フィッシング被害にあったか確認する方法｜スキャンでは分からない3つの確認先

※本記事には広告（PR）が含まれます。

偽サイトに情報を入力してしまった、怪しいSMSのリンクを開いてしまった。そのとき「ウイルススキャンをすれば被害の有無が分かるのでは」と考える方が多いのですが、フィッシングの被害はウイルススキャンでは確認できません。

スキャンが調べるのは端末内のファイルです。フィッシングで盗まれるのはIDやカード番号といった情報で、端末には痕跡が残りません。確認すべき場所が違います。

この記事では、実際にどこを見れば被害の有無を確認できるのかを、順番に整理します。

結論：確認するのは3か所

情報を入力しただけなら、端末の検査よりカードとアカウントの確認が先です。逆に、アプリや構成プロファイルを入れてしまった場合は端末の確認も必要になります。

なお、警告画面やSMSを見ただけで何も操作していない場合は、被害が発生している可能性は低くなります。その場合の確認範囲は後述します。

なぜウイルススキャンでは分からないのか

フィッシングは、利用者自身に情報を入力させる手口です。警察庁のフィッシング対策では、実在のサービスをかたる偽のメールやSMSで偽サイトへ誘導し、IDやパスワードなどを盗む手口と説明されています。

つまり、盗まれた情報は攻撃者のサーバーへ送信されて終わりで、端末にマルウェアが残るとは限りません。ウイルススキャンで「脅威は検出されませんでした」と表示されても、それは情報が盗まれていないことの証明にはなりません。

ただし例外があります。偽の不在通知SMSなどから「荷物追跡アプリ」を装ったものをインストールした場合は、端末側にマルウェアが入っている可能性があります。この場合はスキャンが有効です。

1. カードと銀行を確認する

金銭被害は時間が経つほど回復が難しくなります。ここから確認してください。

明細を確認する

カード会社と金融機関の公式アプリ、または自分でブックマークから開いた公式サイトで、直近の利用明細を確認します。少額の不審な決済から始まることがあるため、金額の大小で判断しないでください。

心当たりのない決済があれば連絡する

カード裏面、公式アプリ、公式サイトに記載された窓口へ連絡します。届いたSMSやメールに書かれた電話番号は使わないでください。 その連絡先自体が偽である場合があります。

入力してしまった時点で連絡する

不正利用が確認できるまで待つ必要はありません。カード番号や暗証に関する情報を入力してしまった時点で、利用停止や再発行が必要かを相談してください。

警察庁の案内では、不正送金の被害は金融機関、クレジットカードの不正利用はカード会社が補償制度や相談窓口を設けている場合があるとされています。不正送金については、一般社団法人全国銀行協会が金融犯罪に遭った場合の相談・連絡先を公開しています。

2. アカウントを確認する

IDやパスワードを入力した場合は、乗っ取られていないかを確認します。パスワードを変えるだけでは不十分です。

ログイン履歴を確認する

多くのサービスには、ログイン履歴や接続中の端末を確認する画面があります。見覚えのない日時、地域、端末がないかを確認してください。

メールの転送設定と自動返信を確認する

見落とされやすい項目です。アカウントを乗っ取った側が、気づかれずに情報を得るためにメールの自動転送を設定することがあります。パスワードを変更しても、転送設定が残っていれば、その後のメールは読まれ続けます。

メールサービスの設定から、次を確認してください。

• 自分で設定した覚えのない転送先アドレスがないか
• 不審な自動返信やフィルタ（特定の差出人を自動でアーカイブ・削除するもの）がないか

登録情報と2段階認証の変更を確認する

登録メールアドレス、電話番号、2段階認証の設定が変更されていないかを確認します。ここを書き換えられていると、パスワードを変更しても相手が復旧できてしまいます。

パスワードを変更する

正規のアプリ、または自分で開いた公式サイトから変更します。警察庁は、フィッシングサイトに入力してしまった場合、同じIDやパスワードを使っている全てのサービスで速やかに変更するよう案内しています。使い回しがある場合は、そのすべてが対象です。

3. 端末を確認する

アプリ、構成プロファイル、ファイルをインストールした心当たりがある場合は、端末も確認します。手順は端末ごとに違います。

いずれの端末でも、共通して確認するのは次の点です。

• 見覚えのないアプリが増えていないか
• ブラウザに見覚えのない拡張機能や通知許可がないか
• 端末を管理する権限（iPhoneの構成プロファイル、Androidのデバイス管理アプリ）が追加されていないか

情報の流出が疑われる場合は、確認を始める前にWi-Fiを切って通信を止めてください。

何も入力していない場合

リンクを開いただけ、警告画面を見ただけであれば、被害が発生している可能性は低くなります。それでも次は確認してください。

1. ダウンロードフォルダに見覚えのないファイルが増えていないか
2. ブラウザから通知の許可を求められ、許可していないか
3. アプリや構成プロファイルを入れていないか
4. 利用中のサービスから不審なログイン通知が届いていないか

開く前にURLの安全性を調べる方法は、怪しいURLは安全？無料のURLチェッカーと開いてしまった後の対処法で解説しています。ブラウザに突然表示された警告そのものへの対処は、「ウイルスに感染しました」は偽物？警告が出たときの消し方と対処法を確認してください。

会社のアカウントや端末だった場合

自分だけで対応を終わらせないでください。会社のメール、社内システム、業務用端末が関わる場合は、情報システムの担当者や管理者へ速やかに報告します。

報告が遅れると、同じ手口のメールが社内の他の人へ広がることがあります。対処より先に、まず共有してください。

通報・相談先

警察庁は次の窓口を案内しています。

緊急性が高いのはカード会社と金融機関への連絡です。通報は、その対応を済ませてからで構いません。

なお、フィッシング110番は通報を受け付ける窓口で、同センターのページにも「こちらは相談機関ではありません」と明記されています。詐欺や不正アクセスの被害相談は、警察の窓口へ連絡してください。

再発を防ぐには

確認と対処が済んだら、同じ手口で繰り返し狙われないようにします。警察庁が挙げている対策のうち、すぐにできるのは次の3点です。

• メールやSMSのリンクから開かず、ブックマークか公式アプリから開く
• IDとパスワードをサービスごとに変える（パスワード管理アプリを使う）
• ワンタイムパスワードや2段階認証を有効にする

そのうえで、偽サイトへの到達自体を減らしたい場合は、フィッシング対策機能を持つセキュリティソフトが選択肢になります。ESET HOME セキュリティには、アンチフィッシングとセーフバンキング（ネットバンキング利用時のブラウザ保護）が含まれます。

ただし、セキュリティソフトを入れれば、すでに入力してしまった情報が戻るわけではありません。この記事の確認と対処を先に済ませてください。

プランごとの違いはESET HOME セキュリティ3プラン比較、家族の端末をまとめる場合はESETを家族・複数台で使う方法で整理しています。

新規購入を検討する場合は、必要な台数と使いたい機能を確認してから、現在の対象製品と販売条件を確認してください。

フィッシング被害の確認でよくある質問

ウイルススキャンで「脅威なし」なら安心してよいですか？

端末内のファイルに問題が見つからなかったという意味です。フィッシングで盗まれるのは情報なので、スキャン結果とは別に、カードとアカウントを確認してください。

入力してしまったのは氏名と住所だけです。放置してよいですか？

金銭被害には直結しにくいものの、その情報を使った次の連絡（実在する配送業者を装ったSMSなど）が届く可能性があります。以降、同種の連絡が来ても、リンクからは開かないでください。

パスワードを変えれば十分ですか？

転送設定、登録メールアドレス、電話番号、2段階認証の設定が書き換えられていないかもあわせて確認してください。ここが残っていると、変更後も影響が続きます。

すぐに被害が出ていなければ大丈夫ですか？

入力した情報がすぐに使われるとは限りません。しばらく経ってから利用されることもあります。明細の確認を数か月は続けてください。

偽サイトかどうか、後からでも確認できますか？

開いたURLが残っていれば、URLチェッカーで確認できます。方法は怪しいURLの確認方法で解説しています。ただし、確認結果にかかわらず、入力した情報への対処は先に進めてください。

まとめ

フィッシング被害の確認は、次の順序で進めます。

1. ウイルススキャンでは確認できないことを理解する
2. カードと銀行の明細を確認し、入力した時点で公式窓口へ連絡する
3. アカウントのログイン履歴、メール転送設定、登録情報、2段階認証を確認する
4. パスワードを変更する（使い回しているサービスもすべて）
5. アプリやプロファイルを入れた場合は、端末ごとの手順で確認する
6. 会社のアカウント・端末なら、まず担当者へ報告する

端末側の確認は、iPhone・Android・Mac・Windowsのそれぞれの手順にまとめています。