要注意！ FacebookやTwitterに届く "怪しい"メッセージ

2014年04月30日

あなたの秘密を盗む「フィッシング詐欺」

サイバー犯罪者は常に、インターネットの危険性に疎いユーザーを「フィッシングサイト」へ誘い込もうとしています。その一般的な手口は、「宝くじ当選おめでとうございます」「銀行口座閉鎖のご連絡」「ご注文の確認」「請求内容の確認」「過払い税金の還付」といったメールが届く事から始まります。サイバー犯罪者はそんなメールを不特定多数に送りつけ、受け取った何人かが罠にかかり、悪意のあるリンクや不正な添付ファイルをクリックしないかと待ち構えているのです。身に覚えのない連絡や怪しいメールには、どんなに注意してもし過ぎることはありません。今回は、FacebookやTwitterに届くフィッシングメールの事例を挙げながら、身を守る方法と対策について紹介します。

1. 危機感を忘れがちな、ソーシャルメディア

インターネットのソーシャルメディアは誰でも手軽に利用できることもあって、普段はセキュリティ意識が高い人でも油断してしまいがちです。通常の電子メールでは引っかからないような詐欺にも、ソーシャルメディアでは罠に落ちるケースが多発しています。そうした被害に遭わないために、どのような点に気を付ければよいのでしょうか。

Facebookの場合

Facebookは実名や出身地/居住地といった個人情報を公開して、ユーザー同士コミュニケーションを取るのが大きな特徴です。その一方で、サイバー犯罪者による嘘のメッセージ・ウォール投稿などによる、個人情報を狙ったフィッシング詐欺も増加しています。

2011年4月前後にFacebookで広がった"Microsoft Lottery Scam"の事例をご紹介します。

ある日、Facebook上で、あなたにメッセージが届きました。文章には「おめでとうございます。あなたはマイクロソフトの宝くじに当選しました。」と書かれています。ところがよく見ると、送り主は知り合いではなく、差出人の名前を検索して本人のページを確認しましたが、プロフィールは公開されていませんでした。

Microsoft Lottery Scamに限らず、以下の状況証拠から、こうしたメッセージは疑わしいものであると推測できます。

メッセージの送信者を知らない。
マイクロソフトが主催する抽選会には参加したことがなく、そのようなキャンペーンについても聞いたことがない。
マイクロソフトは米国企業であるにも関わらず、賞金がポンドで提供される。
通貨表記が、ポンドの正式表記であるPound Sterlingではなく、Great British Poundsとなっている。
Facebookがクレーム部門を運営していると書かれているが、実際にそのような発表は一切ない。

Twitterの場合

知られている詐欺の手法は、いずれもよく似ています。まず、Twitterから当選を知らせるメールが届きます。文章には、「おめでとうございます。あなたはTwitterの宝くじに当選しました。」と書かれています。

ユーザーがこのメールに返信したら、サイバー犯罪者である差出人は「口座に送金するため」と称して銀行口座の情報を聞き出し、身元を証明するため、住所、電話番号などあらゆる個人情報を求めてくることでしょう。たった1通のメールから、個人情報を騙し取られ、なりすまし犯罪の被害に遭ってしまう確率は、決して低くはありません。

Twitterを使った詐欺の事例

2.怪しいメッセージを受信したら!? 被害に遭ってしまったら!?

盗まれた個人情報はどうなる？

銀行口座への不正アクセス: サイバー犯罪者は盗んだパスワード、ユーザー名などを使用して口座に直接アクセスし、送金や取引などを実行しようとします。さらにパスワードが変更されてしまうと、たとえ自分の口座でも、アクセスできなくなってしまいます。
クレジットカードの使用: カードの有効期限や氏名などの情報が流出した場合、サイバー犯罪者によってオンライン決済が実行され、その金額が口座に課金されてしまいます。
なりすまし犯罪: PAN（米国納税者番号）、銀行口座、クレジットカードなどの情報がサイバー犯罪者の手に渡ると、犯人はその情報を使って、簡単にプロフィールを作成できます。このプロフィールは、犯人自身が使用することもできますし、第三者に売却されさまざまな犯罪に利用されることもあります。その結果、数カ月、また時には何年もかかって、法的な問題の解決や無実の証明、負債の完済をすることになってしまうのです。