実在する企業やサービスを装ったメールやSMSで偽のWebサイトに誘導するフィッシングが、6月も連日繰り返された。ほぼ毎日標的にされたのは、LINE、アップル、アマゾン、グーグルと6月も大きな変化はなく、相変わらずクレジットカード情報を狙うものが多い。
フィッシング対策協議会の6月の月次報告によると、協議会に寄せられたフィッシング報告件数 (海外含む) は478件（前月比92件増）。ユニークなURL件数は481件（前月比164件増）、悪用されたブランド件数 (海外含む) は20件（前月比3件減）だった。
協議会から出された緊急情報は、三菱UFJニコス、アップル、マイクロソフトの計3回。総評では、「マイクロソフトや金融機関をかたるフィッシング報告が再び増えたが、全体的には依然としてアップルおよびLINEをかたるフィッシングが引き続き多く、仮想通貨サービスのアカウント詐取を狙ったフィッシングも報告されている」としている。
・2017/06 フィッシング報告状況（フィッシング対策協議会）
https://www.antiphishing.jp/report/monthly/201706.html
筆者が観測した6月のフィッシング発生状況では、マイクロソフトが6日と8日の2回（4～5月は無し）。金融機関として扱われているクレジットカード会社は、三菱東京UFJ銀行をかたるメールで誘導する三菱UFJニコスのフィッシングが、11日から21日にかけて計7回（5月は8回）観測されたほか、25日には、楽天カードをかたるフィッシングが観測された。それほど高い頻度ではなかったが、関心の高さから報告数が伸びたと見られる。これらフィッシングの詳細については、下記を参照していただきたい。
＜マイクロソフト＞
・マイクロソフト
https://www.microsoft.com/ja-jp/office/2016/attention5.aspx
・フィッシング対策協議会（2017/06/06）
https://www.antiphishing.jp/news/alert/microsoft_20170606.html
・ネットセキュリティニュース（2017/02/28）
http://security-t.blog.so-net.ne.jp/2017-02-28
＜三菱UFJニコス＞
・三菱東京UFJ銀行（2017/06/12）
http://www.bk.mufg.jp/info/phishing/20170612.html
・三菱UFJニコス（2017/04/14）
http://www.cr.mufg.jp/member/notice/fishing/index.html
・フィッシング対策協議会（2017/06/13）
https://www.antiphishing.jp/news/alert/mufgcard_20170613.html
・ネットセキュリティニュース（2017/06/12）
http://security-t.blog.so-net.ne.jp/2017-06-12
＜楽天カード＞
・楽天カード（2017/06/27）
https://www.rakuten-card.co.jp/guide/securityinfo/
・ネットセキュリティニュース（2017/06/26）
報告書の総評で「依然として多い」とされているアップルとLINEは、ほとんど毎日観測された。LINEは、プリペイドカードを騙し取るためにアカウントを乗っ取ろうとするもの。仕掛けているのはひとつのグループだが、「line●●.cn」形式のドメインとサーバーを次々に変えながら、6月も連日繰り返された。誘導は、「LINE変更確認」や「LINE変更」という件名のメールで、本人以外の操作ならリンクをクリックして申請を解除するよう促す内容だ。
アップルのフィッシングを仕掛けるグループは複数あるようで、いくつかのパターンの件名と内容のメールが、入れ代わり立ち代わりばらまかれた。誘導先の偽サイトも異なる作りのものがいろいろあるが、よく見られたのは、Apple Storeのログインページを模したタイプと、Apple IDのログインページを模したタイプだった。いずれも、偽サイトにログインさせた後、クレジットカード情報を騙し取ろうとする。
＜アップル＞
・フィッシング対策協議会(2017/06/07)
https://www.antiphishing.jp/news/alert/apple_20170607.html
■頻繁に繰り返されたグーグルとアマゾンのフィッシング
報告書にはなく緊急情報も出なかったが、LINEやアップルと並ぶ高頻度で、グーグルとアマゾンのフィッシングが繰り返された。グーグルのフィッシングは、電話番号あてにメッセージを送るSMSを使って誘導するもの。「GoogleよりGoogleplayアカウントのお支払方法登録のお願いです詳細はURLをクリック」というメッセージを送り、誘導先の偽のフォームにクレジットカード情報等を入力させようとする。仕掛けているのは単一のグループだが、連日行われた。
アマゾンのフィッシングは、アップルと同様、複数のグループが仕掛けているようで、いくつかのパターンのメールとサイトが、毎日のように観測された。いずれも偽サイトにログインさせ、クレジットカード情報を騙し取る手口だ。
報告書の総評で触れられている仮想通貨サービスのアカウント詐取を狙ったフィッシングは、ビットコインなどの仮想通貨の売買を行う取引所の偽サイトに誘導し、ログインさせてアカウントを詐取するフィッシングと見られ、3月と5月に「CoinCheck」、6月に「BTCBOX」のフィッシングが観測されている。
偽サイトへの誘導には、一般的なメールのほかにチャットやSNSのメッセンジャーが使用されたとの報告がある。取引所のアカウントにログインされると、所有している仮想通貨や売買用口座のお金が盗まれるといった直接的な被害だけでなく、詐欺やマネーロンダリングに悪用されるおそれもあるので、くれぐれも注意していただきたい。
■不正ログイン対策に有効な「2段階認証」の利用を
クレジットカード情報を狙うフィッシング多いが、自身が公式サイトにログインしてカード情報を登録する時とカード決済する時以外は、絶対に入力しないよう心がけると、フィッシングを回避できる。もちろん入力時には、HTTPS接続で錠前マークが表示された、公式サイトであることの確認が必須だ。
フィッシングサイトの多くは、最初にログインさせようとする。本人確認なしでいきなりカード情報を要求すると不自然なので、アカウント情報を詐取する気が無くてもログインさせようとする。アカウント狙いのフィッシングはもちろん、成り行き上アカウントを渡してしまうような場合や、推測、リスト攻撃など、さまざまな手段を使って不正ログインを試みる不届き者も多い。
今回とりあげたフィッシングのターゲットは、クレジットカード会社以外全て「2段階認証」に対応している。この2段階認証を有効にしておくと、IDとパスワードを盗まれても、あらかじめ登録した電話番号やスマートフォンのアプリなどを使用しなければ、いつもと異なる環境からはログインすることができなくなる。フィッシングによる不正ログインの防止に高い効果が期待できるので、ぜひ利用していただきたい。
なお、LINEのフィッシングでは、リアルタイムで生成されるこの2段階認証用のコードを、ユーザー自身に入力させて乗っ取る「中間者攻撃」を仕掛けてくる。SMSで届く4桁の認証番号は、自身がLINEにログインする時以外は、絶対に入力したり人に教えたりしないよう注意していただきたい。
（2017/07/05 ネットセキュリティニュース）
【関連URL】
・アカウント乗っ取り（成りすまし）対策に「2段階認証」利用を（2017/05/01）