このログインリンクは安全？マジックリンクの確かめ方

メールアドレスを入力すると、サイトに「受信トレイを確認してください」と表示されます。すぐにメールが届き、ログイン、Slackにログイン、本人確認といったボタンが入っています。このボタンがマジックリンクです。クリックするだけでログインできます。

結論から言うと、クリックしてよいのは、自分で頼んだばかりのログインリンクだけです。クリックする前に、ログインしようとしているサイトが開くかを確かめます。どちらかでも怪しければクリックせず、自分でサイトを開いて、新しいリンクを送ってもらってください。

マジックリンクとは

マジックリンクは、使い捨ての秘密の鍵が入ったログイン用のリンクです。メールが届くのは本人の受信トレイだけなので、リンクを開けば、その受信トレイの持ち主だと証明できます。これがパスワードの代わりになります。

• たいてい1回しか使えません。
• 期限がすぐに切れます。10〜30分で切れることもよくあります。
• 多くのサイトでは、リンクを開いた人がそのままログインできます。転送はせず、スクリーンショットも人に見せないでください。

マジックリンク、ログインリンク、サインインリンク、「ワンタイムリンク」、「本人ですか？」というメールなど、呼び方はサイトによってさまざまです。仕組みはどれも同じです。

偽物にだまされる理由

この手のメールは自分で待っているものなので、届くとつい急いでクリックしてしまいます。偽物は見た目が同じでも、ボタンを押すと本物そっくりの偽サイトが開きます。偽サイトはパスワードやコード、カード番号を入力させようとします。入力した内容は、偽サイトを作った人の手に渡ります。これがフィッシングです。

リンクを確かめる5つのステップ

1. 自分で頼んだばかりのリンクか。今ログインしようとしていないなら、クリックしません。誰かが間違えて、あるいはわざと、メールアドレスを入力したのです。リンクがなければその人はログインできないので、メールは放っておいてかまいません。
2. 送信者の名前ではなく、アドレスを見る。名前は何とでも表示できます。@のあとのアドレスを確認します。
3. クリックせずにリンク先を見る。たいていのメールアプリでは、ボタンにポインタを重ねるとアドレスが表示されます。ブラウザで使うGmailなら、ウインドウの下の隅に出ます。または、Controlキーを押しながらボタンをクリックし、「リンクをコピー」を選んでメモにペーストします。
4. サイト名を正しく読む。https://のあとで最初に出てくるスラッシュ（/）を探します。サイト名はその直前にあり、右から読みます。下の例を見てください。
5. クリックしたら、入力する前に確かめる。本物のマジックリンクなら、それだけでログインできます。代わりにパスワードやカード番号を求められたら、ページを閉じてください。

リンクの読み方：本物か偽物か

サイト名は、最初のスラッシュの直前にある名前のうち、ドットで区切った最後の2つです。example.co.jpのように「.co.jp」で終わるアドレスでは、最後の3つになります。

Notionでログインリンクを頼んだ場合で見てみましょう。

• https://www.notion.so/loginwithemail?token=…はnotion.soを開きます。これはNotionです。
• https://notion.so.sign-in.example/verifyはsign-in.exampleを開きます。「notion.so」は名前の先頭にあるだけです。
• https://notion-so.com/loginはnotion-so.comを開きます。よく似せた別の名前です。
• https://example.com/r?u=notion.soはexample.comを開きます。Notionはスラッシュのあとに出てくるだけです。

ただし、見分けにくい場合もあります。本物のメールでも、いったん配信サービスを通るリンクがあり、アドレスが無関係に見えることがあるからです。これは見ただけでは区別できません。迷ったら、自分でサイトを開いて新しいリンクを頼んでください。

リンクを開いてしまったら

• 何も入力していない：ページを閉じます。ページを開いただけで被害が出ることはまれです。
• パスワードを入力した：本物のサイトで今すぐ変更します。同じパスワードをほかで使っていれば、そちらも変えます。二段階認証もオンにしてください。
• コードやカード情報を入力した：そのサービスか銀行に連絡します。アカウントに心当たりのないデバイスや支払いがないかも確認してください。

MacならCodeCatchで確認

CodeCatchは、もともと認証コードを受け取るために作りました。ログインリンクにも同じ手間がかかります。CodeCatchはApple Mail、Gmail、そのほかのメールを読み、新しいログインリンクを認証コードと並べて表示します。リンクがどのサイトを開くか、クリックする前にわかります。

• リンクを勝手に開くことはありません。「Open Link」か「Copy Link」を自分でクリックします。
• リンクが開くサイトを、正しく読み取って表示します。
• そのサイトが送信者のアドレスと違えば、上の画像のように警告します。
• 拾うのはログインボタンのリンクだけです。配信停止やヘルプのリンクは無視し、安全なhttpsのリンクに限ります。
• パスワード再設定のリンクも同じように確認します。

ただし、これはヒントであって保証ではありません。警告はリンクと送信者のアドレスを比べたもので、送信者のアドレスは偽装できます。いちばん大事なのは、やはりステップ1です。自分で頼んだリンクだけをクリックしてください。

よくある質問