共有URLを装ったなりすまし・偽リンクへの注意｜相手に正しく信じてもらう

なぜ共有URLがなりすましに使われるのか

共有URLは文字列ひとつで中身を開けるため、相手は「送ってきた人が本物か」をURLそのものからは判断しづらいという特徴があります。攻撃者はこの隙を突き、本物の共有サービスに似せた偽の入口へ誘導しようとします。

近年は、声や見た目を作り込んだなりすましの手口も知られています。普段やり取りしている相手を装ったメッセージとともに偽リンクが送られると、警戒が緩みやすくなります。

リンクの見た目だけで本物と判断するのは危険です。送り手と受け手の双方が、別の手段で確認する習慣を持つことが防御の基本になります。

受け手が確かめるべきこと

リンクを受け取った側は、開く前にいくつか確認すると安全です。急かす文面や、いつもと違う送り方には特に注意します。

• 送り主が本当にその人か、別の連絡手段で確認する
• URLのドメイン（ホスト名）が、聞いていた共有サービスと一致するか見る
• 認証コードやパスワードを、リンクと同じ経路でまとめて送ってきていないか疑う
• 「至急」「今すぐ」と強く急かす文面に乗らない
• 心当たりのない共有や、内容に違和感があれば開かず確認する

よくあるNG例と安全な直し方

共有URLを装ったなりすまし・偽リンクへの注意｜相手に正しく信じてもらうでは、「検索に出さない」と「見られないようにする」を混同しないことが重要です。noindexやrobots.txtは検索エンジンへの指示であり、アクセス制限そのものではありません。

安全に共有するには、誰に見られると困るかを先に決め、URL共有だけで足りるのか、認証や期限が必要なのかを選びます。共有相手と機密度が決まったら、URLのみ・パスワード・メール認証・会社ドメイン認証のどれで渡すかを選びます。

• NG: 機密情報入りHTMLを認証なしURLで共有し、noindexだけで安心する
• OK: パスワード・メール認証・会社ドメイン認証で閲覧者を絞る
• NG: テスト用APIキーや社内URLをHTML内に残したまま渡す
• OK: 公開前に外部送信先、秘密情報、フォーム送信先を確認する

送り手が真正性を示す手順

送る側も、自分のリンクが本物だと相手に伝わるよう工夫できます。相手の不安を減らすことが、結果としてなりすましに付け入る隙を減らします。

1. 共有することを、リンクとは別の手段で事前に伝える
2. 認証コードやパスワードは、リンクとは違う経路で渡す
3. いつも同じサービス・同じ形式のURLで送り、相手に見分けてもらう
4. 公開期限を区切り、古いリンクが出回っても期限切れになるようにする
5. アクセスログで、想定外の閲覧がないか確認する

認証コードの渡し方が鍵になる

メール認証やパスワードを使う場合でも、コードやパスワードをリンクと同じメッセージに書いてしまうと意味が薄れます。リンクを盗み見た相手に、そのまま開く手段まで渡すことになるためです。

リンクはメール、コードは口頭や別のアプリ、というように経路を分けるのが基本です。経路を分けておけば、片方を盗まれてももう片方がないと開けません。

受け手としても、リンクとコードが同じ経路でまとめて届いたら一度立ち止まるべきです。正規の送り手ほど経路を分ける配慮をしている、と覚えておくと見分けの目安になります。

ギガサイト便で信頼を保つ

ギガサイト便の公開URLは 〇〇.giga-site.com の形式で、HTTPSが自動で付きます。いつも同じ形式のURLで送るようにすれば、相手は見慣れた形を手がかりに本物を判断しやすくなります。

さらにメール認証や会社ドメイン認証を併用し、認証情報をリンクと別経路で渡せば、なりすましリンクとの差を相手に示せます。公開期限とアクセスログを組み合わせれば、古いリンクの悪用や想定外の閲覧にも気づきやすくなります。