近年、クロネコヤマトの宅急便など宅配便の不在通知やオンラインバンキングの不正利用を狙ったフィッシング詐欺がメディアで取り上げられています。JPCERTコーディネーションセンターは、フィッシング対策協議会の事務局であり、フィッシングに関する報告の中心となっています。同協議会は、日本におけるフィッシング詐欺の減少を目指し、フィッシングに関する事例や技術情報を収集・提供することを目的とした任意団体です。フィッシング詐欺の基本的な仕組みや最近の傾向、Phishing Reporting Deskが収集した情報などを解説します。
フィッシング詐欺とは、「本物の組織になりすまして、ユーザー名、パスワード、アカウントID、ATMの暗証番号、クレジットカード番号などの個人情報を取得しようとする詐欺行為」と定義されています。犯罪者は電子メールやSMS（ショートメッセージサービス）を使って個人情報を「盗む」。犯罪者は、電子メールやSMS（ショートメッセージサービス）を使って、本物のウェブサイトに似せたURLや「緊急」などを含むURLをクリックさせて消費者を騙し、本人確認の名目でデータを盗みます。盗まれたデータを使って、犯罪者はすぐに本物のウェブサイトにログインし、詐欺行為を行うことができます。
私たちは、消費者や組織から多くのフィッシング報告を受けています。フィッシングの被害に遭ってから通報する人もいますが、ほとんどの人は、それが詐欺だと気づいたらすぐに通報しています。フィッシング事件の報告件数は数年前から増加しており、2020年にはこの傾向が強まると考えられます。
報告数の増加は、上記メディアで紹介されているように、フィッシング詐欺に対する意識が高まっていることも一因ですが、フィッシング詐欺が広く行われていることの証拠でもあると考えています。
フィッシング詐欺に騙されるブランドの傾向は、ここ数年大きな変化はありませんが、最新のデータによると、Amazon、Apple、LINE、楽天が最も多くの報告を行っていることがわかりました。特にAmazonは、レポート全体の半分以上を占めています。戴冠式の期間中はオンラインでの買い物が多くなるため、人気のあるサービス名がフィッシング詐欺に利用される可能性があります。
フィッシングメールは夜間や週末に送信されることが多く、また、フィッシングサイトは短期間に異なるURLでオンラインになったりオフラインになったりするため、新しいフィッシングURLの報告数は増加し続けています。
これは、大量のURLを使用することで、ブラックリストのセキュリティ検出システムやURLフィルタを回避しようとしている可能性があります。
フィッシングメールやフィッシングサイトは、実在する企業のものをコピーしていることが多く、一見しただけでは発見できません。また、サーバー証明書を利用したフィッシングサイトも増加しています。以前は、ウェブサイトが安全かどうかを見分ける最良の方法のひとつは、ブラウザのURL表示にある錠前のアイコンを見ることだと言われていましたが、もはやこれがフィッシングサイトを見分ける唯一の方法ではありません。
フィッシング詐欺の多くは、IDやパスワードに加えて、クレジットカード情報が悪用されます。しかし最近では、「キャリア課金」（毎月の携帯電話料金で商品やサービスの代金を支払うキャッシュレス決済サービス）を利用するために、携帯電話会社のIDやパスワードを盗み出そうとするフィッシャーが現れています。最新のフィッシング詐欺の多くは、スマートフォンユーザーをターゲットにしています。例えば、SMSを利用したフィッシング（スミッシング）は以前からありましたが、2018年に荷物の不在通知を狙ったフィッシング詐欺が発生して以来、一般化しており、スミッシングの報告も引き続き表面化しています。スマートフォンがフィッシャーに狙われやすいもう一つの理由は、偽装されたメールアドレスやブラウザのURLが小さな画面では見づらいことです。メールアドレスが偽物であっても、多くのスマートフォンのメールアプリでは「表示名」のみが表示され、メールアドレスは表示されないため、これもまたフィッシング詐欺を見破ることができません。これにより、フィッシング詐欺を発見することも難しくなります。例えば、メールアドレスが「●●●.co.jp〈info@example.com〉」のように本物のメールアドレスに見えない場合は、表示名からは判断できません。
SMSでは通常、発信者番号（携帯電話の番号）と表示名（オペレーターを示す文字列）が表示されます。この文字列は、国内のSMSを利用する場合は、携帯電話会社に登録する必要があります。ただし、国際SMSサービスを利用している場合は、任意の文字列を入力することができます。フィッシング詐欺師は、この仕組みを利用しています。正当な送信者と同じ送信者名を使うことで、正当な送信者が送ったSMSの中にフィッシングメッセージが表示され、ユーザーは疑うことなくそのメッセージを信じることができます。
フィッシングメールの検知に注力するのではなく、メールやSMSのリンクを使ってウェブサイトにアクセスするのではなく、公式アプリやブラウザのブックマークを利用することをお勧めします。特に、ID、パスワード、個人情報、クレジットカード情報などを入力する際には、一度立ち止まって、正しい情報を入力したかどうかを確認することをお勧めします。初めて利用するウェブサイトの場合は、運営者の情報や連絡先を確認し、そのウェブサイトが詐欺ではなく評判の良いものであることを確認する必要があります。