フィッシング
夏が近づいています。長期休暇の季節がやってきます。大勢の人々が、行ってみたい場所、安い宿泊先、そして手ごろな価格のチケットを探して旅行関連のWebサイトを見て回っています。そして、例によって詐欺師たちも、こうした人たちが求めるものを提供しようとしています（人々が本当に求めているものとは違いますが）。
休暇を心待ちにする人々に向けて繰り出される詐欺の手口については、以前もKaspersky Dailyで取り上げました。今回の記事では、本物の旅行関連Webサイトにアクセスしていると信じこませる手口を、シンプルな3つの対応策と共に詳しく説明します。紹介する事例は、Kasperskyの調査チームが今年4月下旬から5月上旬にかけて実環境で発見したものです。
1. アドレスバーを確認する
フィッシングの被害に遭わないための最も一般的なアドバイスと言えば、「アクセスしているWebサイトのURLを確認すること」です。しかし、サイバー犯罪者の作り上げた偽のWebサイトが元のWebサイトにそっくりだったりすると、多くの人はブラウザーのアドレスバーに表示されたURLを確認するのを忘れてしまいます。その上、詐欺師は私たちを油断させる術を心得ています。
たとえば、この宿泊先情報を見てください。快適そうなマンションの一室が、1日わずか14ユーロで借りられるそうです。このWebサイトは、見た感じでは本物のAirbnb.comのようです。デザインも、快適に過ごせたことやホストの対応に満足していることを伝える人々のコメントも、すべてがとてもリアルです。AirbnbのWebサイトで目にするものが、ここにはそろっています。
しかし、これはAirbnbのWebサイトではありません。偽物です。アドレスバーのURLには、「abnb63213491.byethost8.com/rooms/7858853」と表示されています。ドメイン名が「airbnb」ではないのが分かります。
よくある詐欺の流れは、こうです。簡単なやり取りを交わした後で、この部屋の「ホスト」は、部屋を確保するためにと予約金の支払いを依頼してきます。予約金の振込が完了すると、何の返信も来なくなってしまいます。
このような偽のWebページは、どのようにして人々の目にとまるのでしょうか？このタイプの情報は、スパムメールやメッセンジャーアプリ、SNSで見つかります。検索エンジンやSNSを開いているときに、広告として表示されることもあります。
さて、詐欺師たちは、このように説得力のある偽サイトを作るのにかなりの時間をつぎ込む一方で、手を抜いている部分もあります。Airbnbを装ったフィッシングページに掲載するコメントを、複数のフィッシングページで使い回していたりします。そうと分かれば、こういったWebページを真に受けることができなくなるというものです。
2. 微妙な文字に注意する
続いて、別のWebサイトを見てみましょう。こちらも、実在するWebサイトに似せてデザインされています。さきほど見たとおり、URLの確認が重要なので、まずはURLを見てみましょう。最初に気づくのは、URLに「booking.com」という文字列が含まれるように見えることです。Webページ上にある文字を見ると、別の大手旅行サイトであるExpediaのWebページらしいのですが。どちらかがどちらかを買収したか何かでしょうか。
しかし、URLをもっとよく見てみましょう。特に「booking」という単語に使われている文字に注目してください。k、i、nの下に何か記号がついているのが分かりますか？画面の汚れでもなければ、コンピューターの不具合でもありません。これはラトビア語で使われる文字の一部です。つまり、「booķįņg.com」と「booking.com」はまったく別のWebサイトなのです。
URLをちらりと見ただけでは、このフィッシングに気づかないかもしれません。フィッシングページのURLの偽装に英語以外の文字が使われるのは、よくあるパターンです。念のため、アドレスバーの左側にある錠アイコンをクリックして［証明書］を選択し、そのWebサイトの本当の所有者を確認してください。
3. 短縮URLをよく確認する
詐欺師が使う手口には、URL短縮サービスの利用もあります。たとえば、安い宿泊施設や航空券のディスカウントを宣伝するリンクを見かけたとしましょう。見たところ短縮されたリンクのようです。Twitterのおかげで私たちは短縮URLを見慣れていますから、「t.co」や「goo.gl」で始まるリンクを見ても別に驚くことはなく、正規のリンクとして扱います。なのになぜ、たとえば「twixar.me」や「tinyurl.com」のような文字列で始まるリンクを気にする必要があるのでしょうか？これらは単に別の短縮サービスを使ったもののように見えますが…。
そのとおり、これらは別のサービスを使って短縮されたURLです。しかし、ここでのポイントは、短縮URLを信じてはならない、ということです。短縮されたリンクをクリックするときは、どこのWebサイトに連れて行かれるのかを必ず確認する必要があります。短縮リンクがすべて悪意あるものだとは限りませんが、可能性としてはあります。行きついた先が下の画像のようなExpediaの偽ページで、ExpediaのログインIDとパスワードの入力を要求されるかもしれません（入力した情報はサイバー犯罪者の元へ行ってしまいます）。この例ではメールのパスワードも要求していますが、絶対に入力しないでください。メールのパスワードを入力していいのは、自分が使っているメールプロバイダーのWebサイトとメールアプリに対してだけです。
Airbnbアカウントに関して言うと、詐欺師は盗んだアカウントを、後でマネーロンダリングに使います。あなたのアカウントを使って宿泊場所を提供し、別のアカウントで宿泊の支払いをすることで、正当に収益を得たかのように見せかけるのです。
4. おまけ：旅行関連のスパムメールを見破る
人々をフィッシングページに誘導する一番簡単な方法は、とても説得力のある内容のメールを送ることです。犯罪者のしていることは、まさにこれです。やっかいなのは、送られてきたメールが偽物であることに気づきにくい場合があることです。例として、とある航空会社から送られてきたように見えるメールを見てみましょう。メールは任意のメールアドレスから送ることが可能なので、［差出人］フィールドを見ても大した情報は得られません。メールの内容も、その航空会社が実際に送ったメールからそっくりそのままコピーしたものかもしれません。
詐欺師の正体を教えてくれるのは、リンクのアドレスです。詐欺師の目的はあなたを特定のWebサイトにアクセスさせることですから、リンクやボタンで誘導しようとします。そのリンクにマウスカーソルを重ねれば、最終目的地のURLが表示されます（たとえば、ブラウザーやメールアプリの画面左下など）。何を確認すべきかは、この記事をここまで読んだならもうお分かりだと思います。
旅行関連のフィッシング詐欺を見破るためのアドバイス
ここまで、詐欺師が人々を欺くために使う手口を見てきました。最後に、フィッシング詐欺にだまされないためのヒントを今一度、簡単にまとめます（一般的なフィッシングから身を守る方法についてはこちらをご覧ください）。
- 信じられないほど良い話は、高確率で、信じてはいけない話です。避けるのが一番です。
- ログインIDやパスワードなどの個人情報を入力する前に、ブラウザーのアドレスバーをよく確認しましょう。URLに少しでも不審な点があったら（スペルが間違っている、本物のURLと違う、文字以外の記号が使われているなど）、そのようなWebサイトでは何も入力しないでください。怪しいなと思ったら、URLの左側にある錠アイコンをクリックしてサイトの証明書をチェックし、このWebサイトの所有者を確認しましょう。
- 宿泊先や航空券は、必ず、信頼できるプロバイダーの信頼できるWebサイトで予約しましょう。アクセスしたいWebサイトのアドレスを、アドレスバーに直接、キーボードから入力してアクセスするのが理想的です。
- 見知らぬところから送られてきたリンクは、（メール、メッセンジャーアプリ、SNSなど、どんな手段で送られてきたかを問わず）クリックしないようにしましょう。
- 旅行会社や航空会社から、懸賞についての情報がメールやSNSで届いた場合には、その会社の公式Webサイトにアクセスして、それが本当に実施されている懸賞であることを確認してください。また、その懸賞広告にあるURLが最終的にはどこにリンクされているかも、慎重に確認しましょう。
- スパムやフィッシングからあなたを守ることができる、優れたセキュリティ製品を利用しましょう。
ヒント