夫が海外にいたときに現地で作った口座がある。そろそろ解約しようと思いつつ、為替レートの関係やそっち方面に行ったときにあると便利かもしれないし、たまに現地で現金を引き出したり付帯のクレジットカードを使ったりで、ちびちびそのままにしてあった。秋にそっち方面にまた出張があるので、今度こそ解約手続きをしてこようと思っていた矢先に、「先方」からメールが来たという。曰く、あなたの口座がそろそろ整理口座に入りますので、下記のURLからページを開いてWebでもう一度承認してください（＝口座がもうすぐ死んじゃうので活を入れてあげてね）というようなことが書いてあったらしい。
似たページはいくらでも作れるので、流行のフィッシングじゃないか？と言ったのだが、表示されるページは本物で正しいURLだという。しかしなんでいきなりそんなことを言ってきたのだろうかとか、めんどくさいなとか話しているうちに、

なんで「先方」は夫のメールアドレスを知っているのか？？

という話になった。日本に帰ってくるときは夫の実家に住所変更して、残高証明やさまざまなお知らせはそちらに郵送されてくる。そもそも夫はオンラインバンキングをやっていないし、なによりその当時と今ではメールアドレスが変わっている。つまり銀行側が夫のメールアドレスを知るよしがないので、このメールはフィッシング（Phishing）詐欺である可能性が高い。

改めてメールに記載されたURLをよく見てみると、その銀行のURLのように見えるのだが、一文字だけ違ってlの代わりにIになっている。ロゴもデザインも本物の銀行のページにそっくりな画面が出てくる。そこでIDを入力するようになっているのだが、IDがわからない場合にページを進める先は本物の銀行の本物のIDチェックページになっている。夫が本物だといったのはそのページだったらしい。確かにこれで信用してしまう利用者も多いだろうな。
で、そのページでIDを調べて、再度ニセページに戻ってIDを入力させようという魂胆らしい。ということは、「先方」はこちらのIDを知っているわけではなく、決済銀行としてこの銀行を使っているという情報しか持っていないということになる。

何かのときにクレジットカードとメールアドレスを同時に使うことがあって、そのときに情報が漏れたらしい。聞いてみるとWebでホテルを予約するときにそのクレジットカードの番号を使って予約の確認のためにメールアドレスを入れたという。そのサイト運営会社のセキュリティが脆弱だったのだろう。あるいは、内部の人間が情報を漏らしたか。サイトが万全でも中にいる人間が悪ければSSLなど意味がない。

---