数年前、大手携帯会社の金融サービスで、口座からの不正送金が世間を賑わせていた時期がありました。
隠してもしょうがないので・・・ドコモ口座ですね(笑)
結局、その口座と紐づいていたのはほとんどが地方銀行の口座であり、図らずもセキュリティの脆弱性が判明してしまったわけです。
コロナの時期でもあったので、非接触のスマホ決済やカード決済などが主流となっていきそうな気配があった時期でした。
それなのに「こんな不正送金されるなんて大丈夫？」と、元々セキュリティが強固だった「ネット銀行」や「オンライン決済」の是非そのものが問われた事件でもあったのです。
この不正送金に利用されたドコモ口座のアカウントは、本人確認なしに簡単に作成できてしまったのはもちろん問題なのですが、それより怖いのは、「銀行で管理されているはずの顧客情報」が洩れていた方でしょう。
顧客名や顧客の口座番号、そして暗証番号など送金できる情報を入手されてしまったために、セキュリティの甘い「ドコモ口座」を経由されてお金が引き出されてしまったわけですが、その情報漏れの原因の一つと考えられていたのが、「フィッシング詐欺」となります。
フィッシング詐欺とは、送信者を詐称した電子メールを送りつけたり、偽の電子メールから偽のホームページに接続させたりするなどの方法で、クレジットカード番号、アカウント情報(ユーザーID、パスワードなど)といった重要な個人情報を盗み出す行為のことを言います。
総務省国民のための情報セキュリティサイト
「フィッシング詐欺」のパターンで一番多いのは、昔も今もやはり「メール」となるでしょう。
メールに記載されたリンクをクリックさせ、偽サイトで個人情報を入力させる画面が表示され、入力した個人情報を言われたままに送信してしまうと・・・「ジ・エンド」となるわけです。
もちろん、銀行や決済手段のセキュリティレベルも甘いのですが、インターネット環境を利用する利用者側の意識レベルも上げていかなければ、この手の問題はこれからまだまだ起きていきます。
サービス提供側のセキュリティシステムを上げれば、悪用しようと考える側も追随して突破口を探します。
そういったインターネットの利用レベルが上がっていく環境でも、実際にサービスを利用する側が、普段のインターネット生活の危険度や重要度、必要性などを「見極める力」を持つ必要があるわけですね。
だいぶ前の話です
そのメールは、皆さんにも届いた経験があるかもしれませんが、ある大手の宅配業者を名乗るものでした。
「荷物を届けたが留守だったので、下のリンクから配達状況と再配達を依頼してほしい」という内容で、その方は、「お？！荷物？？・・・頼んでたものってあったかなぁ・・・」と、少し考えこんでいました。
失礼ながら、メールを拝見すると、確かに誰でも分かる配送会社の名前が書いてありましたが、どうしても配送されるような荷物を頼んだ覚えがないと言います。
そこで、送信者のアドレスを確認すると、明らかにおかしいメールアドレスが記載されていました。
念のため奥さんにも確認してもらったところ、「何も頼んでいない」という回答をもらい、フィッシングメールと判断しそのまま削除してもらいました。
もちろん、今の時期だとお中元や暑中見舞いの品を贈ってくださる場合もあるでしょうから、自分が荷物を頼んでないからと言って一概にそのお知らせメールがフィッシングメールかどうかは分かりません。
しかし今回の場合は送信してきた相手のメールアドレスが配送会社のアドレスとは明らかに違っていたので事なきを得たのです。
これがもし、普段よく荷物の届くお宅であれば、あまり迷わずにリンクをクリックしてしまったかもしれません。
そして、その先の画面ではおそらく氏名や電話番号、クレジットカードの番号などの個人情報を入力させるような画面が表示されていたかもしれませんし、そのまま入力して送信してしまっていたかもしれません。
つまり、このメールが”何かおかしい”と気づくには、システムを利用する利用者側の正しい判断が必要となるわけです。
先程は配送会社を騙るメールの一例を示しましたが、もちろん筆者宛にも色々なフィッシングメールが届きます。
フィルターもかけているので、ほとんどは受信トレイに入らず処理されてしまうのですが、どういったフィッシングメールが届いているのかをこのページで少しご覧いただきたいと思います。
Amazon
このAmazonからのお知らせは色々な種類のメールがよくやって来ます。
その一例を以下に披露します。
ぱっと見ると、Amazonからメールが来ているように見えます。
ただ、赤く囲んだ送信者のアドレスを見てみると、「@の後ろ」のドメイン名が「amazon.com」や「amazon.co.jp」ではなく、怪しいドメイン名になっています。
それでも届く予定の荷物がある連絡に見えて、「何か頼んだっけ？」と一瞬考えてしまうくらい、良くできた内容となっていますね。
「置き配」や「担当ドライバー」など、配達状況を確認してほしい文面の体裁をとっています。
その後に「こちらから配送状況をご確認ください」というリンクが用意されているのですが、このリンクがフィッシング詐欺の入り口となっているわけですね。
ここで怪しいと感じるために必要な最低限の知識は以下のようになります。
- 使っているメーラーにおいて「送信者のアドレス」を確認できる
- 「ドメイン名」がどういうものか分かる
- Amazonの正しいドメインが分かる。もしくは調べられる
- Amazonの正しいドメインと送信者のアドレスのドメインの正否の判断ができる
- メール内のリンク先のURLを調べられる
- パソコンでもスマホでも同じように上に挙げたようなメール内の調査ができる
実は、メールの送信者名や送信アドレスは、メールソフトによっては任意で変更できるものもあります。
したがって、メールアドレスのドメイン名がきちんと「amazon.co.jp」などで来るフィッシングメールもあります。
その場合は、リンク先のURLを調べたり、そもそも荷物があるのかないのかメールの内容をもう一度精査したりという確認が必要となるのです。
Amex
「アメリカンエクスプレスカード」は、カードのアップグレードの案内がやって来ます。
何と言うか、カチャカチャしていない落ち着き感のある(を装った)メールとなっています。
フィッシングリンクも一つだけとなっていて、アメックスを使っていたら思わず案内メールが来たのかと勘違いしそうです。
これもやはり、送信者のメールアドレスがおかしいのと、アメックスを使っていない筆者の生活環境に助けられました(笑)
クレジットカードのフィッシングメールで、この事例以外だと、「不正にログインされた」のような「不正利用系」も良く来ますね。
焦りを誘うフィッシングメールは、誘導リンクもそれらしいロゴを使ったりしているので、十分注意したいところです。
まとめ
今回は、今なお健在の「フィッシングメール」について、AmazonとAmexのフィッシングメールを例に語ってみました。
多くのフィッシングメールは、以下のような構成がほとんどです。
- 私たちを焦らす
- 私たちを安心させる文章が書いてある
- 解決するためのURLを押させる
まず身に覚えのないメールであれば冷静に「送信者」、「本文の内容(誤字脱字も含めて)」、「リンク先アドレス」などを確認してみてください。
決して、早まった操作はしないように・・。
焦らず落ち着いて確認すれば、大概は防げます。
