最新ネットトラブル事情　[2020/2/28］

フィッシング詐欺大量発生！
あなたのApple IDが狙われている！

この半年ほどの間にフィッシング詐欺の被害が拡大しています。フィッシング詐欺とは、大手有名企業の企業名やブランド名を騙って、サービスのログインIDやパスワードを盗む犯罪です。

フィッシング対策協議会の2019年10月における、フィッシング詐欺の報告件数は8000件を超え、過去最大となりました。

フィッシング報告件数グラフ — 出典：2019/10フィッシング報告状況（フィッシング対策協議会）

また、警察庁の発表でも、2019年9月にオンライン銀行口座での不正送金被害が急増しており、フィッシング詐欺が原因だと見られています。発生件数は436件、被害額は約4億2600万円にもなっています。

不正送金事犯発生状況（令和元年9月末現在）グラフ — 出典：フィッシングによるものとみられるインターネットバンキングに係る不正送金被害の急増について（警察庁）

フィッシング詐欺を行う犯罪グループは、どんな企業名を騙ってフィッシングメールや、偽のログインサイトを作っているのでしょうか？それを知れば、何に注意すべきか傾向と対策がわかってきます。
BBソフトサービスでは、「詐欺ウォール」での検知実績に加え、警察やその他の国内機関から集められた情報を元に「盗用されたブランド」を集計しています。

最も狙われているブランドは「Apple」

2019年4月～9月に検知、報告されたフィッシングサイトの件数を月単位で集計したところ、最も狙われているのが「Apple ID」でした。国内のスマホの利用者数で圧倒的なシェアを持っているiPhoneは、犯罪者が狙う標的としても非常に魅力的なのです。

	2019年4月	2019年5月	2019年6月	2019年7月	2019年8月	2019年9月
1	Apple ID	モンスターストライク	indeed	Apple ID	Apple ID	Sagawa
2	Amazon	indeed	Apple ID	Amazon	NTT docomo	Apple ID
3	Sagawa	Apple ID	PayPay	Microsoft	Amazon	Amazon
4	日本郵便	Amazon	Amazon	Softbank	Softbank	Microsoft
5	NTT docomo	CIBC	モンスターストライク	NTT docomo	iD	日本郵便
6	PayPal	三菱UFJニコス	三菱UFJニコス	NTTイフ	au	PayPal
7	American Express	Desjardins	NTT docomo	au	Microsoft	LINE
8	メルカリ	PayPal	PayPal	PayPal	PayPal	BNP Paribas
9	Netflix	NTT docomo	au	三菱UFJニコス	LINE	ISPウェブメール
10	楽天	MyEtherWallet	Office365	LINE	三菱UFJニコス	OneDrive

※フィッシングに盗用されたブランドの遷移（BBソフトサービス調べ）

Twitterで「AppleIDがロック」というキーワードで検索をかけると、毎日フィッシング詐欺メールが届いたという投稿が上がっています。常時新しいURLで偽サイトが出現し、大量な偽メッセージがばらまかれているのです。偽のログイン画面は本物と比べても全く遜色なく、見た目での判断は大変難しくなっています。

偽のApple ID入力画面
出典：Appleをかたるフィッシング（2019/08/20）(フィッシング対策協議会)

ブラウザー表示の
「URLを観察すればわかる」
「鍵マークが無いものは詐欺」
「日本語表示が不自然」
「Whoisでドメインの所有者を調べる」
などを判別ポイントとして挙げている文書を見ることがあります。
決して間違いではありませんが、最近の手口は変化しており、そのような箇所を見てもすぐには判断できないようになってきています。ましてやドメイン所有者情報を調べるなどは一般の方にはとても進められるものではありません。

Apple IDを入手できるとどんなことができる？

Apple IDは非常に汎用性の高いアカウントで、アプリ課金やキャッシュレス決済のために、クレジットカード登録を行っていることも犯罪者に狙われやすいポイントです。
具体的にどんな被害が考えられるか挙げてみましょう。

1）Apple Storeで商品を成りすまし購入

Apple Storeには高価な商品が並んでいます。特にiPhoneは高価で換金しやすい商品で、コンパクトであることも犯罪者にとって扱いやすいものです。勝手に注文した商品を本人にばれないように受け取ることさえできればよいのです。2019年8月にドコモオンラインショップで1000台のiPhone Xが同時多発的に不正購入される事件が発生しました。一部の受け子は逮捕されましたが、首謀者を含め大半は捕まっていません。

2）別のiPhoneにApple IDを移し利用する

Appleユーザーなら、iCloudにiPhone/iPadのバックアップを取っていると思います。Apple IDがあれば、別のiPhoneにバックアップデータを復元することができますが、復元するデータにはApple PayなどのWalletに登録したクレジットカード情報も含まれます。カードを使えるようにするにはクレジットカード裏面の3桁の確認コードの入力が必要になりますが、フィッシング詐欺の手法を用いて所有者を騙して入手することはそれほど難しくはありません。

3）iCloudのバックアップデータでプライバシーがダダ洩れ

iCloudには写真や動画、メールアカウントなど、全ての情報がバックアップされているため、あなたのプライバシーは全て知られることになります。写真やメールを全て見られて、それをネタに脅迫されるなどの犯罪につながるリスクがあります。またiPhoneにさまざまなネットサービスのID、パスワードを憶えさせていたら、その情報は全てApple IDで取得可能になってしまいます。Googleアカウント、Amazon、楽天、Yahoo! Japan、携帯電話会社のIDパスワード… あなたは、いくつのネットサービスをスマートフォンで利用しているでしょうか？

この3つのポイントを考えるだけでも、Apple IDがどれだけ犯罪者にとって有用なのか理解していただけると思います。これらの不正利用を防ぐためにやっておくべきことを最後にまとめておきましょう。

フィッシング詐欺被害を回避するポイント

SMSやメールで送られてくるメッセージの中のURLは絶対に開かない: 自分の使っている企業のサービスなら、正規サイトの自分のアカウントにログインすれば、自分あての連絡事項を確認することができます。メールやSMSのURLは利用せず、正規サイトをブックマークしておき、そこからログインすれば偽サイトに誘導されることはありません。
2要素認証を設定しておく: Apple IDだけでなく、銀行口座やクレジットカードなど決済情報を登録しているサイトでは、必ず2要素認証を設定しておきましょう。パスワードは自分が漏らさなくても、企業からの情報漏えいや、ハッカーの技術によって破られることがあります。
2要素認証の確認コード自体を盗むフィッシング詐欺手口も発生しているため、2要素認証が万能とは言えませんが、犯罪被害を防ぐ大きな抑止力となります。
ウイルス対策ソフトのフィッシング詐欺サイトを防ぐ機能を活用する: SafariやChromeには、通報された最新の詐欺サイトのURLが常に読み込まれ、ブラックリストに登録されています。日本国内の情報も官民連携がうまく機能し比較的早く反映されています。Chromeの場合は、通報されたフィッシング詐欺サイトや偽販売サイトのURLにアクセスしようとすると、真っ赤な警告画面が表示されます。

国内で販売される主要な総合セキュリティソフトベンダー（ノートン、ウイルスバスター、McAfee、カスペルスキーほか）も、このURLブラックリストの提供を受けていますが、反映のされ方はベンダーによってまちまちです。ブラックリストには、詐欺サイトのごく一部分しか登録されず、特にフィッシング詐欺などはURLが変わる頻度が24時間以下のため登録が間に合いません。また、何らかの理由でブラックリストフィードを中断しているベンダーもあるように見受けられます。

このような、ブラウザーや総合セキュリティ対策ソフトの欠点を補う、ネット詐欺専用セキュリティソフト（詐欺ウォール/BBSS）もあります。ブラックリストに加え、リアルタイムにサイトの危険性をスコア化して自動判別する機能を持ったもので、URLを変更した詐欺サイトでも同じものだと判別できることが強みです。

ネット詐欺は画面に表示する情報で、ユーザーを騙して行動させるのがとても上手です。
ちょっとした翻訳ミスや、変な日本語表現を笑って「私は見抜ける」と思い込んでしまっては、相手の思うつぼ。「私は騙されない」というのは、勘違いであると断言します。

詐欺サイト対策は、ブラウザー、ウイルス対策ソフト、ネット詐欺専用セキュリティソフトの3つのレイヤーですることをお勧めします。

eoでは、詐欺サイト対策ソフト「詐欺ウォール」をご利用いただける、「インターネットサギウォール for eo」を提供しています。より強固な対策となるよう、ウイルス対策ソフトを利用できる「eoセキュリイティーパック」とあわせてご利用いただくと、月額料金もおトクになります。
詳しくは以下をご確認ください。

eoセキュリティーパック

インターネットサギウォール for eo