学期ごとに、TUJ の誰かがフィッシングメールでアカウントを失っています（さらに悪ければお金も）。不注意だからではありません。メールの出来が良くなっているからです。必要なのは疑心暗鬼になることではなく、10秒の習慣です。何かをクリックする前に、次の5つの危険信号を確認してください。
1. 作られた緊急性
「24時間以内にアカウントが停止されます」「最終通知」「至急ご対応ください」。本物の組織がこういう書き方をすることはほとんどありません。銀行も大学も Netflix も、送ってくるのはリマインダーであってカウントダウンではありません。緊急性が使われる理由はひとつ、考える前に行動させるためです。メールを読んで胸がざわついたら、そこで速度を落としてください。その感覚こそが危険信号です。
2. 少しだけ違う送信元アドレス
詐欺師は、あなたが表示名（「TUJ Student Services」）だけを読んで実際のアドレスを見ないことを知っています。送信者名をタップするかカーソルを合わせて、本当のアドレスを確認しましょう。[email protected] は、どれだけロゴが本物らしくても大学ではありません。@ より後ろが見覚えのあるドメインと完全に一致しないなら、そのメール全体を疑ってください。
3. 表示と違う場所へ飛ぶリンク
パソコンなら、クリックする前にリンクにカーソルを合わせ、ブラウザの隅に出るプレビューを読んでください。スマートフォンなら、リンクを長押しすると飛び先が表示されます。文字が「portal.tuj.ac.jp」なのにプレビューが別のもの（たとえよく似ていても）を示していたら、そのメールを閉じましょう。この確認だけで、フィッシングの大半を防げます。
4. 自分でたどり着いていないログイン画面
フィッシングのほとんどを断ち切るルールがあります。送られてきたリンクからログインしない。 アカウントに問題があるというメールが来たら、新しいタブを開いてサイトのアドレスを自分で入力するか、ブックマークを使ってください。問題が本物なら、そこで同じ知らせが待っています。そうでなければ、あなたは罠の横を素通りしたということです。
5. 通常の手続きを迂回する依頼
教授のためのギフトカード。妙に報酬が高く、最初に銀行口座を聞いてくるアルバイト。「スマホをなくした」と言って、あなたの番号に届いた認証コードを教えてほしいというクラスメイト。お金を動かす、コードを共有する、この件は内緒にしてほしい——そうした依頼は、証明されるまで詐欺だと考えてください。確認はあなたが選んだ手段で行いましょう。電話をかける、あるいは直接会って尋ねるのが確実です。
もしクリックしてしまったら
誰にでも起こることです。すぐ動けば、大事にならずに済みます。該当するパスワードをただちに変更し（使い回している場所もすべて）、二要素認証が未設定なら有効にし、IT ヘルプデスクに連絡してください。自分では気づけないことを見つけてもらえます。フィッシングを報告したことで Cyber Shield の誰かがあなたを責めることは決してありません。いちばん深刻な被害を受けるのは、黙ってしまった人です。
10秒、5つの確認。これが仕組みのすべてで、いま学生の受信トレイに届いているものの大半には、これで十分に対抗できます。