相変わらず猛威が止まらないフィッシング詐欺。
もう世に出ているクレジットカードのほとんどがフィッシング詐欺に使われているのでは？ と思うほど、楽天カードや三井住友カードを中心に減少の傾向が一向に見られない。
そんな中、新たに横行しているのが「イオンカード」を騙るフィッシング詐欺だ。しかも、シンプルながら危険度MAXレベルの仕組みになっているからユーザーは必読。このフィッシング詐欺が個人情報を抜き取るまでの一部始終と防止策をお伝えしようと思う。
・偽メールの種類は多め
まずはフィッシング詐欺の入り口となる、偽メールの解説をしていこう。「イオンカード」を騙るものは、とにかく数と種類が多いのが特徴だ。
現在確認できている差出人名は「AEON CARD」「イオンクレジットサービス株式会社」「イオンカード」と3種類だ。
そして気をつけてほしいのが、本物のイオンカードのメールアドレスと全く一緒のドメインが使われているということだ。そう、送信元メールアドレスや署名欄は偽装できるのである。
よくあるフィッシング詐欺の偽メールは、ここがデタラメなものやAmazonを騙るフィッシング詐欺などによく見られる「amason.co.jp」みたいな本物に寄せているものが多い。しかし、「イオンカード」を騙る偽メールはパッと見だと全く本物と変わらないので本当に注意が必要だ。
件名は「緊急のご連絡」や「重要なお知らせ」など、よくある個人情報抜き取り目的のフィッシング詐欺にありがちなものだが、私に（耕平）に届いているものは全て本文が変わらないといったパターンのものだった。
メールの文面もまた巧妙。シンプルで変な日本語の言い回しなどがなく、一見騙されてしまうようなクオリティだ。
・抜き取りはシンプル
次に個人情報を抜き取るフィッシングサイトを解説しよう。リンクをクリックすると、警告画面が表示される。
ちなみに私が使っているブラウザはGoogle Chromeで、他のブラウザでは試していない。よって、必ずしもこの警告画面が表示されるかどうかは不明だ。
そのまま進むとフィッシングサイトが姿を現す。
本物と比べて一部アイコンの違いはあれど、ほとんど変わらないクオリティだ。
メールのドメインが同じでサイトがこのクオリティだったら、騙される人も多いのではないだろうか？
さて、ここから潜入を試みる。方法はアメリカンエキスプレスのフィッシング詐欺の時と同様に、全て数字の「1」のみを打ち込む。ケタ数違いだけで最後まで辿り着けるかの検証も含めてやってみよう。
IDとパスワードの欄に1を打ち込み、下部にある「ログインボタン」をクリックすると……
入れてしまった。
この方法はフィッシングサイトかどうかを見抜くために有効なやり方ではあるが、最近はPayPay銀行を名乗るフィッシング詐欺のように対策されているものも多いので注意が必要だ。
そしてカード番号などの個人情報の入力フォームにも同じく全て「1」を打ち込む。
しかし、さすがに情報が足りないせいか、次に進むためのボタンがクリックできない状態だ。
そこで今度は、同じ「1」のみでフォームに指定されたケタ数を打ち込んでみた。
すると、先ほどのボタンがクリックできるようになった。
先に進むべくクリックしたところ……
なぜか本家のログインページに飛ばされてしまった。
おそらくこの時点で抜き取りが完了していると思われる。
・騙されないために
今回の「イオンカード」を騙るフィッシング詐欺はログインページと個人情報の入力ページのみ詐欺サイトで、最終的には本物のホームページに飛ばされる仕組みだった。
これは以前潜入した「VISAカード」を騙るフィッシング詐欺で見られた。私の中の分類で通称「シンプル型フィッシング詐欺」として位置づけられるもので、最近のフィッシング詐欺の主流になっている。
ただし、今回は偽メールでありながらドメインが一緒で、フィッシングサイトも本物と見分けがつかないクオリティだからヤバい。イオンカードユーザーであれば、コロッと騙されてしまう確率は高いかもしれない。
そこで、イオンカードユーザーに注意してほしいことはただ1つ。
「イオンカードがメールで個人情報を聞くことは絶対に無い」
これはイオンカードが提供している「フィッシングサイト被害にあわないために」にも記載されている。また、このサイトには他にもフィッシング詐欺対策が丁寧に書いてあるので、ユーザーであれば一読は必須だ。もちろん、他のフィッシング詐欺にも同様のことが言える。
また、いつもお伝えしている通り、メールから直接サイトにアクセスしないことを徹底してほしい。
──以上だが、この記事の内容が被害防止の一助になれば幸いである。
参考リンク：イオンクレジットサービス 「フィッシングサイト被害にあわないために」
執筆：耕平
Photo：RocketNews24.
