることは「何をしたか」で決まります。自分がどこまで進んだかを確かめてから、該当する行の手順に進みます。

フィッシング対策協議会は、公式を装ったメールやSMSのリンクを開いただけで個人情報を入力していなければ、被害の可能性は低いとしています。ここから先は、表の行ごとに手順を説明します。

状況別の対処手順

どの状況でも、メールやSMSのリンクや電話番号は使わず、公式アプリやブックマーク、カード裏面の番号から連絡してください。

ケース1｜リンクを開いただけで何も入力していない

入力もダウンロードもしていなければ、慌てる必要はありません。念のため、かたられたサービスの公式アプリかブックマークからログインし、アクセス履歴に見覚えのない記録がないかを見ます。不審なアクセスがあればパスワードを変更します。メールとSMSは削除しておきます。

ケース2｜添付ファイルを開いた・ファイルをダウンロードした

ファイルを開いて「マクロを有効にする」を押した、実行ファイルを動かした、という場合は、ウイルス（マルウェア）に感染した可能性があります。まずLANケーブルを抜く、Wi-Fiを切るなどして、端末をネットワークから切り離します。

そのうえでセキュリティソフトの完全スキャンを実行します。会社の端末なら、自分で駆除せず、担当者や保守業者に渡してください。この端末で入力したパスワードは盗まれた前提で、別の安全な端末から変更します。端末が汚染されたまま変更しても、新しいパスワードも盗まれるためです。

ケース3｜ID・パスワードを入力してしまった

入力先のサービスのパスワードを、公式の画面から変更します。フィッシング対策協議会は、入力したのに手続きが完了せず画面が真っ白になる、トップ画面に戻る、といった場合は入力先が偽サイトだった可能性があるとしています。また、入力後にログインできなくなったときは、パスワードを変えられている恐れがあるため、再設定とサポートセンターへの連絡を案内しています。

同じパスワードを他のサービスにも使っているなら、そちらもすべて変更します。変更後は、登録メールアドレスや電話番号が書き換えられていないかも確認してください。

ケース4｜クレジットカード番号を入力してしまった

カード裏面に書かれたカード会社の連絡先に電話し、入力してしまったことを伝えます。山口県などの自治体の案内でも、カード会社への連絡と利用停止、不正利用の確認が示されています。カード番号、有効期限、セキュリティコードを入力した場合は、利用停止とカードの再発行をカード会社に相談するのが一般的な流れです。

身に覚えのない請求があれば、その旨を伝えて調査を依頼します。補償の扱いや申請できる期間はカード会社ごとに異なるため、連絡時に必ず確認してください。再発行後は、カードを登録している通販サイトなどの支払い設定も更新が必要です。

ケース5｜SMSの認証コードを入力した・教えてしまった

認証コードは、本人確認の最後の鍵にあたります。偽サイトに入力した、あるいは電話の相手に伝えた場合は、攻撃者が本人になりすましてログインや決済を進められる状態になっている恐れがあります。コードを発行した事業者（銀行、決済サービス、通信会社など）に、公式アプリや正規の電話番号から連絡し、その旨を伝えます。続けてパスワードを変更し、警察に相談してください。

なお、操作していないのに認証コードが届いた場合も、不正ログインの試みのサインです。フィッシング対策協議会は、この場合もパスワードを変更し、多要素認証またはパスキーを設定するよう案内しています。

ケース6｜怪しいアプリをインストールした

メールやSMSのリンクから、公式ストア以外でアプリを入れてしまった場合は、そのアプリを削除し、セキュリティスキャンを行います。入れた後に入力したパスワードは盗まれた可能性があるため、端末が正常に戻ってから、メール、銀行、クラウドの順に変更します。不安が残るときは、端末の初期化を検討します。

GoogleとMicrosoftアカウントの見直し方

GoogleやMicrosoftのアカウントが乗っ取られると、被害は他のサービスにも広がります。パスワードの変更とあわせて、他人がログインしたままになっていないかを確認します。画面は更新されることがあるため、操作は各公式ヘルプでご確認ください。

Googleアカウントの確認とログアウト

Googleのヘルプでは、Googleアカウントの「セキュリティとログイン」を開き、「最近のセキュリティ イベント」で心当たりのない操作を確認するよう案内されています。覚えのないデバイスは、「お使いのデバイス」から管理画面を開いて「ログアウト」を選べます。複数の端末から接続されている場合に備え、同じ名前のデバイスが複数あれば、それぞれからログアウトします。そのうえでパスワードを変更し、2段階認証プロセスを有効にします。

Microsoftアカウントの確認

Microsoftのサポートページによると、Microsoftアカウントの「最近のアクティビティ」には、過去30日以内にアカウントを使用した日時と場所が表示されます。メール内のリンクではなく、自分で公式のサインインページを開いて確認してください。身に覚えのない履歴があれば、パスワードを変更し、セキュリティ情報（登録している電話番号やメールアドレス）が書き換えられていないかを見ます。組織のアカウントなら、先に管理者へ連絡します。

会社のアカウント・端末だった場合の動き方

会社のメールや業務システムのID、会社の端末が関わるときは、個人の問題で終わりません。自分で直そうとして連絡が遅れると、取引先や顧客に影響が出ます。順番は「報告、保全、周知」です。

社内にはまず事実だけを伝える

上長か情報システムの担当者に、いつ、どの端末で、何を押し、何を入力したかを伝えます。経緯の説明は後で構いません。報告先がない個人事業主は、契約先のサポートに相談します。報告が遅れるのがいちばん困るので、責めない運用を前もって決めておくと言い出しやすくなります。

メールアカウントが使われていないかを確認する

メールアカウントの認証情報を盗まれると、本人のアドレスから取引先へ偽のメールが送られることがあります。送信済みフォルダに覚えのないメールがないか、受信トレイの振り分けや自動転送のルールが勝手に追加されていないかを確認します。見つけたら画面を保存してから削除し、パスワードを変更します。

なりすましメールが出てしまったときの取引先への連絡

自社のアドレスから不審なメールが出たことがわかったら、取引先には早めに、短く連絡します。伝えるのは、いつごろ、どんな件名や内容のメールが出たか、添付ファイルやリンクを開いていたら削除してほしいこと、振込先の変更などの依頼が書かれていても対応しないでほしいことの3点です。わかっていることだけを先に伝え、続報は後から出します。

お詫びの文面は長くせず、事実、お願い、問い合わせ先の順に整えます。個人情報の流出が疑われるときは、連絡の範囲や報告の要否を専門家や所管の窓口に相談して決めてください。

相談窓口の一覧

電話番号や受付時間は変わることがあるため、最新情報は公式サイトでご確認ください。

警察と消費生活センターの使い分け

お金を失った、または失う恐れがあるときは警察と、利用したサービスの窓口の両方に連絡します。警察庁のサイトには、全国共通のオンライン窓口があり、お住まいの都道府県を選ぶと、その都道府県警察に通知されます。人命に関わる緊急の場合は110番です。商品やサービスの契約をめぐるトラブルは、消費者ホットラインの188から最寄りの消費生活相談窓口につながります。

IPAの窓口に相談するときの準備

IPAの安心相談窓口は、ウイルスや不正アクセスの技術的な相談が対象です。法的な判断、契約・支払いの相談、端末やログの調査、捜査の要望は受け付けていません。企業や組織は別の窓口が案内されています。相談前に、端末の種類とOS、クラウドサービス名、時系列の経緯をまとめておくと話が早く進みます。

やってはいけないこと

焦っているときほど、被害を広げる行動を取りがちです。次の4点は避けてください。

• メールやSMSの文中の電話番号、問い合わせリンクを使うこと。偽の窓口につながる
• 電話の相手に言われるまま、認証コードやパスワードを伝えること。銀行や公的機関を名乗る電話は一度切り、正規の番号からかけ直す
• 誰にも言わず放置すること。報告が遅れるほど影響が大きくなる
• 感染が疑われる端末のまま、新しいパスワードを入力し直すこと。パスワードを変えるときは、安全な別の端末を使う

犯人に返信する行動も避けます。連絡先が生きていると知らせるだけになります。

再発防止のために整えておくこと

フィッシングは、完全に避けることはできません。大事なのは、一度引っかかっても被害が大きくならない作りにしておくことです。制作の現場でも、ここを整えているかで事故後の影響が変わります。

多要素認証とパスキーを設定する

パスワードを盗まれても、もう一段の認証があれば、すぐには乗っ取られません。Googleのヘルプでは、2段階認証を有効にすると、ログインは「パスワード＋2つ目の手順」か「パスキー」のどちらかで行われるとされています。パスキーはデバイスの所有者確認で認証するため、偽サイトに入力する、という行為そのものが成り立ちにくくなります。まずメール、銀行、クラウドの順に設定してください。

パスワードの使い回しをやめる

サービスごとに別々のパスワードにしておけば、1つ盗まれても他は守れます。覚えきれない分はパスワード管理ツールに任せるのが現実的です。管理ツールは登録したドメインでしか自動入力しないため、偽サイトで入力欄が埋まらないこと自体が警告になります。無料で使える選択肢はBitwardenとは｜無料で使えるパスワード管理ツールで紹介しています。

WordPressなどの管理画面も守る

自社サイトの管理画面のIDとパスワードが盗まれると、サイトの改ざんなどにつながります。2段階認証やログイン試行の制限は、WordPressのログインセキュリティ対策にまとめています。

よくある質問

Q. フィッシングメールのリンクを押しただけでも危険ですか？

A. 何も入力せず、ファイルもダウンロードしていなければ、被害の可能性は低いとされています。念のため、かたられたサービスのアクセス履歴を公式アプリから確認し、不審な記録があればパスワードを変更してください。

Q. カード番号を入力しましたが、請求はまだありません。連絡は必要ですか？

A. 連絡をおすすめします。入力した情報が後から使われることがあるため、請求がない段階でもカード会社に事情を伝え、利用停止や再発行を相談してください。補償の扱いはカード会社ごとに異なります。

Q. スマートフォンで開いた場合も、パソコンと同じ対処でいいですか？

A. 基本は同じです。入力したか、アプリを入れたかで判断します。

Q. 警察に相談すると、お金は戻りますか？

A. 警察への相談は返金を約束するものではありません。返金や補償は、カード会社、金融機関、決済サービスの窓口に申請します。

Q. 会社の端末でリンクを開いたことを、言わずにおいてもいいですか？

A. 報告してください。会社の端末やアカウントが関わる場合、あなた一人で影響範囲を判断することはできません。早い報告は、会社と取引先を守る行動として扱われるべきです。

まとめ

フィッシングを踏んでしまったときは、何を入力したかを確かめ、状況に合う手順を順番に進めれば大丈夫です。入力なしなら履歴の確認、ID・パスワードなら公式画面からの変更、カード番号ならカード会社への連絡、認証コードなら発行元と警察への相談が目安になります。会社のアカウントが関わるときは、自己判断せず先に報告してください。窓口の電話番号や受付時間は変わることがあるため、最新情報は公式サイトでご確認ください。

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。