リンクをクリックしてページを閉じただけです。パスワードを変更する必要はありますか？

何も入力・送信していないなら、変更すべき送信済みの認証情報はありません。送信者と、なりすまされていた企業を記録し、自分が選んだ経路でそのメッセージが本物だったかを確認してください。クリックだけでは何かがインストールされたとは断定できません。

ウイルス対策のスキャンはクリーンでした。私は安全ですか？

クリーンなスキャンは一つのデータ点であり、証拠ではありません。スキャンは見つけ方を知っているものだけを探します。端末に新しいログイン要求、見覚えのないアプリ、自分で変更していない設定が現れたら、それを別のシグナルとして扱い、同じスキャンを繰り返すのではなく助けを求めてください。

カード情報を入力してしまいました。請求が出るか待つべきですか？

いいえ。カードに記載の番号か公式アプリを使って銀行またはカード発行会社に連絡し、何を送信したかを伝えてください。待つと、その情報が使われる時間を与えてしまいます。

メッセージは本物かもしれません。リンクを使わずに確認するにはどうすればよいですか？

自分で独立して見つけた、企業の既知の正規サイトや電話番号を使い、そのメッセージが自社からのものかを尋ねてください。メッセージに返信したり、メッセージが示した連絡先を使ったりしないでください。

疑わしいフィッシングページにアカウント情報を入力してしまったら：次にすべきこと

まず立ち止まり、実際に何が起きたかを整理する

多くの人はフィッシングページに遭遇すると、あれもこれもと一斉に変更したり、端末がもう感染したと決めつけたりします。どちらも判断の助けにはなりません。役に立つ問いはもっと狭いものです。何を入力し、送信し、実行したのか。

何かに触れる前に、下のワークシートを使ってください。各項目について一行で答えを書きます。わからない場合は推測せず「不明」と記してください。

起きたこと	それが意味すること・しないこと	最初の行動
リンクをクリックしただけ	ページが開いただけで、何も送信していない。クリックだけでは何かがインストールされたとは断定できない。	タブを閉じる。リンクを再度開かない。送信者と名乗っていた企業を記録する。
パスワードを入力して送信ボタンを押した	その認証情報は、ページを運営する誰かに知られた可能性がある。最も優先度が高いケース。	信頼できる端末からそのパスワードを変更する。まずそのアカウントから始める。
金融情報（カード、銀行、決済アプリ）を入力した	アカウントのパスワードが変わっていなくても、その情報は不正利用に使える可能性がある。	カードに記載の番号か公式アプリを使って、銀行またはカード発行会社に連絡する。
ファイルをダウンロードした、または開いた	ファイルが保存または実行された。マルウェアが現実の懸念となるのはこの行だけ。	再度開かない。下記のダウンロードに関する手順に従う。
上記の複数に当てはまる	各行を別々に扱う。一方が他方を打ち消すことはない。	上から順に、パスワードと金融の行を優先して進める。

ここで重要な制約が二つあります。クリックは侵害の証拠ではなく、クリーンなスキャンも安全の証拠ではありません。スキャンは見つけ方を知っているものだけを探します。何も起きなかったことを保証するものではありません。「ウイルス対策ソフトが問題ないと言った」は一つのデータ点として扱い、判定とはしないでください。

連絡してきた経路ではなく、自分が選んだ経路で確認する

メッセージそのものからは、それが本物かどうかはわかりません。FTCは、メッセージがリンクのクリックや添付ファイルを求める場合、既知の正規の電話番号やサイトを使って企業に独自に連絡するよう勧めています。

FTCは、メッセージがリンクのクリックや添付ファイルを求める場合、既知の正規の電話番号やサイトを使って企業に独自に連絡するよう勧めています。出典

実際には、企業のサイトのアドレスを自分で入力するかアプリを使って開き、そこのサポート窓口やセキュリティ窓口を見つけて、そのメッセージが本当に自社からのものかを尋ねてください。メッセージに返信したり、メッセージが示した電話番号やリンクを使ったりしないでください。企業にメッセージを確認する手段がない場合は、本物ではなかったとみなし、上記のリスクの行に従って行動してください。

この手順は、何を直すべきかも教えてくれます。企業がメッセージは本物だと確認したなら、通常どおりログインするだけで済むかもしれません。そうでなければ、パスワードの行が緊急になります。

ダウンロードしたファイルは推測せずに対処する

ファイルを保存または開いた場合、FTCの指針は具体的です。セキュリティソフトを更新し、スキャンを実行する。

悪意のあるダウンロードが疑われる場合は、セキュリティソフトを更新してスキャンを実行してください。出典

出典に基づく規則ではなく編集上の助言：銀行、勤務先、なりすまされた企業に見せる必要があるかもしれないなら、すぐに削除せずファイルを保管しておきましょう。誤って開かないフォルダに移動してください。それが問題だったかを「確認」するために再度実行しないでください。

スキャン結果は出発点です。端末の挙動が普段と違ってきたら（新しいログイン要求、見覚えのないアプリ、自分で変更していないブラウザ設定など）、それは別のシグナルとして扱い、同じスキャンを繰り返すのではなく助けを求めてください。

個人情報や金融情報を渡してしまった場合

FTCは、個人情報や金融情報を開示してしまった人に対し、何が失われたかに応じた次のステップを示すIdentityTheft.govを案内しています。

個人情報や金融情報を開示してしまった場合、IdentityTheft.govが失われた情報に応じた次のステップを示します。出典

これが重要なのは、復旧の道筋が何が露出したかによって変わるからです。カード番号、銀行のログイン情報、国民ID番号では、取るべき行動が同じではありません。何かを申請する前に、ワークシートを完成させ、何を送信したかを正確に列挙できるようにしてください。

金融情報については、銀行またはカード発行会社に直接連絡してください。アカウントのパスワードについては、信頼できる端末から変更し、そのアカウントの最近のアクティビティと復旧設定を確認してください。同じパスワードを他の場所でも使い回していた場合は、そこでも変更してください。ただし、実際に送信してしまったアカウントを確保した後に行い、複数のアカウントが同時にロックされる事態を避けてください。

自分が管理する復旧手段を確保する

パスワードを変更すると、通常プラットフォームは復旧情報の更新を提案します。実際にアクセスできる復旧手段を少なくとも一つ確保してください。電話番号、認証アプリ、自分が管理するメール受信箱などです。二度とアクセスできない使い捨てのアドレスで復旧情報を置き換えたり、新しい手段が機能することを確認する前に既存の復旧手段を削除したりしないでください。

露出したアカウントを閉鎖することにした場合は、まず閉鎖を完了し、その後でそのアカウントに紐づく復旧手段を削除してください。ログイン接続を外したりプロフィールを空にしたりしても、それだけで保存データが消えたとは断定できません。

次にすべきことを決める

このチェックリストを順に使ってください。当てはまらない行が出たら止めます。

ワークシートは完成したか？ すべての行に「はい」「いいえ」「不明」のいずれかを記したか。
パスワードを送信したか？ 本物のサイトで、信頼できる端末から変更し、最近のアクティビティと復旧設定を確認する。
金融情報を送信したか？ 自分で調べた番号を使って、銀行またはカード発行会社に電話する。
ファイルをダウンロードまたは開いたか？ セキュリティソフトを更新し、スキャンを実行し、再度開かずに参照用としてファイルを保管する。
個人情報を開示したか？ IdentityTheft.govで、失われた情報に応じた次のステップを確認する。
メッセージがまだ未確認か？ 自分が選んだ経路で企業に連絡し、本物かどうかを尋ねる。
復旧手段は無事か？ 自分が管理する復旧手段が少なくとも一つ、機能することを確認済みか。

メッセージがソーシャルプラットフォームのサポートまたは認証チームを名乗っていた場合も同じ論理が当てはまり、次のステップはそのプラットフォームが実際にどのようにユーザーへ連絡するかを確認することです：ソーシャルプラットフォーム上の偽のカスタマーサポートアカウントを確認する。

すべきでないこと：侵害を「除去」すると申し出て連絡してきた人にお金を払う、復旧コードのスクリーンショットを送る、最初のページを「確認」するために二つ目のページで同じ情報を再入力する。これらはいずれも上記の指針では裏付けられておらず、それぞれが新たなリスクを生みます。

ここまでのまとめ

目標は、自分が安全であることを証明することではありません。自分が作り出した特定のリスクを封じ込め、自分のアカウントへの戻り道を確保することです。何も送信せずにクリックしただけなら、通常は小さな問題です。パスワードを送信し、さらに使い回していたなら、より大きな問題です。ダウンロードしたファイルは別の問題で、スキャンは判断の材料にはなりますが、決着はつけられません。

自分がどの行に当てはまるかわからない場合は、確認できるまでより深刻な方を想定してください。それは大げさではなく、後になって問題を発見するのを避ける最も安価な方法です。