実在する企業やサービスを装ったメールやSMSで偽のWebサイトに誘導するフィッシングが、7月も連日繰り返された。グーグルを装うフィッシングが仕掛け人の逮捕で終息したものの、LINEとアップルは連日、アマゾンもそれに次ぐ頻度で行われた。
フィッシング対策協議会の7月の月次報告によると、協議会に寄せられたフィッシング報告件数 (海外含む) は579件（前月比101件増）。ユニークなURL件数は616件（前月比135件増）。悪用されたブランド件数 (海外含む) は17件（前月比3件減）。緊急情報は、アップルとLINE各2回ずつの計4回だった。
報告件数とURL件数は、ともに3か月連続での増加だ。オンラインゲームやオンランバンキングのフィッシングが盛んだった頃には及ばないものの、URL件数のほうは歴代3位の数を記録している。総評では、「Apple をかたるフィッシング報告が急増しており、そのほとんどが短縮URLを利用してフィッシングサイトへ誘導している」ことを理由にあげており、「LINEをかたるフィッシングも、引き続き多く報告されている」としている。ネット上では、ほかに楽天カードやビューカード、Facebook、Yahoo! JAPAN、大学のWebメールなどのフィッシング報告もある。
■アップルを装うフィッシングが異常増殖中
LINEを装うフィッシングが相変わらずのペースで続き、アマゾンを装うフィッシングがやや減少する中、アップルを装うフィッシングが尋常ではない状況になっている。複数のフィッシングサイトが連日開設され、そこに誘導する件名や内容の異なる何種類ものフィッシングメールが大量にばらまかれ続けている。8月に入ってからも、勢いはとどまるところを知らない。
・短縮URL、リダイレクタを頻用
これらフィッシングメールのリンク先は、多くが短縮URLになっており、そこからさらに別の短縮URLや偽サイトに転送する中継サイト（リダイレクタ）を経由するものも多い。ひとつの偽サイトにたどり着くのに、「メールのリンク（短縮URL）」→「別の短縮URL」→「リダイレクタ」→「偽サイト」と4つのURLを使用して誘導しているものもある。
短縮URLには、実際の誘導先を隠蔽する効果がある。リダイレクタは、同様の効果が期待できることに加え、書き換えることで誘導先を変更することもできる。偽サイトが閉鎖されたり、アクセス制限がかけられたりしても、リダイレクタが無事なら、稼働中の別の偽サイトへ転送するように書き換えることで攻撃を継続できる。一連のアップルを装うフィッシングでも、リダイレクタの書き換えで存続するケースがしばしば観測されている。偽サイトの稼働中に短縮URLサービスが誘導を中止するケースや、リダイレクタが消滅してしまうケースもあるので、どちらが長生きできるのか一概には判断できない。
・典型的なアップル偽メールの特徴
よく来るアップルのフィッシングメールには、件名も本文も日本語のもの、本文の代わりにPDFファイルなどを添付したもの、件名が英文で中身が日本語のもの、件名も本文も英文のものがある。多くは、アカウントロックなどのセキュリティ上の問題を訴え、リンク先で確認するよう促すタイプだが、一部に偽の領収書を送り、承認しないならリンクをクリックして払い戻しを受けるよう誘導するものもある。この手のメールには本物もあるので、偽物にだまされないよう注意したい。本物の場合は、Apple IDの登録メールアドレス宛に届き、「○○○○様」というように登録した氏名が記載される。名指しなら本物かも知れないが、そうでなければ偽物と思ったほうがいいだろう。
・正規URLの確認方法
正規のURLに見えるメールのリンク先が、実際には違ったものが埋め込まれていることがある。スマートフォンならリンクの長押し（リンクをタッチしたまましばらく押し続ける）で、パソコンならリンクの上にマウスポインタを移動すると、本当のリンク先URLが確認できる。メールのリンクをクリックする際には、必ず確認していただきたい。ブックマークなどから直接正規のサイトにアクセスし、問題点等を確認するよう心がけるとより安全だ。
・「錠前マーク」表示する偽サイトに注意
アップルのフィッシングサイトの多くは、Apple IDのログインページやApple Storeのログインページに酷似しており、HTTPS接続で錠前マークが表示されるところが多いので、注意したい。EV証明書を使用する本物は、アドレスバーやその横に「Apple Inc.」という名前が表示される。ブラウザが錠前マークを表示するだけのサイトなら、誰も簡単に作ることができるが、ブラウザに正規の名前が表示されるサイトはそうはいかない。「錠前マークのないサイトや錠前マークだけのサイトは偽アップル」と覚えておけば、アップルのフィッシングに引っかかることはない。
ちなみに偽サイトに誤ってログインしてしまうと、クレジットカード情報を要求してくる。これも本物にはない挙動で、ここで偽物と気付き思いとどまる方も多い。クレジットカード情報の入力は、アップルのサイトで何かを購入した際にカード払いを選択するか、ユーザーが自主的にApple IDの支払い情報に登録する場合に限られる。本人確認などの理由でカード情報を求めて来ることはないことを、しっかり認識しておきたい。
（2017/08/07 ネットセキュリティニュース）
【関連URL】
・2017/07 フィッシング報告状況（フィッシング対策協議会）
https://www.antiphishing.jp/report/monthly/201707.html
・フィッシングメール、ウイルス感染の偽警告、偽のサポート電話などの詐欺に遭わないようにする（アップル）
https://support.apple.com/ja-jp/HT204759