「note.com」と「nоtе.com」の違い、分かりますか？　情報漏洩が相次ぐ今、見直したい習慣

最近はセキュリティの話題が毎日のように飛び交っていますね。

個人情報の漏えい事件が次々と起きています。

本当にたくさんあるので、皆さん一つ二つヒットしていると思いますが、いかがでしょうか。

私も、いつ登録したのかも覚えていないさくらインターネットからメールアドレスなどの情報が、漏れたらしいです。

漏えいしたら、何が起きるのでしょうか。

漏えいしたのがメールアドレスぐらいなら、それ自体は「嫌だな」というぐらいですが、次に、フィッシング詐欺のメールも増えるはずです。

皆さん、一度はAmazonの偽メールを受け取ったことがありますよね？

実際にどんなフィッシングが来てるかな、と迷惑メールフォルダを見ると、今日もありました。

これ、上の方のリンクはちゃんとAmazonの正規のサイトなんですよ。

でも、「内容を確認する」の方は訳の分からない別サイトになっていました。偽サイトにログインさせて、ログインパスワードなどを窃盗したいのでしょう。

フィッシング詐欺のメールと言えば片言の日本語が特徴的でしたが、文章も以前と比べると自然になっていると思いませんか？

恐らく、AIが書いたんでしょう。

同じように、例えばnoteを騙って私たちを騙そうとするメールも、そのうち来るようになるのかも知れません。

でも、「自分なら見分けられる」とか「送信元のメールアドレスのドメインや、リンク先のURLのドメインが本物と一緒かどうかを確認すれば、大丈夫」と思っておられる方もいらっしゃいますよね。

私も、長い間それで十分だと思っていました。

実は、古典的なメール送信の仕組みとして、送信元のアドレスは送る側が適当に設定できるんです。

でもそうやって偽装すると、今のモダンなメールソフトでは、たいてい警告が出たり、迷惑メールフォルダに自動振り分けされたり、ブロックされたりします（DMARCという技術で）。

だから「送信元メールアドレス（特にドメイン）」の偽装は出来ない。

そこで、何かしらメールに記載されているリンクをクリックしなければならない場合は、必ずドメインが正しいかを確かめるようにしていました。

Amazon.comとAmason.com

とか、

yahoo.comとyanoo.com

とか。

そういうのは分かりやすいじゃないですか。

ところが先日、詐欺師側の涙ぐましい工夫が可能であることを知りました。

それが、

「note.com」と「nоtе.com」。
（※確かめようと、アクセスしないでくださいね）

みなさんから見ても、違いが分からないと思うんですよね。

なぜ、目で確かめるだけでは足りないのか

そもそもドメインとはなんでしょうか。

ざっくり説明すると、サイトやメールアドレスの「住所」にあたる部分です。

URLなら、https:// の後ろから最初の/までの部分で、たとえば https://note.com/ならnote.comです。

これは、このアドレスはnote.comというドメインを取得した人（noteならnote株式会社）が管理している、ということを意味します。

（※手前にさらにサブドメインがついて、editor.note.comなどの場合もありますが、終わりのnote.comが一緒なら、同じ人が所有しているドメインだと思ってください。）

メールアドレスも同じ仕組みです。
@の後ろで、たとえば〇〇@note.comならnote.com 。

URLもメールアドレスも一緒。
後ろの方が根っこで、前半が枝のイメージです。

だから、URLにしてもメールアドレスにしても、「note.com」と書いてあれば本物です。これはインターネットの仕組み上、偽装や詐称が困難です。

そこで、ドメインが本物と同じかを見るのが、私が長年やってきた確かめ方でした。

じゃあ、最初の例はなんだったの？

と思いますよね。

実は、冒頭の例、後者のnоtе.comでは「o」と「e」がラテン文字ではなく、ロシア語などで使われるキリル文字になっています。

気づかれましたか？

人の目には、まったく同じに見えます。

キリル文字には、ほとんどラテン文字と見分けがつかないものがいくつかあるのですよね。

2017年、Xudong Zhengという研究者が、その危険性を示しました。

彼は実際にすべてキリル文字でできたドメイン、аррӏе.com（全部キリル文字）を取得し、当時のGoogle ChromeやFirefoxといったブラウザでは本物のapple.comとまったく同じように表示されることを示したのです。

※今ではChrome側に対策があります（自動的にxn-…というアドレスに変わって表示されます）し、おそらくキリル文字が混じっていると、例に挙げたような.comには登録できないはずです。

ラテン文字とキリル文字が混ざったドメインは、リンク先を見ると「xn--」で始まる、見慣れない英数字の並びで表示されます。

ページを開いた後のアドレスバーも同様に変換されるようです。

でも、そもそも、普段からURLを確認する習慣がなければ、見逃してしまうのではないでしょうか。

メールやSNSの投稿の中では、マウスを乗せれば変換されたxn-…アドレスが表示されますが、リンク自体はまったく普通に見えたままです。

そして、リンクをクリックした時点で、私たちはもう偽ページの中にいます。

先日のGMOの情報漏洩事件で、「攻撃者のサイトを見に行かないように」という注意喚起がされましたよね。

ただアクセスするだけであっても、意外と、アクセスされた側が取得できる情報は多いのです。

その気になれば、リンクに仕込んで、どのメールアドレスの人が、いつどこからクリックした、みたいな情報も取ることができます。

たぶん、一般の方のほとんどは、それで何が出来るのかも、そんなに詳しくは分からないですよね。

だから、ページの内容を見てから何かおかしいと気づくのでは、もう遅い。

さらに、DMARCという、メールが本当に送り主のドメインから送られたかを確かめるメール認証の仕組みがありますが、見た目が似た別のドメインは、この仕組みの対象になっていません。

ですから、似たドメインから送られたメールはすり抜けて、私たちの手元に届くことがあります。

ドメインが一致していてもリンクをクリックしない

目では見分けられずメールシステムでも止められないなら、どう身を守ればよいのでしょうか。

答えはシンプルです。

ドメインが一致していようとどうだろうと、リンクをクリックしない。

目でドメインを確認することに頼るのではなく、毎日使うWebサービスを開く方法を変えるのです。

私は、少なくとも5年以上前から大切なサイト、とくに銀行やクレジットカード会社のサイトは、ブックマークして必ずそこから開くようにしています。

使っているサービスから通知が来ても、通知の中のリンクはクリックしません。必ずブックマークから。

とはいえ、100%いつもできているわけではないと思います。

noteでも、怪しいリンクは絶対にクリックしないようにしましょう。その人自身が信頼できるとしても、誰かのアカウントが乗っ取られている可能性は、いつだってあるのですから。

（この記事は本物が書いています。乗っ取った人が同じように書けるなら、バイト代出すので私の代わりに書いて欲しい）

運営さんから対応が必要なメールが来ても、「これは正しい送信元かな？」というのは、一度、立ち止まって気にしてみてください。

「ちょっと待てよ」と立ち止まり、確認する

何かをクリックする前に、一度立ち止まる。いらないメールは開かない。それだけで、とても頼りになる最初の防御になります。

それでもどうしてもリンクを開きたいときや、そもそもメールで会話している相手が本物かどうか（例えば本物の運営さんかどうか）を確認したい場合がありますよね。

そういう時、まずは、自分の手で「note.com」と打ってみて、メールアドレスの送信元を、ページ内検索するのが良いと思います。

自分で打てばキリル文字が混じることはありません。

送信元情報を見てみたり。

AIに確認してもらうという手もあります。

AIは文字を「見て」いるわけではないので、渡された文字列がラテン文字か、そうじゃないかを見分けるのはごく簡単なことです。

理論上は簡単なはずだったのですが、試しにGemini flash lite（無料版）で確認してみたところ、「このドメインは正しいですか？」と聞くだけでは、10回中5回ぐらいはうまくいきませんでした。（Claudeはうまくいきました）

Geminiを使うのはやめましょう、というのも寂しいので、この方法を使う場合は念入りに確認した方が良いと思います。

例えば、

1. 「このURLの文字はすべてラテン文字ですか？」

2. 「これは公式のドメインですか？」

と二重に確認すると良いかもしれません。

しかし、

ごめんなさい。
やっぱり、無料版のGeminiを使うのはやめましょう。

オススメは天秤.aiのようなサイトで、いくつかのモデルに聞いてみることです。

こんな簡単な問題をミスするのは前世代の少し残念なモデルだけのはずなんですけど。Geminiは、有料のArgonは結構良いと思うのですが、無料版は少し残念ですね。

そもそもAIの回答は確率的なので、必ず同じ結果になるとも限りません。理論上はAI自身に確認する能力はありますが、その点はご留意ください。

新しい手口が次々に現れると、セキュリティの話はとても大変に感じられますし、自分の目で見たものをいつも信じられるわけではないと気づくのは、少し寂しいことでもあります。

でも、怖がりながら暮らす必要はありません。

よく使うサービスをブックマークに入れておくこと、通知が来たら一呼吸おくこと、不安なときは自分の手で打ったものと照合してみたり、（Gemini無料版以外の）AIに何回か聞いてみたり……。

そうやって、毎日のデジタル生活を落ち着いて安全に守っていけばいいのだと思います。

今日はあなたの大切なサイトがブックマークに保存されているか、確認してみるのにちょうどよい日かもしれませんね。

最後まで読んでくださり、ありがとうございました。

参考文献

関連記事

#YeKu
#フィッシング詐欺
#フィッシングメール対策
#偽サイト
#ネットセキュリティ
#個人情報漏洩対策