フィッシング
1年で一番盛り上がるセールの時期は、11月半ばに始まります。中国で11月11日といえば「独身の日」ですが、今ではオンラインでの（オフラインでも）消費が世界で最も高い日です。これに続いてやってくるのが「ブラックフライデー」、今年は11月23日からスタートします。それからクリスマス、年始がやってきます。この時期は至る所でディスカウントセールが行われるので、まさに買い物シーズンです。困ったことに、サイバー犯罪者もこの時期に活動を活発化します。さまざまな偽のディスカウントキャンペーンを繰り出して人々の物欲を刺激し、財布の紐とセキュリティ意識が緩むのを待っています。
フィッシングの統計
近年、年間を通して見られるフィッシング攻撃の少なくとも4分の1を、金銭目的のフィッシングが占めるようになってきました。2017年には50%を超えています。
過去数年間での金銭目的のフィッシングの増加
グラフからは、金銭目的のフィッシングの割合が2014年以降着実に上昇していることが見て取れます。この上昇傾向は、2018年も続くと考えてよいでしょう。
年末のセール期間中、オンラインストア利用者とネット決済システム利用者に対する攻撃の数が目立って増加します。当社の統計では、全攻撃に占める金銭目的のフィッシングの割合が、この時期に10%ほど上昇しています。それ以外の時期には、バンキング情報を狙う詐欺の方が多く見られます。
独身の日には、危険なWebサイトへのリダイレクトを当社セキュリティ製品がブロックする件数が急上昇しています。
当社製品がブロックした、フィッシングサイトへのリダイレクトの件数
ブロック件数の急増が見られたのは11月9日です。サイバー犯罪者は事前に準備するのが常であり、実際のセール開始日より少し前に大規模な攻撃を実行に移すのはいつものことです。
アリババグループの利用者に対するフィッシング攻撃だけを見た場合、主となるのは独身の日関連です。全体的な傾向と同様に、11月の平均と比べて約2倍の急増が見られます。
当社製品がブロックした、アリババグループのサービスを装ったフィッシングサイトへのリダイレクトの件数
独身の日関連のフィッシング
非公式な「世界ショッピングデー」と化した独身の日に向けて、サイバー犯罪者は多数のフィッシングサイトを用意して待ち構えていました。
アリババのECサイトの利用者を標的としたフィッシングサイト
たとえば、上記スクリーンショットは、一般的なソーシャルエンジニアリングのテクニックを使ったWebサイトです。サイトのURLの中に「alibaba」という文字列を何度も入れ込むことで利用者を混乱させ、正当性を醸し出すためにアリババの正規ロゴを配し、注意をそらすために派手な絵を使っています。似たようなフィッシングサイトを、もう一例挙げます（下の画像）。
アリババ利用者のアカウントデータを入手しようとするフィッシングサイト
米国の大手オンラインサービスであるAmazonは、販売/プロモーションの観点でアリババと共通点があり、サイバー犯罪者による偽サイト作成のターゲットであるという点も似ています。
当社製品がブロックした、Amazonをかたるフィッシングサイトへのリダイレクト件数
フィッシング攻撃には、一種の定型があります。まず初めに、餌としてお得感のある取引が提示されます。しかし「お得に買い物をする」ためには、住所や電話番号などの個人情報を入力フォームに入力しなければなりません。入力が完了すると、メッセンジャーアプリ経由で友だちにリンクをシェアすることを要求されます。言うまでもなく、取引は成立しません。あちこちのWebサイトに飛ばされて、意味のないアンケートに答えさせられるばかりです。
Amazonのセールの案内に見せかけた偽サイト
ブラックフライデー関連のフィッシング
今年のブラックフライデーは11月23日ですが、多くのショップでは数日前からディスカウントをスタートします。統計を踏まえると、この時期はブラックフライデー前よりもフィッシング攻撃が増えると思われます。さらに、blackfridayscom.tld、black-fridaywalmart.tldなどのドメインが大量に登録されています（現時点では休止状態）。サイバー犯罪者は、何も疑わずにアクセスしてきた人から個人情報とクレジットカード情報を集めるために、ブラックフライデーまでにこれらWebサイトのコンテンツを準備することでしょう。
実際のところ、2018年のブラックフライデーに関連したフィッシングの活動がすでに観測されています。詐欺師たちはブラックフライデーを実施するショップになりすまし、フィッシングメールを大量にばらまき始めています。
Mercado Livre（南米の大手ECサイト）の利用者を狙ったフィッシング
下の画像はWalmartの偽サイトのスクリーンショットですが、このWebサイトが何のために作られたのかをドメイン名が物語っています。このWebサイトも、フィッシングの定型に従っています。まず釣り餌として、魅力的な価格設定で最新モデルのテレビを提示しています。決済プロセスに入ると、然るべきフォームに重要情報を入力しなければなりません。支払った代金は犯罪者の懐へ入ります。
WalmartのWebサイトを模したフィッシングページ
フィッシングメールに関しては、Netflixの2か月間無料視聴をうたうブラックフライデーキャンペーンが観測されています。メールにあるリンクをクリックすると、偽のNetflixサイトが表示され、クレジットカード情報や個人情報を入力せよと要求されます。入力したデータは攻撃者の元へ送られていき、入力してしまった人は、無料視聴の登録済みメールが来ないどころか自分の銀行口座がハッキングされることになります。
Netflixを装うフィッシングサイト – クレジットカード情報と個人情報の入力を要求
ブラックフライデーに先立ち、世界的なブランドの品々を驚きのディスカウントで販売するとうたう偽のオンラインショップも立ち上がります。
人気ブランドの冬用アウターを異常なディスカウントで提示するフィッシング詐欺
信じられないほどおいしい話をネット上で見かけた場合、たいがいは信用できない話です。これもまさにそうです。品物をカートに入れると決済のページに進み、そこにはちゃんと認証アイコンまで付いていてもっともらしく見えます。
しかし、実体はクリック不能な単なる画像で、注意深い人なら「おかしいな」とすぐに気付くはずです。あまり注意を払わない人は、すぐに配達先情報とカード情報を入力して決済してしまいます。入力した情報はすべて犯罪者の元へ行ってしまい、品物が届くことはありません。
オンラインショップの、クレジットカード情報を盗むための偽ページ。認証アイコンはすべて単なる画像
オンラインショップが本物か偽物かを見分けるヒント
- フリーのホスティングサービスを使って開設されているオンラインショップを避ける
- 重要な情報の入力を要求するフォームの付いたページのURLをよく観察する。意味不明な文字が並んでいたりして怪しく思える場合は、決済に進まないでください。
- ショップのWebサイトを見て何かおかしいと思ったら、WHOISサービスを使ってそのWebサイトの情報を調べる。このドメインがいつから存在しているのか、誰が所有しているのか、などを確認しましょう。まだ登録されてから日が浅くて登録者が誰なのか分からない場合は、別のショップを利用しましょう。
このほか、『人はなぜフィッシングに引っかかるのか』もご覧ください。
安全な買い物のために
- オンラインでの買い物用に専用のクレジットカードを用意する。このカードには、多額のお金をひも付けないようにしましょう。
- メールやSNSのメッセージやチャットで送られてきたリンクからショッピングサイトに行かない。不審なWebサイトに表示された広告バナーをクリックまたはタップしてアクセスするのもやめましょう。
- 買い物をするときは、公共Wi-Fiを使わない。どうしても公共Wi-Fiを使う必要がある場合には、カスペルスキー セキュアコネクションのようなVPNを利用しましょう。
- 個人情報を入力する前に、自分がアクセスしているのが本物の（偽物ではない）Webサイトであることを確認する。アドレスバーに表示されているURLが正しいものか（スペルなどしっかり確認を）、URLの頭が「https」で始まっているかまたは緑色の錠アイコンが付いているか、確認してください。ドメイン名のスペルが1文字でも違ったら、重要情報を入力しないでください。
- フィッシング対策機能を持つ、信頼できるセキュリティ製品を使用する。当社ではカスペルスキー セキュリティをご用意しています。
ヒント