2018年は国内フィッシングが過去最大の規模になり、宅配便の不在通知を装うSMSがこれまでにない規模でばらまかれ、架空請求に悩む人の相談件数も増加の一途をたどった。不正ログインによる金銭被害が相次ぎ、家庭Wi-Fiの危うさも明らかになった。どんな手口でどのような被害が起きているのか、攻撃と被害の実態を知ることで、安全対策の一歩として頂きたい。
＜INDEX＞
■国内フィッシングが過去最大規模に――標的はクレカ、キャリア決済
■宅配便の不在通知装うSMS猛威――AndroidとiPhoneで異なる手口
■被害膨らむ「架空請求」――不安をあおりコンビニ決済など悪用
■不正ログインで金銭被害――高額商品の購入やポイント消費
■狙われたネットワーク機器――家庭のWi-Fiルーターが危ない
＜以下本文＞
■国内フィッシングが過去最大規模に――標的はクレカ、キャリア決済
実在する企業やサービスになりすまし、アカウント情報やクレジットカード情報などの情報を騙し取る国内のフィッシングが、過去最大の規模になりました。JPCERT/CCに報告された2017年のフィッシングサイトの件数は、過去最多の3306件でしたが、2018年は9月末時点で3440件と、昨年の記録を上回ってしまいました。前年同期の2454件から1.4倍に膨れあがっています。
多発しているフィッシングのほとんどは、最終的には金銭を得ることを目的としています。2013年頃から急増したオンラインバンキングのアカウントを狙ったフィッシングは、2016年上半期でほぼ収束し、その代わりにクレジットカード情報を騙し取るフィッシングが主流になりました。楽天カードや三菱UFJニコス、クレディセゾンといったクレジットカード会社を装うフィッシングはもちろん、アップルやアマゾンを装うフィッシングもまた、クレジットカード情報を騙し取ろうとします。特にこの2ブランドは、複数の攻撃グループが、休むことなく毎日、偽サイトに誘導するメールやSMSをばらまき続けました。
2018年に新たな標的となったのが、携帯電話の通信事業者が提供する「キャリア決済サービス」です。利用した料金を月々の料金と一緒に引き落とすサービスで、対応サイトでクレジットカードと同じように利用できます。それに目を付けた攻撃グループが、2月頃からフィッシングを仕掛けるようになりました。標的は、サービスを提供するNTTドコモ、ソフトバンク、KDDI（au）の3社に加え、支払い方法にキャリア決済が設定できる、アップルのサービスも狙われました。8月以降は、宅配便の不在通知を装うSMSの誘導先にも、iPhoneユーザーのキャリア決済を狙ったフィッシングサイトが仕掛けられるようになりました。
＜関連記事＞
・2018年1月の国内フィッシング事情
・2018年2月の国内フィッシング事情
・2018年3月の国内フィッシング事情
・2018年4月の国内フィッシング事情
・2018年5月の国内フィッシング事情
・2018年6月の国内フィッシング事情
・2018年7-8月の国内フィッシング事情
・2018年9月の国内フィッシング事情
・2018年10月の国内フィッシング事情
・2018年11月の国内フィッシング事情
■宅配便の不在通知装うSMS猛威――AndroidとiPhoneで異なる手口
宅配便の不在通知を装い、佐川急便の偽サイトへと誘導するSMS（携帯電話番号あてに短文を送るショートメッセージ）が、2017年12月から観測されるようになりました。誘導先でAndroid端末に対し、端末内の情報を窃取する偽アプリをインストールさせようとする攻撃でした。SMSは、その後も断続的にばらまかれ、2018年5月ごろから偽アプリにSMSの送受信機能が備わりました。そして7月、偽アプリがインストールされた端末が一斉に、不在通知を装うSMSを送り始めました。これまでにないおびただしい数のSMSが、不特定多数の携帯電話番号あてに送りつけられたのです。騙されて偽アプリをインストールしてしまうユーザーが相次ぎ、今度は自身の端末から不在通知SMSが送信されたり、キャリア決済を勝手に使われたりといった被害が全国から報告されました。
8月に入り偽サイトがリニューアルすると、それまで対象外だったiPhoneに対しフィッシングを仕掛けるようになりました。アクセスしてきた端末がAndroidの場合には、これまでどおり偽アプリを投下しますが、iPhoneなどのiOS端末の場合には、フィッシング用の偽サイトへと転送し、「Apple社から送られた製品はセキュリティ許可の認証が必要となります」と偽り、携帯番号とSMSで届くコードの入力を求めます。これは、アップルのサービスにユーザーのキャリア決済を登録して使い込む手口で、iTunesカードが勝手に買われる被害が発生しました。
一連の攻撃は、9月に落ち着きを見せましたが、10月から再び活発化し、iPhone用には、新たにApple IDとパスワードを詐取するフィッシングサイトも用意されました。12月には、ヤマト運輸をかたる同様の手口も登場しましたが短時間で終了し、その後も佐川急便を装う攻撃が相変わらず続いています。
＜関連記事＞
・宅配便の不在通知を装うSMSに注意、誘導先に怪しいアプリ
・宅配便の不在通知を装うSMSに注意、怪しいAndroidアプリを投下
・宅配便の不在通知を装うSMS急増、誘導先でマルウェア感染のおそれ
・止まらない不在通知SMS、不明なアプリのインストールは厳禁
・2018年7-8月の国内フィッシング事情
・宅配便の不在通知を装うSMSが再び増加――AndroidとiPhoneで異なる被害
■被害膨らむ「架空請求」――不安をあおりコンビニ決済など悪用
利用した覚えのない請求に悩む人が増えています。国民生活センターに2018年4月から9月に寄せられた相談は、前年同期の6万5315から11万8544と、約1.8倍に増加しました。通年で8万3491件から19万9537件へと大幅に増加した前年度から、さらに上昇しています。
主な手口は、電子メール、SMS、ハガキ、封書です。電子メールは、かつてほどではありませんが、コンスタントにばらまかれています。実在する企業やサービスを名乗るものや、弁護士や債権回収業者を装うものも多く、メールに記載したリンク先で偽の訴状を見せて不安をあおる手口も使われています。携帯電話番号あてに短文を送るSMSは、メールよりもはるかに広範囲にばらまかれています。文字数制限から、「コンテンツ利用料金の精算確認が取れません。本日ご連絡なき場合には法的手続きに移行致します。」というような短文に電話番号を記載した内容です。
実在する企業を装うものでは、アマゾンが過半数を占めるほか、楽天やグーグル、DMMを装うものや実在する弁護士事務所を名乗るものもあります。かつて流だった郵便ハガキによる架空請求が前年から急増し、2018年は封書を使用したものも多発しました。ハガキや封書には、法務省の関係機関を装うものが多く、「少額消費料金未納に関する訴訟最終告知のお知らせ」などと題したものを送りつけ、訴訟取り下げの相談にのるなどと言って、記載した連絡先に電話をかけさせるように仕向けます。
手段はいろいろですが、電話をかけさせようとする手口が大半で、連絡して来た人を言葉巧みにだまし、支払う必要のない料金を騙し取ろうとします。支払い方法も様々ですが、コンビニでプリペイドカード（ギフト券）を購入させ、カード番号を連絡させて騙し取る方法や、支払番号を伝えてコンビニの端末やレジで支払うコンビニ収納（コンビニ決済）を悪用した手口がよく用いられています。
＜関連記事＞
・「架空請求詐欺」被害倍増、「有料サイトの未納料金が発生しています」は無視を
・架空請求の相談急増、国民生活センターが注意呼びかけ
・まだまだ続く架空請求SMS、消費者庁が注意呼びかけ
・2017年度の消費者トラブル1万件、「架空請求」「悪質ネット通販」「情報商材」など
・あの手この手で迫る「架空請求」にご用心
NTTドコモが運営する通販サイト「ドコモオンラインショップ」で不正ログインが行われ、高額なスマートフォン「iPhone X」を勝手に購入され、受け取り先のコンビニの店頭から持ち去られる事件が、7月から8月にかけて相次ぎました。何らかの方法で入手したIDとパスワードのリストを使ってログインを試行し、有効なアカウントに侵入する「リスト型攻撃」と見られます。約1800件のアカウントが侵入され、うち約1000件で「iPhone X」が勝手に購入されたといいます。これを受け、ドコモオンラインショップは、商品のコンビニ受取りを中止しました。
同じリスト型攻撃で、ユーザーが貯めていたポイントが使われてしまう事件も相次ぎました。スマートフォンの公式アプリにある、ポイントカード機能が狙われたとみられます。リスト型攻撃であぶりだした侵入可能なアカウントでアプリにログインすれば、本物のカードを持っていない第三者が、アプリのポイントカード機能を使って店頭で支払いができるようになるのです。
NTTドコモの「dポイント」をはじめ「Pontaポイント」「Tポイント」などが次々に標的にされ、各社はパスワードだけではログインできないようにする「2段階認証」の必須化や、初回のアプリのカード機能利用時に、本物のカードに記載された番号などを入力させて本人様確認を行う仕組みを導入するなどの対策に追われました。
＜関連記事＞
・「不正ログイン」で高額な不正購入や個人情報流出の被害発生――PW守る対策を
・通販サイトで「高額商品略奪」発生、ユーザーにできる自衛策は？
・コツコツ貯めたポイントが突然消失――店頭でカードアプリ不正使用相次ぐ
・本人確認に使われるSMS認証に注意、「なりすまし」被害のおそれ
・不正ログイン防ぐ「二段階認証」の弱点――破られる前に知っておこう
・不正ログイン防ぐ「二段階認証」の弱点(2)――二段階目の認証が破られる3つのケース
■狙われたネットワーク機器――家庭のWi-Fiルーターが危ない
一般家庭を狙うサイバー攻撃は、パソコンやスマートフォンだけにとどまらず、インターネットの接続口に設置されたルーターにも魔の手を伸ばしています。
3月中旬から、自宅のWi-FiルーターのDNS情報が書き換えられ、インターネットに接続できなかったり、不審なAndroid用アプリがダウンロードされたりするという声が聞かれるようになりました。DNS（Domain Name System）は、URLのホスト名をIPアドレスに変換する仕組みです。この情報が書き換えられたことで、ネットにアクセスしようとすると悪質なサイトに誘導され、マルウェアのダウンロードやフィッシング、仮想通貨のマイニングなどが不正に行われました。
5月には、ルーターに感染するマルウェア「VPNFilter」が報告されました。感染した機器は、外部から操られて感染活動や攻撃を仕掛ける「ボット」になってしまいます。同様のものに一昨年来からの「Mirai」というマルウェアもあり、このMirai系の亜種も相変わらず活動を続けています。
ルーター内部のソフトウェア（ファームウェア）に問題が見つかると、パソコンやスマートフォンと同じように修正プログラムが配布されます。一度設置してしまうと忘れられがちですが、インターネットの入り口で常に外部からの攻撃の矢面に立たされている存在です。欠陥があれば真っ先に狙われてしまうので、忘れずにアップデートを行うよう心掛けたいものです。
＜関連記事＞
・自宅Wi-Fiで知らぬ間に「DNS情報」書き換えられ、不正アプリDLの恐れ
・ルーターのDNS情報書き換え攻撃、標的がAndroidからiOSやPCにまで拡大
・ネットワーク機器に感染するマルウェア「VPNFilter」に注意
・バッファローの無線LAN親機に深刻な脆弱性、今すぐバージョン確認を
・コレガの無線LAN親機に「深刻な脆弱性」判明、他社製品に買い替えを
・バッファローとASUSの無線LANルーターに脆弱性、最新のファームウェアに更新を
・NEC「Aterm」3製品に脆弱性――ファームウェアが最新版になっているか確認を