【ちょっと注意喚起。フィッシングメールも、かなり巧妙になっています。】 今朝、こんなメールが届きました。 「セゾンカード ご利用確認のお願い」 Amazonで268,000円利用したので、本人利用か確認してください、という内容。 あれ？ 寝ぼけてiPhoneでも買ったかなw いやいや、セゾンカードそもそも持ってないしw 迷惑メールフィルタをすり抜けて、普通に受信トレイに入っていたので、一瞬ちょっとドキッとしました。 で、せっかくなので中身を少し調べてみたんですが、これが思っていた以上にちゃんと作られていました。 まず、メール内にある 「Amazon.co.jp」 のリンク。 これは、ちゃんと本物のAmazonに飛びます。 でも、一番押してほしいであろう 「利用内容確認の回答はこちら」 のリンク先だけが、 chat.haiboidc[.]com という、セゾンともAmazonとも関係のないドメインになっている。（誤って開かないよう、一部伏せています） つまり、本物のリンクを混ぜて安心させて、肝心なところだけ偽物に飛ばす。 なかなかいやらしい作りです。 さらに気になったのが送信元。 表示上は、 「セゾンカード [email protected]」 になっていました。 メールのヘッダーまで確認すると、 SPF：PASS DKIM：PASS Return-PathもCuenoteのドメイン。 Receivedを見ても、Cuenote系の配信サーバーを経由しているように見えます。 ここで誤解のないように書いておくと、 「Cuenoteが乗っ取られた」ことを意味するわけではありません。 正規アカウントが悪用されたのか、契約者側で何か起きているのか、ほかの経路なのか。 そこは運営会社側で調査しないと分かりません。 ただ、受信する側からすると厄介です。 SPFやDKIMって、「そのメールが、本当にその配信経路から送られているか」を見る仕組みではあるけど、「メールの内容まで本物か」を保証する仕組みではないんですよね。 しかも今回PASSしているのは、あくまで cuenote.jp というドメインに対してです。 表示名が「セゾンカード」になっているだけで、セゾンのドメインから送られたわけではありません。 そして今回、一番気になったのがこれ。 iCloudの迷惑メールフィルタをすり抜けています。 迷惑メールフォルダではなく、普通に受信トレイに届いていました。 ヘッダーを確認しても、 X-Apple-Action: MOVE_TO_FOLDER/INBOX となっていました。 だから僕も最初に、 「268,000円？何か買ったっけ？」 と一瞬思ったわけです。 昔のフィッシングメールって、 日本語がおかしい。 URLが見るからに怪しい。 送信元も怪しい。 迷惑メールフォルダに入っている。 みたいなものが多かった。 でも、今回のように、正規のメール配信サービスを経由しているように見える。 SPF・DKIMもPASSする。 本物のAmazonへのリンクまで混ぜてある。 HTMLもきれい。 日本語も普通。 となると、「見れば分かるでしょ」では、だんだん防げなくなってきます。 ちなみに、「httpsだから安全」でもありません。 HTTPSは、通信が暗号化されているというだけ。そのサイトが本物の企業サイトかどうかは別の話です。 今回は念のため、 クレディセゾン、 Cuenote運営元のユミルリンク、 JPCERT/CC、 フィッシング対策協議会、 Google Safe Browsing、 Apple まで一通り報告しました。 Appleには、iCloudの迷惑メールフィルタを通過したメールとして報告。Googleには、フィッシングURLそのものをSafe Browsingへ報告。Cuenoteには、SPF・DKIMがPASSした状態で配信されているように見えることも含めて、元メールを転送しました。 僕の場合は、「いや、セゾンカード持ってないしw」で気づけました。 でも、実際にセゾンカードを持っていて、たまたま前日にAmazonで買い物していて、朝起きてこのメールが普通の受信トレイに入っていたら。 268,000円という金額を見て、 「え？何これ？」 と慌てて押してしまう人は、普通にいると思います。 なので、最近は、「怪しいメールを見抜く」より、最初から行動を決めておく方がいい。 カード会社や銀行、Amazon、Appleなどから、 「不正利用」 「本人確認」 「アカウント停止」 「支払いに失敗しました」 みたいなメールが来ても、 メール本文のリンクからログインしない。 公式アプリを開く。 もしくは、自分で公式サイトへアクセスする。 そこで本当に問題が起きているか確認する。 結局、これが一番シンプルで強いと思います。 フィッシングメールも、もう「見るからに怪しいメール」だけではないです。 今回みたいに、普通に受信トレイへ入って、一瞬「え？」と思わせるところまで来ています。 皆さまもお気をつけくださいませ。

経営者だから金がある。 事業やってるから儲かってる。 事業を大きくするのは、もっと儲けたいから。 そういう世界観、めちゃくちゃ経営が簡単そうで羨ましいw 売上が増えれば、人も増える。 人が増えれば、固定費も増える。 採用、教育、設備、広告、新規事業。 利益が出ても、次に進むならまた金が出ていく。 経営者になった瞬間、売上が自分の財布に入ってくると思ってるんかな。 だったら僕も今ごろ大金持ちなんだけどなw もちろん、利益は出したい。 儲からない事業は続けられない。 ただ、 「利益を出すために経営する」と「経営者が儲けるために事業をする」は、まったく同じ話じゃない。 むしろ僕の体感では、売上1億〜3、4億くらいの成長途中の会社って、一番キャッシュがないんじゃないかと思うw 売上は増えてる。 会社も大きくなってる。 なのに金はない。 増えた分だけ先に人と事業に突っ込んでるんだから、そりゃそうなる。 この区別すらなく、「経営者＝金持ち」「事業＝金儲け」で語れる世界は、ずいぶん平和でいいなと思う。 そんな簡単なら、みんな経営者やればいいのにw