突然届いたメールやSMSのリンクを開いたとき、保存済みのパスワードが自動入力されなければ「偽物かもしれない」と思うかもしれません。これは確認のきっかけとして有用です。しかし、自動入力の有無だけでサイトの本物・偽物を決めることはできません。
自動入力は「一致しない場所で出しにくくする」補助線
ブラウザやパスワードマネージャーは、保存したログイン情報とWebサイトのアドレスを関連付けます。通常は、保存先と異なるサイトで不用意にパスワードを出さないようにするためです。この仕組みは、サービスごとに異なる長いパスワードを使いやすくし、似た名前のサイトへ手入力してしまう場面を減らす助けにもなります。
そのため、見慣れないリンク先で保存済みの情報が候補に出ないなら、いったん入力を止める判断には意味があります。ただし自動入力は、画面の運営者が正規事業者であることを証明する機能ではありません。ログイン直前の判断材料の一つとして使うのが適切です。
「自動入力されない＝偽物」とは限らない理由
正規サービスでも、ログイン画面だけが別のドメインにあることがあります。会員管理、決済、組織向けのシングルサインオン、外部のID連携先などで、普段と異なる認証ページに移る場合もあります。地域や言語ごとのページ、ログイン用ドメインの変更もあり得ます。
また、ログイン画面を後から表示するページ、別ウィンドウ、アプリ内ブラウザでは、普段と候補の出方が異なることがあります。プライベートブラウズの利用、パスワードマネージャーがロック中であること、保存情報が古いことも原因になります。入力されないからといって、表示中のURLに合わせてパスワードを手入力するのは避けましょう。
「自動入力された＝本物」とも限らない理由
過去に誤ったURLへログイン情報を保存していれば、その登録先で候補が表示される可能性があります。同じ端末を使う別の利用者や、導入済みの拡張機能が保存した項目が混ざることもあります。画面上に入力候補が見えるだけでは、その画面と正規の認証情報が適切に結び付いているとは判断できません。
鍵マークやhttps表示も、通信経路を暗号化していることを示す要素の一つであり、相手が必ず正規事業者だと保証するものではありません。偽サイトは、サービス名に似た文字を混ぜる、ハイフンや単語を足す、紛らわしいサブドメインを使う、見た目が似た国際化ドメインを使う、といった方法でURLを似せることがあります。短時間でURLを完全に見抜こうとするより、不自然さを感じたら開き直すほうが実用的です。
迷ったリンク先では、公式導線へ戻る
メール、SMS、広告、SNS投稿でログインを急かされても、そのリンク先でIDやパスワードを入力せずに閉じます。次に、公式アプリ、普段から使っているブックマーク、または自分で入力した公式サイト名からサービスを開きます。通知された手続きやお知らせが本当にあるかは、公式サイト内で確認します。
自動入力されない場合は、アドレスバーに表示されたドメイン、サービス公式の案内、保存済みログイン情報の登録先を確認します。自動入力された場合でも、突然届いたリンクから開いたのであれば、アクセス経路を疑い、公式導線から開き直します。自動入力の「止まる・出る」は、入力を急ぐ合図ではなく、確認を始める合図です。
保存済みのログイン情報もときどき整理する
ブラウザやパスワードマネージャーの保存一覧を確認し、使わなくなったサービス、古い登録先、自分で保存した覚えのない項目を整理します。拡張機能型のパスワードマネージャーを使う場合は、提供元、求める権限、更新状態も確認対象です。ソフトウェアを更新し、サービスごとに異なるパスワードを使い、利用できる場合は多要素認証やフィッシングに強い認証方式も検討すると、対策を一つに頼り切らずに済みます。
すでに不審な画面へ入力したとき
不審な画面にパスワードを入力した可能性があるときは、その画面のリンクを使わず、正規サイトを自分で開きます。パスワードを変更し、ログイン中の端末や連携アプリ、復旧用メールアドレス・電話番号などを確認します。二段階認証を設定している場合も、登録済みの方法に見覚えのない変更がないか見直します。自動入力は役立つ補助線ですが、最終的には公式導線へ戻って確認する習慣と組み合わせることが大切です。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。