「ANAマイレージクラブ マイル加算のお知らせ」というフィッシング詐欺メールが届きました。
実際にメールのリンクを開いてしまい、ログイン情報も入力してしまった筆者の体験談です。
- 被害状況
- ANA公式に電話して分かること
- やってしまった後の対策
ANAマイレージ加算のフィッシング詐欺に釣られました
朝いつものように起きて、顔を洗って、ストレッチをして、白湯を沸かして…
よっこいしょ
とこたつに座ってスマホでヤフーメールを見ました。
いつもはすぐにはスマホを触らないし、ヤフーメールも朝一ではチェックしないのに、今日に限って朝一で見ます。(布石)
すると、「ANAマイレージクラブ マイル加算のお知らせ」という件名のメールが来てました。
思い当たる節（4カ月前に世界一周航空券を使ったときに、マイルの手動加算手続きした）もあり、メールを開いてみました。既に全フライト分が加算済みかチェックしたのに、です。
こちらがメール本文です。
URLもh**ps://ana.co.jp/ana/と表示されていて公式だろうと思いました。
まだマイル申請漏れがあったのか？とリンクをタップします。
すると、一瞬変なURLが見えた後でANA公式ページに飛びました。
ログインページにいきGoogleパスワードマネージャーでANA会員番号、パスワードを自動入力してログインします。
ログインしてもマイル加算のお知らせなどは無く、あれ？と気になります。
よくよく見てみると怪しいところだらけ…
リンク表示は自由自在に編集できちゃいます。
怪しいリンク（h**ps://vdob.f.msgs.jp/us/c2/JjdYE?t1=z6mt&t2=496eCt2SHLf&t3=Un6Qh)
↓
公式URL（h**ps://ana.co.jp/ana/）
に見せかけてます。
・
・
・
やられた
あーヤバい！押しちゃった！なんならログインもしちゃった！パスワードは変えた方がいいよな…、ANAにも電話しとこう、ギャー！となっていたら夫（ふぁるさん）起床。
おはよう！
ことの顛末を説明し、手分けして対応していきます。
被害状況
リンクを開いてから6時間経過した時点で、マイル、金銭関係の実被害はありません。
マイルの不正利用、他サイトへの不正ログイン（別端末でのログインアラートなど）もないです。
ANAマイレージデスクに電話してみた
ANA公式のマイレージデスクに問い合わせてみました。
電話番号：03-6741-6683
受付時間：月～土：9:00～17:00 ／日・祝・年始休
必要情報：ANA会員番号、AMCパスワード
※自動案内で入力する際に必要
55分ほどかけ続けてやっとつながりました。
問い合わせてご案内いただけたのは下記３点です。
電話口で現時点ではマイルを使われた形跡はないことを教えてくれました。
パスワード変更するよう案内があり、クレジットカード番号を入力していなければ大丈夫だと思うが、心配な場合はANAマイレージクラブに紐づけているクレジットカード再発行を依頼することもできるとのことでした。
パスワード変更（ログインパスワード、AMCパスワード）の促しはあるものの…
電話する前に！！
先に自分で公式サイトからパスワード変更しましょう。
電話で55分待ってから変更するなら先にやってしまった方が早いです。
次にパスワード変更方法をご紹介します。
対策
ANAのパスワード変更
- ANAマイレージクラブにログイン
ANAマイレージクラブ（公式）にANA会員番号、ログインパスワードを入力
検索エンジンで公式ページを出すこと！！ - マイメニューをタップ
- 会員情報の登録・変更をタップ
- パスワードの変更をタップ
- ワンタイムパスワード認証してパスワード変更
この時、必ず検索エンジンでANA公式ページを出してそこから作業しましょう。
フィッシング詐欺のリンクから入ったまま作業すると、ワンタイムパスワードを盗られる可能性があります！
他サイトのメールアドレス、パスワード変更
同じメールアドレス、パスワードを使い回している場合は、他サイトにも不正アクセスされるかも知れません。
パスワードかメールアドレスもしくは、両方とも変更しておくと安心です。
私も使い回しているサイトがあり過ぎて困りましたが、影響が出たら困るサイトから変更しました。（これで１日潰れました）
クレカ明細、お買い物履歴をチェック
クレカ明細、お買い物の履歴をチェックしておきます。
クレカ不正利用には補償期限（利用～2ヶ月以内など）があるので少なくとも月１回はチェックしようと思います。
終わりに
焦ってパニックになってしまうけど、とりあえずANAのパスワード変更してから、ANA公式に電話して対応を仰ぐのが大事です。
万が一クレジットカードの情報を入力してしまったら急いでクレジットカードを止める、銀行口座情報を入れてしまったら銀行へ連絡しましょう。
クレカ、パニックになってもできるように緊急連絡先は控えていた方がいいかもしれません。
あと、個人的には寝起きでメール開かないこと…です。
フィッシング110番という通報窓口もあるので、そこに通報することもできます。ただし、相談機関ではないので通報のみです。登録した詐欺メールアドレスが出回らないように働きかけてくれます。
今回はGoogleパスワードマネージャーが出たので、もしかしたらログインページはANA公式だったのかもしれません。しかし何らかのリンクを踏まされているので、悪いことに使われる可能性は高いです。
生きてるメールアドレスを探る意図だったのか、IDとパスワード（さらには他の情報まで！）を盗られているのか定かではありません…。
もし分かる方いらっしゃいましたら教えてください！
コメント