いつもは候補が出るのに、ログイン画面でパスワードマネージャーが自動入力しない。偽サイトかもしれない、と感じるのは自然です。ただし、自動入力の有無だけで本物か偽物かを決めることはできません。自動入力されないときは、入力を止めてURLと保存済み情報を照合する合図として使いましょう。
自動入力されないのは「確認の合図」であって、偽サイトの証明ではない
パスワードマネージャーやブラウザの保存機能は、保存したログイン情報にURLやドメインの情報を結び付け、関係のないサイトへ不用意に入力しにくくする仕組みを持ちます。見た目や会社名をまねた偽のログイン画面へ誘導し、IDやパスワードを入力させるフィッシングへの対策の一つです。
一方で、正規サービスでもログイン画面を別のドメインへ移すことがあります。ログイン専用のドメイン、外部の認証事業者、地域・言語別サイト、企業統合やブランド変更に伴う移転などです。入力欄の実装変更、アプリ内ブラウザ、プライベートブラウズ、拡張機能の無効化、保管庫のロック、複数候補の存在でも、自動入力が働かない場合があります。
反対に、自動入力されたことも正規性の証明にはなりません。URLの照合範囲や、完全一致・ドメイン一致・関連ドメインの扱い、警告の出し方は、製品や設定によって異なります。利用中の製品がどこまで照合するかは、公式ヘルプで確認してください。
URLはブランド名ではなく、末尾側のドメインを見る
確認の中心は、アドレスバーに表示されたURLです。URLに会社名らしい単語が含まれていても、その会社のサイトとは限りません。たとえば、login.example.com は example.com 配下のサブドメインです。しかし example.com.attacker.test は attacker.test 配下であり、example.com が左側に含まれていても同じ運営先ではありません。
まず、URLを末尾から読んで、組織が登録しているドメインの単位を確かめます。見慣れない語が本来のドメインの後ろに続いていないか、綴りが似ていないか、余分な単語や見慣れない国別ドメインがないかを見ます。似た文字を使ったURLや、組織の複雑なドメイン運用は画面上だけでは判断しにくいこともあります。
HTTPSや鍵マークも、偽サイトではないことの判定材料にはなりません。HTTPSは、通信経路を暗号化し、接続先ドメインに対する証明書を使う仕組みです。悪意ある運営者も自分のドメインでHTTPSを使えます。鍵マーク、表示名、会社名らしいURLの一部分だけで判断しないことが大切です。
保存済みURLは「過去に確認した入口」として照合する
自動入力されない画面を開いたら、IDやパスワードを手入力も貼り付けもせず、パスワードマネージャーの該当項目を開きます。保存済みURL、項目名、メモ、同じサービス名の複数候補を確認しましょう。保存先が現在の画面と異なる理由を考える手掛かりになります。
ただし、保存済みURLが一文字でも違うから危険、というわけではありません。正規のサービスが account.example.com や login.example.net、外部の認証画面へ移ることはあります。反対に、見慣れないログイン画面を見ただけで、保存済み情報を新しいURLへ上書きしてはいけません。古い項目はすぐ消さず、正規の移転を確認した日と確認方法をメモして整理すると、後で経緯を追えます。
迷ったときは、別の信頼できる入口から開き直す
正規性を確かめるには、その画面のリンクをたどるのではなく、以前から使っているブックマーク、公式アプリ、契約時の案内、すでに確認済みの公式サイトなどからサービスを開き直します。学校や勤務先の組織アカウントなら、案内されたSSO画面や管理者の告知も確認材料になります。検索結果を使う場合も、広告枠や検索結果の表示名だけでログイン先を決めないようにします。
金融、行政、メール、パスワード保管庫のように影響が大きいアカウントでは、SMS、メール、SNS、検索広告のリンクから直接ログインするより、信頼できる入口から到達し直すほうが慎重です。サービスの公式な移転告知などで新しいドメインだと独立に確認できた場合に限り、新しいURLを保存または更新します。
不審な画面に入力してしまった場合
入力済みなら、その画面は閉じ、ブックマークや公式アプリなど正規の入口から対象サービスを開きます。パスワードを変更し、ログイン履歴、登録済みの連絡先、二段階認証の設定を確認してください。必要に応じて、サービスの公式窓口へ相談します。
自動入力は、フィッシングへの注意を促す便利なサインです。しかし判定器ではありません。「自動入力されないなら一度止まる」「URL、保存済み情報、別の正規入口を照合する」という順序を決めておくと、正規の変更にも不審な誘導にも落ち着いて対応しやすくなります。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。