ひろしとアカリのセキュリティー事情　[2018/2/20]

短縮URLの悪用に注意しよう

URLを開く前に安全性を評価しよう

サイバー犯罪者は、メールやSNSの投稿、メッセージ、SMS（ショートメッセージサービス）などからユーザを不正サイトに誘導し、お金や情報をだまし取ろうとしています。著名な企業や団体、友人などを装うもっともらしいメッセージでユーザの油断を誘い、URLを開かせる手口は定番になっています。

短縮URLとは、http://、またはhttps://から始まるURL文字列を短縮して表示できるサービスのことです。たとえば、投稿メッセージに文字数制限のあったTwitterの投稿に貼り付けるURL文字数を減らしたいときなどによく使われていました。

詐欺サイトを見破るための方法の一つがURLの「ドメイン名」をチェックすることですが、短縮URLではリンク先のドメイン名が分からないため、サイバー犯罪者が利用者をだます目的で短縮URLを悪用する例が確認されています。たとえば、is702の漫画記事のページhttps://www.is702.jp/manga/2248/のドメイン名を見ればリンク先がis702と当たりをつけられますが、短縮URLサービスのbit.lyで短縮後のhttp://bit.ly/2ArouJqではリンク先の見当がつきません。

実際、Googleを装って「Google Playアカウントのお支払方法登録のお願いです」と呼びかけ、短縮URLを開くよう仕向けるSMSが確認されています。うっかりURLを開いてしまうとフィッシングサイトへ誘導され、Googleのアカウント情報やクレジットカード情報をだまし取られてしまう恐れがあります。

画面イメージ

Facebookでも友人や知人になりすましたメッセージを送りつけ、短縮URLを開かせる手口が確認されました。メッセージ受信者が映った動画の保存先に見せかける短縮URLを開くと、Chrome ブラウザへの機能の追加とFacebookへのログインを促す不正サイトへ誘導されます。それに応じるとFacebookアカウントを乗っ取られ、友人に不正メッセージを送信されてしまう恐れがあります。

画面イメージ

短縮URLに限らず、URLを含むメールやSNSの投稿、メッセージ、SMSを受け取ったら、まずは「もしかしたら不正なものかも？」と疑ってかかるべきです。たとえ、友人からのメッセージでも不自然な日本語が含まれていたり、口調や言い回しに普段と異なる点が認められたりした場合は近づかないほうが無難です。

万一のためにもPCやスマホに不正サイトへのアクセスをブロックしてくれるセキュリティソフトを導入し、最新の状態で使いましょう。