【大きな更新が続いた週に】「今すぐ更新してください」のメール・ポップアップは開かない｜更新は自分から設定画面で、証明書エラーは進まずに閉じる（協議会は更新を装う不正アプリ誘導の急増を報告）

こんにちは！守護者（センチネル）、シェミハザです。
今日は、ブラウザやアプリの大きな更新のニュースが続いたあとの、個人の動き方です。

結論は、「更新してください」という通知は、メール・SMS・広告・ポップアップのリンクからは開かず、設定画面か公式アプリストアから自分で開くことです。そして、ブラウザに証明書のエラーが出たら、「詳細」から進まず、いったん閉じてください。

今週の実例です。10月19日〜23日は、Chrome 156（10月20日）、Firefox 158.0.1（10月20日）、Java（IPAが10月21日に注意）、PHP（IPAが10月22日に注意）など、大きな更新が重なりました。フィッシング対策協議会は、10月19日に公開した9月の月次報告で、「アプリのアップデートや申請手続きをよそおい、不正アプリのインストールへ誘導するメールも急増している」と書いています。9月8日の緊急情報では、Android用の不正アプリへ誘導するメールについて、アプリの更新、お知らせ確認、ポイント付与、抽選、クーポン、プレゼントなど、さまざまな文面を確認したと報告しています。

先に、分かっていることと分からないことを分けます。分かっているのは、更新を装う不正アプリ誘導のメールが9月に急増したこと、更新は公式のストアや設定から行うよう協議会が求めていることです。分からないのは、今週のChromeなどの更新に便乗した偽通知が、実際に出回っているかで、公的機関の報告は見つけられませんでした。「大きな更新のニュースが続く時期は便乗されやすい」というのは、当サイトの見方です。

偽の「更新してください」の流れ

• ▸① 更新のニュースを見る。大きな更新が続くと、「更新しないと危ない」という空気が広がります。実際に更新が必要なものは多く、この記事の姉妹記事（今週のセキュリティ更新まとめ）にあります
• ▸② 偽の更新通知が届く。協議会が確認した文面は、アプリの更新、お知らせ確認、ポイント付与、抽選、クーポン、プレゼントなど。協議会は、メールの文面やかたるブランドを数日単位で変えていると書いています
• ▸③ リンクを開き、「更新用のアプリ」を入れさせられる。協議会の9月8日の緊急情報は、Androidに限定したログインやアプリのインストールを促すメールやSMSのリンクに、アクセスもインストールもしないよう注意しています
• ▸④ 被害が出る。協議会は、不正アプリの入れ方の1つとして、メールのリンクから直接ダウンロードさせる手口を挙げています。入れてしまうと、端末の情報や入力した内容が盗まれるおそれがあります（当サイトの補足）

今日できること

• ✓★更新は、自分から開く画面で行う。ブラウザは設定画面の「Chromeについて」「Firefoxの更新」のような項目から、スマホやパソコンのOSは設定の「ソフトウェア更新」から、アプリは公式のアプリストアから確認します（画面の名前は環境で違います。当サイトの補足）。協議会は「アプリのアップデートやインストールは、スマートフォンの設定や公式アプリストアから行い、メールのリンクから直接ダウンロードしない」よう求めています
• ✓メール・SMS・広告・ポップアップの「更新」ボタンやリンクは押さない。届いた通知が本物かどうか気になるときは、そのサービスの公式サイトや公式アプリを、自分で開いて確かめます
• ✓Androidは、「不明なアプリのインストール」を、すべてのアプリでオフにしておく。IPAの案内です。公式アプリ以外で配信されるアプリは、危険なものがあるためです
• ✓Chrome・Firefox・Javaなど、よく使うソフトを最新にする。Chromeは更新したあと、再起動までが必要です（当サイトの補足）。パソコンのソフトが最新かは、IPAの「MyJVN バージョンチェッカ」で確認できます（IPA）
• ✓ブラウザに証明書のエラーが出たら、進まずに閉じる。「接続がプライバシーで保護されていません」のような画面で、「詳細設定」から進むボタンが出ても押しません。10月27日にChromeが一部のルート証明書を外すなど、証明書の一覧の変更が続くため、まれに本物のサイトでエラーが出ることがあります（Googleは、その証明書を使うサイトは別の階層の証明書へ替える必要があると書いています）。その場合も、進まずに閉じて、時間を置くか、サイトの運営元の案内を確認します（当サイトの補足）
• ✓自分のサイトやブログを持っている人は、PHPの更新を確認する。WordPressなどはPHPで動いています。ホスティング会社の案内を確認し、IPAの10月22日の注意も読んでください。PHP 8.1以前は修正が出ないため、IPAは、移行や公開終了も含めた検討を勧めています
• ✓会社や学校のパソコンは、自分で更新せず、情報システムの担当者に聞く。勝手に入れたソフトや、通知のリンクから入れたものが、不正だった場合の被害が大きいためです（当サイトの補足）

もし、偽の更新を入れてしまったら

• ▸① すぐに通信を切る。機内モードにする、Wi-Fiを切る、など。以降の入力はしません（当サイトの補足）
• ▸② 入れたアプリを消す。Androidなら、設定のアプリの一覧から、覚えのないアプリや、通知から入れたアプリを探して削除します。消し方が分からないときは、相談先に電話してください（当サイトの補足）
• ▸③ 偽のサイトに入力したIDとパスワードを、別の端末から変える。同じパスワードを使い回しているサービスも、続けて変えます。カード番号を入力したなら、カード裏面の番号のカード会社へ連絡します（当サイトの補足）
• ▸④ 相談する。IPAの情報セキュリティ安心相談窓口は、電話 03-5978-7509（平日10時〜17時）です。警察は、最寄りの警察署、サイバー犯罪相談窓口、または警察相談専用電話の#9110です
• ▸協議会とIPAの資料に、入れてしまった後の具体的な手順は、この件では書かれていません。①〜③は当サイトの補足です。類似のメールを見つけたら、協議会（info@antiphishing.jp）へ報告できます

見破りクイズ

こんな場面を想像してください。

家族に送るならこの3行

• ▸「今すぐ更新してください」というメール・SMS・ポップアップのリンクは開かない。更新は、スマホやパソコンの設定画面か、公式のアプリストアから自分で開く（フィッシング対策協議会）
• ▸★Androidは「不明なアプリのインストール」をオフに。ブラウザに証明書のエラーが出たら、進まずに閉じる
• ▸入れてしまった、入力してしまった、不安なときは、IPA 03-5978-7509（平日10〜17時）か、警察相談専用電話 #9110。契約や請求のトラブルは消費者ホットライン 188

相談先

これは詐欺かどうか迷うとき、不審なアプリを入れてしまったときは、最寄りの警察署、サイバー犯罪相談窓口、または警察相談専用電話 #9110 です。今まさに被害が進んでいるときは110番です（警察庁の案内にもとづく、当サイトの補足です）。

パソコンやスマホのセキュリティの技術的な相談は、IPAの情報セキュリティ安心相談窓口（電話 03-5978-7509・平日10時〜17時、土日祝日・年末年始を除く）に聞けます。

契約や請求のトラブルは、消費者ホットライン「188（いやや！）」です。お住まいの地域の消費生活センターにつながります。

確認できなかったこと

• ▸今週の更新に便乗した偽通知が、実際に出回っているか。協議会とIPAの公表には、今週のChrome・Firefox・Java・PHPの更新を名指しした偽通知の報告は、見つけられませんでした。この記事の「便乗されやすい」は、当サイトの見方です
• ▸協議会の10月分の報告。確認できたのは、9月分の月次報告（10月19日公開）と、9月8日・9月30日の緊急情報です
• ▸証明書エラーを個人がどう扱うかの公的な指針。IPAと協議会の資料に、証明書エラーの扱いは書かれていません。この記事の該当部分は当サイトの補足です。事業者向けには、Cloudflareが「検証を無効にして解決しない」と助言しています
• ▸更新の画面の具体的な手順。ブラウザ、OS、機種で名前や場所が違い、この記事は画面の操作を確かめていません
• ▸入れてしまった後の公的な手順。この件の資料には書かれておらず、当サイトの補足です

根拠にしたページ