クレジットカード会社を装い、カード情報などを騙し取ろうとするフィッシングメールが先週末から相次いでいる。カード会社がメールの誘導先でカード情報を入力させることはないので、騙されないよう注意していただきたい。
ネット上で相次ぎ報告されたフィッシングメールは、MUFGカード（金、土、日、月）、クレディセゾン（月）、楽天カード（金、日）の3社を装うもの。うち三菱UFJニコスのフィッシングに関しては、本日付でフィッシング対策協議会から緊急情報が出ている。
■MUFGカードを装うフィッシング
三菱UFJニコスのMUFGカードを装うフィッシングは、先週末から週明けまで連日ばらまかれた「【重要：必ずお読みください】」という件名のメールと、月曜日にばらまかれた「Important」という件名のメールの2種類がある。
前者は、第三者によるアクセスがあったため登録IDを暫定的に変更したので、ログインして再変更するよう促す内容のもの。2013年から繰り返し使われているメールで、同社を装う同じ内容のメールが先月もばらまかれた。差出人名を「MUFGカード」に偽装しているが、メールアドレスには無関係な国内のプロバイダメールのもが記載されている。誘導先は、本物に似せた「cr-mufg」という文字を織り込んだ、「.pro」や「.biz」など計7種類のドメインを用意しており、メールには、それぞれの誘導先のURLが偽装せずにそのまま記載されていた（月曜日までにすべてアクセスできなくなった）。
三菱UFJニコスは、複数のブランドのカードを扱っており、ブランド別の複数の会員登録ページが用意されている。偽サイトは、これらをほぼそのままコピーしており、各ブランドの偽登録ページで、クレジットカード情報や個人情報などの登録情報一式を騙し取ろうとする。見た目は本物そっくりだが、暗号化通信には対応していないためHTTPSでは接続できず、本物に表示されるはずの錠前マークや「Mitsubishi UFJ NICOS Co., Ltd.」（JCBカードの場合は「JCB Co.,Ltd」）という運営者名の表示がない。
「Important」という件名のメールで誘導する後者のフィッシングは、昨年6月以来のもの。出来の良くない日本語メールだが、差出人名を「Bank of Tokyo-Mitsubishi UFJ」と三菱東京UFJ銀行に偽装しており、メールアドレスも同行のものに偽装していた。リンク先も同行のURLに偽装しており、埋め込まれたリダイレクタ経由でMUFGカードの偽登録ページを開く。HTTPS接続なので錠前マークが表示されるが、リダイレクタも転送先も、同行や同社とは無関係なドメイン名なので、よく見ればわかる。ちなみに同じサイト内には、アップルの英語版のフィッシングサイトも併設されていた。22日16時現在、どちらも稼働中だ。
■クレディセゾンを装うフィッシング
「【重要：必ずお読みください】」という件名のフィッシングメールは、MUFGカードのほかに、クレディセゾンやセディナのフィッシングにもよく使われる。先のMUFGカードのフィッシングに続き、月曜日には、クレディセゾンの会員サイト「Netアンサー」の偽登録ページに誘導するフィッシングメールがばらまかれた。件名は同じ「【重要：必ずお読みください】」で、名称以外はほぼ同じ内容だ。
リンク先は、「saisoncard」という文字を織り込んだ紛らわしい名前だが偽装しておらず、HTTPS接続ではないので、よく見ればわかるだろう。22日16時現在、稼働中だ。
■楽天カードを装うフィッシング
「注意：【楽天】不正アクセスを検知したため、パスワードを見直し、お支払い方法の再登録をお願いします」という件名で、金曜日と日曜日にフィッシングメールがばらまかれている。同じような件名でアマゾンのフィッシングメールをばらまいているグループの仕業で、昨年7月、アマゾンのフィッシングの合間に、この楽天カードのフィッシングが行われている。
フィッシングメールは、差出人を「【楽天】」に偽装しているが、メールアドレスがYahooメールという、偽アマゾンと同じお粗末な構成。リンクは偽装しておらず、「rakuten-co-jp」や「rakuten-card-co-jp」という紛らわしい文字を織り込んだ誘導先のURLを、そのまま記載している。不可解なことに、2回とも誘導先のIPアドレスが引けず、アクセスすることができなかった。以前の攻撃と同じ偽サイトを使用している場合には、「楽天e-NAVI」そっくりの偽サイトにログインさせ、サービス開始手続きと称してクレカ情報等を入力させるものと見られる。繰り返し仕掛けているグループなので、楽天カードもしくはアマゾンのフィッシングが、今後も続く可能性が高い。引き続き警戒していただきたい。
（2018/01/22 ネットセキュリティニュース）
【関連URL：フィッシング対策協議会】
・MUFG カードをかたるフィッシング (2018/01/22)
https://www.antiphishing.jp/news/alert/mufgcard_20180122.html