【注意】ココナラを装ったフィッシングDMが届いた話｜見分け方と、報告したらどうなったか

論から書きます。ココナラの本人確認が、DMやPDFで求められることはありません。これだけ覚えて帰っていただければ、この記事の目的はほぼ果たせます。

とはいえ、実物を見ないとピンと来ないと思うので、届いたものをそのまま再現します。

出品を公開した、2時間後に届いた

その日は、25本の出品をひととおり作り終えて、ようやく公開までこぎつけた日でした。夜の9時40分に公開。正直、かなり疲れていました。

2時間ほど経って、通知が来ます。

知らないIDからのメッセージでした。アイコンはココナラの公式ロゴ。件名は「【重要】アカウントのセキュリティ認証について」。

本文には、確認が必要な取引が検出されたので、72時間以内に添付の書類を確認して認証手続きを完了してください、と書かれています。期限内に手続きが行われない場合はアカウントの利用を制限する場合があります、とも。

添付されていたPDFのファイル名は「ご請求書.pdf」でした。

余談ですが、この「ご請求書.pdf」というファイル名が、結果的にいちばん助かった部分でした。セキュリティ認証の話をしているのに、なぜ請求書なのか。心当たりがなさすぎて、逆に手が止まりました。使い回しているテンプレートの詰めが甘かったのだと思います。

おかしいと思った点

3つ挙げますが、気づいた順番でいうと最後に書くものが最初でした。

公式は、個人のDMで来ない

ココナラからの正式な連絡は、お知らせやメールといった経路で届きます。個人間のメッセージ機能を使って、運営が個別に認証を求めてくることはありません。

そしてIDです。サポートを名乗る文字列が入っていました。名乗るのは自由なので、これ自体は証拠になりません。ただ、公式を名乗りながら個人のメッセージ機能を使っている時点で、経路と名乗りが矛盾しています。

アイコンは、誰でも設定できる

公式のロゴを画像として保存して、自分のアイコンに設定する。それだけです。技術的な難しさは何もありません。

ここが、この手口のいちばん効くところだと思います。私たちは普段、送信元を「アイコンと名前」で判断しています。メールでもLINEでも、そうしています。その習慣をそのまま利用されると、疑うきっかけを持てません。

だから、見た目で判断するのをやめたほうが早いです。見るべきなのは、どの経路で届いたか。そして、こちらに何をさせようとしているか。

72時間、という期限

期限を切るのは、考える時間を奪うためです。

「調べてから対応しよう」と思われた時点で、この手口は失敗します。だから急がせる。逆に言えば、期限が短いほど疑ってよいということになります。

本物の連絡は、期限を切りません。切る場合でも、脅し文句はつけません。「利用を制限させていただきます」という書き方が出てきたら、そこで止まったほうがいいです。

決め手は、ココナラ自身が出していた警告だった

ここが実は、最初に気づいた点でした。

メッセージ画面を開いた瞬間、いちばん上に赤い帯が出ていたのです。「ココナラを装った不審なメッセージにご注意ください」。外部サイトへの誘導や、個人情報の入力を求めるメッセージに注意するように、と書かれていました。

つまり、プラットフォーム側がこの手口を把握しているということです。

これは、自分だけに届いたものではないという意味でもあります。同じものが、いま他の出品者にも届いている。私が報告したところで根本的には終わらないのですが、少なくとも「自分の判断が神経質すぎるのでは」という迷いは、この帯を見た時点で消えました。

本物の本人確認は、どこで行われるのか

ここを知っておくと、迷う余地がなくなります。

ココナラの本人確認は、マイページから進んで、サイトの中で完結します。書類の提出も、その画面の中で行います。DMもPDFも、外部サイトも、一切介在しません。

逆に言えば、DMで認証を求められた時点で偽物が確定します。判断に迷う必要はありません。中身を読む必要すらありません。

なぜサイトの中で完結する作りになっているのか、という話も少しだけ書いておきます。本人確認の書類には、免許証や保険証といった、外に出したら困るものが含まれます。

それを外部の経路でやり取りさせる設計は、プラットフォーム側にとってもリスクでしかありません。だから、閉じた場所から出さない作りになっています。

この構造を知っていると、「外に持ち出そうとしている」という一点だけで偽物を判別できます。ココナラに限った話ではなく、他の取引サービスでも同じです。

なぜ、出品した直後に届いたのか

タイミングが良すぎたので、あとから考えてみました。

出品を公開すると、その情報は誰にでも見えます。新着として並ぶので、「今日から出品を始めた人」を見つけるのは簡単です。

そして、公開した直後の人はこういう状態にあります。設定まわりを触ったばかりで、どんな通知が正常なのか分かっていない。評価がまだ無いので、アカウントの状態が気になっている。「制限されます」と言われると、確認しておこうという気持ちになる。

狙われているのは、知識ではなく「気になっている状態」のほうだと思います。これは経験の有無とあまり関係がありません。ベテランでも、アカウントに何か起きたと言われれば気になります。

もし開いてしまったら

落ち着いて、どこまで進んだかで判断します。

PDFを開いただけ、リンクを踏んだだけで、何も入力していないのであれば、実害が出ることはほぼありません。報告して終わりで構いません。

IDとパスワードを入力してしまった場合は、すぐにパスワードを変更してください。そのうえで2段階認証を設定します。この順番が大事で、パスワードを変えないまま2段階認証だけ入れても、すでに漏れた情報は生きたままです。

カード情報を入力してしまった場合は、カード会社に連絡してください。利用停止と再発行を依頼します。こちらは時間との勝負になるので、迷わず電話したほうがいいです。

報告のしかたと、報告したらどうなったか

メッセージ画面から違反報告を選んで、何をされたかを書いて送信する。それだけです。3分もかかりません。

書く内容で迷ったので、私が実際に書いた要素を挙げておきます。運営がロゴを無断使用されている点、公式を装って認証を求めている点、PDFで外部へ誘導しようとしている点。この3つを、見たまま書きました。感想や推測は入れず、事実だけにしています。

凝った文章にする必要はありません。運営側は同じ手口を大量に見ているはずなので、特徴が伝わればそれで足ります。

やらないほうがいいのは、返信することです。問い詰めたくなりますが、反応があること自体が相手にとっては成果になります。生きているアカウントだと分かれば、手口を変えてまた来ます。無視して報告するのが、いちばん効きます。

結果としては、翌日には相手のアカウントが利用制限になっていました。こちらがしたのは、違反報告を1回送っただけです。

自分が引っかからなければ終わり、ではないと思っています。報告は、次に届く誰かを止めることにつながります。手間としては数分なので、やっておいて損はありません。

普段からできること

いちばん効くのは、リンクを踏まずに自分でマイページを開く習慣です。何か通知が来て気になったら、そのメッセージの中のリンクではなく、いつも使っているブックマークやアプリから入る。これだけで、偽サイトに入力してしまう経路がなくなります。

2段階認証も、できれば先に入れておいてください。漏れてから設定しても、そのときには手遅れです。

チェックリスト

1つでも当てはまったら、そのまま閉じて構いません。

・公式の名前を名乗っているのに、個人のDMで届いた

・アイコンが公式ロゴになっている

・「◯時間以内」と期限が切られている

・PDFやリンクを開かせようとしている

・サイトの外で入力させようとしている

迷ったら開かない。それで困ることは、まずありません。本当に必要な連絡なら、サイトの中のお知らせにも残ります。

まとめ

この件で改めて思ったのは、出品を始めた直後がいちばん狙われやすいということでした。設定に慣れていなくて、アカウントの状態が気になっていて、しかも疲れている。その3つが揃う時期です。

もしこれから出品を始める方がいたら、公開した日の夜あたりに、こういうメッセージが来るかもしれないと頭の隅に置いておいてください。知っているだけで、開く前に手が止まります。

出品まわりで「これは大丈夫なのか」と迷うことがあれば、気軽に聞いてください。25本の出品を作る過程でひととおり詰まったので、たいていの落とし穴は通ってきています。