当ブログでは、お問い合わせ用のメールアドレスをサイドバーに掲載しています。
Google AdSenseの申請時に追加したものです。
インターネット上に普段使用しているメールアドレスを公開することはリスクが高いと考え、iCloudでブログ専用のエイリアスを作成して掲載していました。
それから約1ヶ月半、次のようなメールが届きました。
このメールの不自然な点
Appleのロゴやフォントの色など、本物のメールと間違えてしまいそうですが、次の点が不自然です。
送信者が自分のメールアドレス
送信者（上記画像の左上）が自分のメールアドレス（宛先と同じ）になっており、明らかに不自然です。
通常は「Apple」や「iTunes Store」などと表示されます。
※メールアドレスは偽装できるので、送信元が正しくても油断はできません。
件名・本文が英語
Appleからのメールは通常、日本語で送られてきます。 英語の時点で警戒した方がいいです。
メールの内容
件名
Apple security updates - Apple Support
本文
Dear Client,
This is an automatic message by the system to let you know that you have to confirm your account information within 48 hours.
Your account has been frozen temporarily in order to protect it.
The account will continue to be frozen until it is approved And Validate Your Account Information.
Once you have updated your account records, your information will be confirmed and your account will start to work as normal once again.
This will help protect you in the future. The process does not take more than 3 minutes.
To proceed to confirm your account information please click on the link below and follow the instructions that will be required.
Verify Now >
Thanks,
Apple Customer Support
要約すると、次の通りです。
- あなたのアカウントは凍結された
- アカウント情報を更新すれば、再び使えるようになる
- リンクをクリックして確認して！
当ブログのポリシーは「自分で実際に試してみる」ですが、さすがにこれは試せません。 仮にリンクをクリックした場合、iCloudのログイン情報の入力を求められ、そのまま入力するとアカウントを悪用されてしまう可能性があります。
このように特定の組織になりすまし、利用者の情報を不正に入手しようとするメールを「フィッシングメール」といいます。
対応
今回は下記の対応を行いました。
リンクは絶対に触らない
このようなメールのリンクは、クリックせずに無視します。
メールアドレスが凍結されていないことを確認
このメールを受信したアドレスは、アカウント本体ではなく「エイリアス」（別名）です。 このアドレスが単体で凍結されることはないはずですが、メールが受信できることを一応確認しました。
この確認により、メールに記載されているアカウントの凍結が「嘘」であることが判明しました。
※iCloudでは、1つのアカウントで複数のメールアドレス（エイリアス）を取得し、用途ごとに使い分けることができます。 メインのアドレスと全く異なる文字列を設定できるため、インターネット上での公開にも便利です。
メールを削除
迷惑メールを保存しておいても良いことはありません。
ウイルススキャン
念のため、ウイルス対策ソフトの更新とスキャンを行いました。 結果、問題は見つかりませんでした。
今回の反省点と対策
反省点
今回はリンクをクリックすることもなく、ウイルスも検出されなかったためおそらく問題ありません。
ただし、悪意を持ったメールの画像を表示してしまったことは、セキュリティ上「失敗」です。
メール内の画像を表示する際、画像提供元のサーバーへのアクセスが発生します。 その結果、メールアドレスが有効なものであることが、送信者に気づかれてしまう恐れがあります。
それをきっかけに、迷惑メールが次々と送られてくる可能性もあります。
このような仕掛けを「Webビーコン」といいます。画像がないように見えても、縦横1ピクセルの小さな画像が埋め込まれている場合もあります。
対策
Webビーコンへの対策として、メール表示の際に画像を自動で開かない方法があります。
ご使用のメールクライアントによって異なりますが、ここでは例としてMacの標準アプリ「メール」の設定方法をご紹介します。
メニューバーより[メール]→[環境設定]を選択し、下記画面の[表示]タブを選択します。 画面中央の[メッセージ内のリモートコンテンツを読み込む]のチェックを外し、左上の[x]ボタンで閉じます。
この設定により、メール内の画像が自動では表示されなくなりました。
画像を見る場合は、メール右上の[リモートコンテンツを読み込む]をクリックすることで表示できます。
まとめ
ブログやSNSなど、インターネット上へのメールアドレスの公開はリスクを伴います。
普段使用されているアドレスの掲載は避け、受信メールについても慎重に対応することをおすすめします。