「三菱東京UFJ銀行」や「MUFGカード」をかたるフィッシングメールが出回っているとして、同行と三菱UFJニコスが注意を呼びかけている。偽サイトは12日午後2時現在も稼働中だ。
フィッシングとは、実在する企業やサービスを装うメールやSMSなどで偽のWebサイトに誘導し、アカウント情報やクレジットカード情報などを騙し取ろうとする詐欺行為だ。
今回出回っているメールはHTML形式で、11日ごろから不特定多数にばらまかれている。件名は「WEBサービス利用者」、差出人は「三菱東京UFJ銀行」とされている。本文は「親愛なるアカウント保有者、」と始まるものと、「口座名義人、」と始まるものの2種類があり、どちらも、リンクをクリックして登録カードを確認しないと、アカウントとカードがロックされると書かれている。本文の出だしも含め、「あなたはそれを行うには数時間があります」「それを確認するには、をクリックしてください」などと、日本語が怪しいのも特徴だ。
記載してあるURLは、一見すると三菱東京UFJダイレクトの正規のログイン画面のものだが、クリックすると攻撃者が用意したまったく異なるURLの偽サイトが開く。HTML形式のメールではリンクの見た目と接続先とを個別に設定できるため、こうしたことが可能だ。この場合、マウスのポインターをリンクの上に移動したり、右クリックメニューを操作したりすると、実際のリンク先を確認できることが多い。タッチパネルの場合には、リンクの長押しで確認や操作メニューを表示できることが多いので覚えておきたい。
誘導先の偽サイトは「MUFGカードWEBサービス」の登録画面に似せて作ってある。カード番号、有効期限、氏名、生年月日、電話番号、IDとパスワードを記入する欄があり、確認ボタンを押すと三菱東京UFJ銀行の公式ページに飛ばされる。
MUFGカードをかたるフィッシングとしては、4月と5月に、「【重要：必ずお読みください】」という件名のメールをばらまくパターンの攻撃が行われている。当編集部では、その際に使われていた偽サイトと同じ作りのサイトが、現在稼働していることを確認している。偽サイトは、開設されてはつぶされ、また開設されてつぶされるという経過をたどるが、当該偽サイトのドメインは5月23日に取得されており、比較的新しい。今後、このサイトに誘導しようとするメールがばらまかれる可能性もあり、注意が必要だ。
（2017/06/12 ネットセキュリティニュース）
【関連URL】
・「当行」「MUFGカード」を名乗るフィッシングメールへの対応について（三菱東京銀行）
http://www.bk.mufg.jp/info/phishing/20170612.html
・MUFGカードをかたるフィッシング（詐欺）メールにご注意ください！（三菱UFJニコス）
http://www.cr.mufg.jp/member/notice/fishing/index.html
・[更新] MUFG カードをかたるフィッシング (2017/05/15)（フィッシング対策協議会）
http://www.antiphishing.jp/news/alert/mufgcard_20170515.html
・MUFG カードをかたるフィッシング (2017/04/24)（フィッシング対策協議会）
http://www.antiphishing.jp/news/alert/mufgcard_20170424.html
・MUFG カードをかたるフィッシング (2017/04/10)（フィッシング対策協議会）
https://www.antiphishing.jp/news/alert/mufgcard_20170410.html
【関連記事：ネットセキュリティニュース】
・クレカ会員サービスの登録確認を装うフィッシングに注意（2017/04/25）