フィッシング詐欺　電話番号の奪取や多要素認証の突破も

　偽のWebサイトや電子メールを利用して、ユーザーの個人情報やログイン情報を不正に取得するのがフィッシング詐欺だ。対象は業種を問わない。特に狙われ続けているのは「クレジットカード」に関連する情報だという。攻撃者はクレジットカード情報をただ奪うだけではない。収集後に整理して、リスト化する。ロシア発のメッセージングアプリ「Telegram」などを通じて、販売されている事例をトレンドマイクロは複数確認しているという。この他にも国税庁をかたり、暗号資産を狙うフィッシングも確認していると、本野氏は述べる。

奪ったクレジットカード情報をそのまま売るだけでなく、「リスト化」して付加価値を付けて売る場合もある

　この他、運転免許証やマイナンバーカードの券面など「本人確認書類の画像情報」を狙うフィッシングも確認したという。本野氏は「最近では正規のサービスでも、スマートフォンで本人確認書類を“撮影”して送る場合が増えているため、利用者もこのような行為に抵抗がなくなっています」と述べる。本人確認書類の画像を奪うことで、携帯電話事業者にSIMを再発行させて電話番号やSMSを奪う「SIMスワップ」に悪用される可能性がある。トレンドマイクロはTelegramで不正にSIMを作成するサービスが存在していることを確認した。本野氏は「クレジットカード情報と同様に、情報を収集する犯罪者と、その情報を購入し悪用する犯罪者が連携することで、分業化が進行しています」と指摘する。

Telegramでは具体的なMVNOの名称を表示して、不正に売買するチャンネルが確認された

　攻撃者は技術を進化させ、多要素認証を突破する「リアルタイムフィッシング」を利用している。トレンドマイクロは、都市銀行を中心に狙うグループだけでなく、ネット銀行や地方銀行、信託銀行、労働金庫といった中小規模の機関まで幅広く攻撃対象とするグループの存在を確認した。取引規制解除を名目に情報を入力させる手法で、電話認証やSMS認証を突破するだけでなく、「秘密の質問」を詐取する手口も広がっている。

多要素認証を突破できる仕組みがある

　2025年3月には、証券会社での不正ログインや意図しない株式売買が大きな話題となった。トレンドマイクロは、2024年11月時点で証券会社を狙ったフィッシングサイトを発見しており、9社に対して少なくとも10種類のフィッシングキットが確認された。本野氏は、「複数の詐欺グループがそれぞれ異なるフィッシングサイトを作成している可能性があります。1つの証券会社だけでも構造が異なる8つのサイトを確認できました」と述べ、証券業界が攻撃者に注目されている分野であることを指摘した。

証券会社になりすましたフィッシングの特異性

　狙われているのは証券会社だけではない。「法人インターネットバンキング」も対象だ。実際に2025年2～3月に複数の銀行から注意喚起が上がっている。トレンドマイクロは法務局をかたるSMSとフィッシングサイトを確認した。銀行をかたって電話をかけ、メールアドレスを聞き出すことでそのメール経由でフィッシング詐欺を始めるという手法だ。

　そのフィッシングサイトには「連絡先電話番号」や「連絡希望時間」の入力欄があり、合成音声などを使ったボイスフィッシングの標的や法人組織を探っている可能性があると本野氏は指摘する。

法人インターネットバンキングを狙って、法務局をかたるフィッシングが確認されている

スミッシング　ユーザーの地理情報も攻撃に利用する

　スミッシングはショートメッセージ（SMS）を利用した詐欺だ。偽のメッセージリンクをクリックさせて個人情報を盗み取ったり、マルウェアに感染させたりする。国内では「XLOADER（MoqHao）」や「KeepSpy」と呼ばれるスミッシングキットによる攻撃が目立っているという。ユーザーのスマートフォンがこれらに感染すると通信事業者や宅配業社、銀行をかたったSMSを不正に送信してしまう。

　トレンドマイクロは2024年にKeepSpyが対象としたスミッシングの標的を調査した。地方銀行が標的となる場合、旧NTT地域会社ごとに割り当てられた電話番号帯の情報を利用し、各地域の地方銀行の利用者を狙ったSMSが送信されていることが分かった。これにより、その地域の地方銀行の利用者にSMSが届く確率を高める効果があるという。

SMSを意図通りに標的に着信させる工夫があった

　本野氏は「RCS」（Rich Communication Services）にも注目する。RCSはSMS／MMSの代替であり、リッチなメッセージを送受信できる規格だ。2024年9月に「iOS 18」の「iMessage」が対応したことで利用者が拡大している。トレンドマイクロは2024年4月前後からRCSグループチャットを悪用したスパムメッセージの拡散を確認しており、今後悪用例が拡大する可能性を指摘した。

最新のRCSもスミッシングの温床となる可能性がある

サポート詐欺　Google広告も危険

　サポート詐欺は偽のテクニカルサポートを装う手法だ。ユーザーのPCに問題があると偽ってサポート費用をだまし取る。トレンドマイクロが受けた2024年のサポート詐欺の報告件数は過去最多だ。さらに問題なのは、Google広告など正規のネット広告の仕組みを経由して誘導されてしまうことだ。もはや「怪しいサイトの広告を避ける」だけでは対策にならない。

　トレンドマイクロは2024年7月ごろから、PCの画面全体に黒い背景の偽警告が表示される事例を確認している。利用者が電話の指示に従って、一般的な（正規の）リモートデスクトップソフト「ConnectWise ScreenConnect）をインストールした後、物理的な不正アクセスを防ぐための画面ロックツール「Lock My PC」をインストールしたことが原因だとみられる。本野氏は「これらのツールそのものが悪いわけではありません」と述べる。が、あたかもランサムウェアに感染した場合と同じ状況を作る悪質な攻撃だ

正規ソフトを悪用して「ランサムウェア」に似た効果がある攻撃を仕掛ける

　モバイル端末においても同様に偽の警告を表示させる攻撃があるという。「Android」端末では遠隔操作が行われる可能性があり、「iPhone」では画面を閲覧される恐れがある。これらの行為は、ネットバンキングの画面操作やSMS認証の盗み見につながることが懸念される。

インターネットに触れること＝詐欺に遭うこと

　このような巧妙なフィッシング攻撃に対してユーザーはどのように考えたらよいのだろうか。

　本野氏は「現代の傾向として押さえておくべきポイントは、『インターネットに触れること＝詐欺に遭うこと』だという意識を全ての利用者が認識しなければなりません」と述べる。ネットバンキングや検索、メールや広告、SNSやECなど、あらゆるネットの接点や体験に詐欺が潜むようになった。個人ユーザーの場合、これらの接点は「スマートフォン」に集まっている。もはや詐欺は固定電話だけが対象ではない。携帯電話が主役になることで、「若い世代もだまされやすくなっている状態です」と本野氏は指摘する。

　事態はさらに深刻化している。詐欺の被害に遭うリスクだけでなく、詐欺に加担するリスクだ。これまではある程度の知識がなければ到達できなかったダークWebにしかなかった情報が、一般的なインターネットの検索結果やSNSの投稿で簡単に触れられるようになった。本野氏は「一度でもこのような情報にアクセスすると、関連コンテンツとして次々と似たような情報がレコメンドされます。日常的な接触により、これらのことが“大したことではない”という誤った認識を生みやすくなります。特に若年層が詐欺に加担するリスクが高いでしょう」と警鐘を鳴らす。

無視できなくなった「詐欺に加担するリスク」

「知る」ことから始まる対策

　今回紹介したサイバー詐欺への対策として、本野氏は「まず知ることから始め、警戒することが有効です」と述べる。犯罪者がどのような手口を使うかを知っておくことで、事前の心構えができる。

　さらに積極的な対策もある。すでに流出してしまった情報にユーザー自身や家族の情報がどの程度含まれるかを知ることもできるからだ。本野氏は、「当社は、ダークWebで自分の情報が流出しているかどうかを確認できるツールを提供しています。高齢者やスマートフォン初心者の若年層にとって気軽に相談できる相手の存在が詐欺被害を防ぐ上で重要です。また、トレンドマイクロは個人向けに『詐欺バスター』をリリースし、AIを活用した詐欺対策にも力を注いでいます」と述べる。

詐欺手法を知り、相談できる相手を持つことが対策

　セミナーを終えるにあたり、本野氏は産官学が一体となり、社会全体で対策する必要があると指摘する。攻撃者は分業し連携しているので、それに対抗するわれわれも業界の垣根を超えてデータや知見の連携を進めていく必要がある。国内だけでなく、国際的な連携も必要だ。

詐欺に対抗していくためにできること