こんにちは、おつまみ（@otsumami082）です。
先日、フィッシング詐欺に引っ掛かってしまいましたw
フィッシング (詐欺)とは
フィッシング（英: phishing）とは、インターネットのユーザから経済的価値がある情報（例: ユーザ名・パスワード・クレジットカード情報）を奪うために行われる詐欺行為である。典型的には、とにかく信頼されている主体になりすましたEメールによって偽のWebサーバに誘導することによって行われる。
インターネット上で様々なサービスが提供されるにつれ、年々増加と高度化の傾向が顕著である。
出典：Wikipedia
そこで今回は『私が引っかかった詐欺サイトはどのようなものだったのか？』『なぜ引っ掛かってしまったのか？』『特徴・手口・対処法・見分け方』などを紹介していきます。
もくじ
フィッシングの始まりから終わりまでの流れ
フィッシングの始まりから終わりまでの流れ、事の顛末を簡単に説明すると
- SMSでメッセージが来る
↓ - メッセージ内のハイパーリンクを踏んでクレジットカード情報含む個人情報入力
↓ - クレジットカードを不正利用される（数万円分）
↓ - クレジットカード会社の不正利用感知システム作動
↓ - クレジットカードが停止
↓ - クレジットカード会社から電話が来る（私が利用したかの事実確認。身に覚えがないと返答）
↓ - カード再発行手続き（到着は発行後10日目安）
↓ - 紐づけていた支払いを別のクレカへ紐付けし直す
って感じです。(´･ω･)
フィッシングの手法（SMSでのAMAZON偽サイトへの誘導）
フィッシング詐欺SMS
どういう手法なのかというと、SMSで上記↑のメッセージが来たのです。そしてリンク先の偽AMAZONサイトでクレジットカード情報含む個人情報を入力させて、クレジットカードを不正利用しようというわけですな。
まぁ、真新しいことなんて一切ないコテコテの手法に引っ掛かってしまったわけです、私は。なんと情けない。(´･ω･)
なぜ騙されてしまったのか？
なんでこんなコテコテの手法に引っかかってしまったのかというと、実は私、数日前にAMAZONアカウントのクレカ情報を抹消していたんですよね。（支払いをAMAZONチャージに一本化したのです）
思い込みって恐ろしい…。完全にノーガードでした。 _:(´ཀ」 ∠):_
あと、当時はタスクが溜まりまくっていたので脳がオーバーロード状態でした。さらに詐欺かどうかを見分ける労力も惜しんでいたんですよね。
冷静に見れば、SMS内のハイパーリンクのURL（https://www.amazon-hkl.buzz/）が明らかにおかしいですよね。本家は『https://www.amazon.co.jp/』ですもんね。ちゃんと確認すれば詐欺だと見抜けたはずなんですが…（；^ω^）
偽サイトの不審な点
今回、私が遭遇した偽サイトには不審な点がたくさんあります。
- URLが『https://www.amazon.co.jp/』じゃない
- 『詳細』『利用規約』『プライバシー規約』などをタップしても該当するページに飛ばない
- ユーザー情報が間違っていても先に進めてしまう
- 文字入力がまともにできない（バグ）
- ドラムロール型入力フォームの中で任意のものを選択しても１個ずれて決定される（バグ）
まぁそれはともかく、詳細をみていきましょう。
不審点①：URLが『https://www.amazon.co.jp/』じゃない
不審というか、この段階で100％詐欺ですwww
詐欺サイトのURL『https://www.amazon-hkl.buzz/』
SMSのハイパーリンクをクリックするとAMAZONログイン画面（偽）に飛びます。
不審点②：『詳細』『利用規約』『プライバシー規約』などをタップしても該当するページに飛ばない
ログイン画面（偽）には青色で表示されたハイパーリンクがたくさんあります。（『詳細』『利用規約』『プライバシー規約』『パスワードを忘れた方』の部分）
しかしどのリンクを踏んでもページ移遷しません。
それもそのはず。URLが全てログイン画面と同じですもの。
ハイパーリンクを長押しすると出てくるURLが全部同じ
不審点③：ユーザー情報が間違っていても先に進めてしまう
『Eメールまたは携帯番号アカウントの番号』入力フォームと『Amazonのパスワード』入力フォームは1文字以上のローマ字を入力すれば次の手順に進めてしまいます。
ちなみに、かな入力だと認識されませんでした。
なかなか小癪（こしゃく）な詐欺サイトですね。(´･ω･)
不審点④：文字入力がまともにできない
入力フォームに文字を入力しようとしても、意図した入力ができません。
例えば『SHIROIKONA』と入力しようとすると画像↑のようにバグります。（ほとんどの入力フォームでこうなる）
不審点⑤：ドラムロール型入力フォームの中で任意のものを選択しても１個ずれて決定される
例えば、生年月日の日にちで『11日』を選択します。
すると『12日』と入力されてしまいます。
めちゃくちゃ不審な挙動です。（でも引っ掛かった私って一体 …_:(´ཀ」 ∠):_）
嘘情報を入力して最後まで進んでみた
この項目では、嘘情報を入力してどこまで行けるのかを検証してみましょう。（一度詐欺られたのでやけくそですw）
問題のSMSのリンクを踏みます。
フォームをローマ字で入力。
フォーム上段を『white@powder』、下段を『trip』としました。（ローマ字ならなんでもOKですが遊び心ですw）
ログインボタンをタップすると個人情報入力画面が出てきました。
住所を『伊区伊区（イクイク）夢見町１９−１９−１１』『ゴーゴーヘブン0721』と入力。
郵便番号と電話番号は入力がバグったので、テキトーです。（住所もテキトーですがw）
ちなみにページ下部のリンクをタップしても同じページから移遷しません。（リンク先が同じURLなので）
個人情報登録の検索窓をタップした場合↓は公式のアプリの方へ移遷しました。
どんなスクリプトが仕込まれているか分からないので、安易に移遷しない方が良いでしょう。
お支払い方法の入力画面です。
ここも入力がバグるのでテキトーです。（SHIROIKONAと打ったら画像のようになりましたw）
3-Dセキュア画面。
ここも18番の『イクイク（ikuiku）』で攻略（？）していきます。パスワードは『ikuiku1919』。『クリックして提出します』をタップ。
なんか手続きが終了したっぽいです。
できます
信頼できるサービスをお選びいただきありがと
うございます
アカウントは24時間以内に確認されます
10秒以内にアカウントにリダイレクト
されます。
ちなみにメッセージの通り、リダイレクトはしっかりなされます。私の場合は公式のアプリにリダイレクトされました。
公式へのリダイレクトは安全？
どういう理屈で公式のページにリダイレクトされるのだろうと気になって調べてみると、興味深いやりとりがYahoo!知恵袋で行われていました。
【当該URL】
https://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q14232952544
この情報を鵜呑みにするのなら、脆弱性のあるブラウザなどを使っている場合を除いて、セキュリティリスクはほぼないみたいですね。とはいえ安易にリダイレクトしても良いことなど一つもないので、控えてください。（安易にリダイレクトした私が言うのもなんですがw）
偽サイト（フィッシング）かどうかを見分ける簡単な方法
今回の記事内容を元に、偽サイト（フィッシング）かどうかを見分ける方法を3つにまとめました。
- 公式ページのURLと比較
- 詐欺サイトのチェックツールやChromeを使う
- リンク先ページのハイパーリンクをタップしてみる（非推奨）
それぞれ順に見ていきましょう。
公式ページのURLと比較
今回のAMAZON偽サイトと公式ページのURLを例にとって見比べてみます。
♢【公式】AMAZON♢
https://www.amazon.co.jp/
♢AMAZON偽サイト♢
https://www.amazon-hkl.buzz/
後半部分（赤線部分）がまるで違うことがお分かりいただけるかと思います。
詐欺サイトのチェックツールやChromeを使う
今回の場合、SMSに載っていたこちら↓のURLをコピーします。
そしてChromeの検索窓にペーストして検索します。
SMSに記載のURLをコピペしてGoogle検索している様子
Chromeならこのような警告を出してくれます
すると警告文が出てアクセス不可能になります。
スマホ（iPhone）の表示↓
詐欺サイトかどうかを判定してくれる無料チェックツールを活用するのもありですね。
リンク先ページのハイパーリンクをタップしてみる（非推奨）
マルウェア感染や迷惑メールなどのリスクがあるので、この方法はおすすめできませんが、載せておきます。
ハイパーリンク（青文字）をタップします。
ページが移遷しない場合は詐欺サイトです。
個人情報を入力してしまった場合の対処法
フィッシングに引っ掛かって個人情報を入力してしまった！！そんな場合の対処をまとめました。
まずはクレジットカード会社へ連絡
不正利用を防ぐためにカードを止めてもらい、カード番号の変更や再発行手続きをしてもらいましょう。（詳しい対策はカード会社の指示に従って下さい）
次に居住地の消費生活センターか国民生活センターへ相談
一人で悩んでいても仕方がないので、その道のプロに相談するのがベストです。実際の金銭的被害が発生している場合は、警察に連絡することになると思われますが、その方法や必要性などを含めて相談員の指示に従うと良いかと思います。
個人情報の変更をする
個人情報には
- 氏名
- 住所
- メールアドレス
- クレジットカード番号
- WebサービスのID・パスワード
などがあります。
可能なら入力してしまった情報の全てを変更するのが望ましいのですが、現実的ではありませんよね。（特に氏名）
『メールアドレス』『WebサービスのID・パスワード』『カードの停止措置』など、できる対策からしていきましょう。
私の場合はこう対処した
今回の場合はAMAZONのアカウント情報が筒抜けになってしまったので
- お名前
- Eメール
- パスワード
を変更しました。（AMAZONアカウントの登録情報変更はこちらから）
カード会社への連絡については、カード会社（楽天）から留守電が入っていたので折り返し電話し、新カード発行手続きを行いました。
カード停止手続きはしてません。というか楽天の不正利用検知システムにより自動的に停止させられていました。
不正利用分を請求されることもなかったので、安心して今後も楽天カードを利用していこうかと思いました。(*^^*)
楽天経済圏の私が使っているクレジットカード↓
さいごに
今回の被害で感じたのは、フィッシングの手口を知っていたとしても
ということでした。
騙されないコツは、めちゃくちゃ忙しくてテンパっていても個人情報登録を促すようなメッセージのリンクは安易にクリックせず、公式のページURLとの比較やチェックツール、Chrome検索窓を使った真偽判定をすることですね。
それでは良きセキュリティライフを〜(*^^*)
30日無料体験版あり。PCとスマホの安全を守る
世界売上シェアNo.1セキュリティソフト。
♢関連記事♢
