約 1 か月前、私は騙されそうな詐欺メールを受け取りました。
PayPalからのものだと偽り、約1,000ドルの請求が「新しいプロフィールに記録」されていると警告する内容のメールでした。メッセージには、何らかの暗号通貨ウォレットが私のアカウントに接続されていると示唆されており、身に覚えのないアクティビティがあった場合の連絡先電話番号も記載されていました。
通常なら、このようなメッセージは明らかに詐欺だと考えて無視するのですが、このメールは@paypal.comという正規のアドレスから送信されていることがわかりました。また、メールの下部には「プロフィールを設定」ボタンがあり、ブラウザではPayPalの実際のウェブサイトへのリンクとして表示されました。
最終的に、これは詐欺だと判断し、このメールを無視しても問題ないと判断しました。しかし、その判断を下すには、詐欺メールを見分けるための一般的なヒントよりも深く調べる必要がありました。
このコラムは、Jaredのテクノロジーアドバイス週刊ニュースレター「Advisorator」に初掲載されました。毎週火曜日にこのようなテクノロジーアドバイスを受け取るには、ご登録ください。
詐欺メールを詳しく見る
ジャレッド・ニューマン / ファウンドリー
CyberGuyのKurt Knutsson氏が6月下旬に報じたように、PayPalは実際にこれらのメールを生成しています…ただし、これはサイトのセカンダリアドレスとプロフィールツールを悪用する詐欺師の指示によるものです。その仕組みについては、Redditのスレッドでさらに詳しく説明されています。
しかし、時間がない場合は、要点は次のとおりです。
- 攻撃者は、人々を騙すという明確な目的で PayPal アカウントを作成します。
- 攻撃者はアカウントにセカンダリユーザーまたは新しいアドレスを追加しますが、実際のユーザー名またはアドレスを入力する代わりに、アクティビティについて PayPal に（偽の電話番号で）電話する必要があるというメッセージを挿入します。
- 次に、攻撃者は、このアクティビティのために PayPal が送信する電子メールを傍受し、電子メール認証の仕組みにおける既知の欠陥を悪用して、潜在的な被害者に再送信します。
つまり、正当な住所変更であれば「住所が更新されました: メインストリート 123」というメールが届くはずですが、こうした詐欺師は「住所が更新されました: アカウントのセキュリティを確保するため、PayPal (詐欺師の電話番号) までお電話ください」といった PayPal 認証済みのメッセージを傍受して作成しているのです。
結果として送信されるメールは、本物のPayPalメールアドレスから送信されており、スパムフィルターをすり抜ける可能性が高いものの、中身は完全に偽物です。偽のカスタマーサポート番号に電話すると、攻撃者はリモートデスクトップソフトウェアのインストールを促し、それを使ってコンピューターを乗っ取り、あらゆる混乱を引き起こします。
常識が間違っているところ
PayPalがなぜこれを許可しているのか、私には理解できません。PayPalユーザーがアカウントに別の住所やユーザープロフィールを追加したい場合、スパマーが偽の複数文のメッセージを挿入するのを防ぐために、文字数制限や住所チェックが行われるはずです。（PayPalは何度かコメントを求めたが、回答は得られなかった。）
しかし、それは、フィッシング詐欺を検出するための従来のアドバイスが必ずしも当てはまるとは限らないという、より広範な点とは別問題でもあります。
例えばMicrosoftは、間違ったメールアドレスや疑わしいリンクを探すことで詐欺メールを見分けられると述べています。しかし、このアドバイスは今回のケースでは役に立ちませんでした。メールヘッダーを詳細に確認するという追加手順を踏んでも、GmailはメッセージのDKIM認証やDMARC認証に問題がないと報告しました。実際、これはPayPalの認証済みメールでした。
あなたにできること
幸いなことに、電子メール詐欺の見分け方と回避方法に関するその他の一般的なアドバイスの多くは、どのようなシナリオにも当てはまります。
詐欺だと思い込む：アカウントで予期せぬアクティビティが発生したというメッセージを受け取ると、パニックに陥るのは当然です。そして、それが軽率な行動やミスにつながる可能性があります。アカウント関連のメールやテキストメッセージには、常に疑念を抱く姿勢を持つべきです。
偽のサポート番号を調査する:詐欺的な PayPal メールに記載された電話番号を Web で検索したところ、Better Business Bureau の Scam Tracker サイトでその番号を見つけました。このサイトには、私が受け取った偽のメールとまったく同じ種類のメールが報告されていました。
疑わしい場合は、実際のウェブサイトに手動でアクセスしてください。怪しいメールに記載されている電話番号に電話をかけたり、ログインボタンをクリックしたりしないでください。代わりに、会社のウェブサイトのURLをアドレスバーに直接入力するか、公式のカスタマーサポートの電話番号を調べてください。（Googleでサポート番号を検索すると、詐欺に遭う可能性があるため、ご注意ください。）
他の警告サインを探す:私の場合、PayPal のメールには他にも疑わしい危険信号がたくさんありました。
- 変な文法ですね。例えば、「問題がなければ無視してください。このアカウントからの自動保留請求が承認されました。」
- 認識されない「宛先」メールアドレス: メールはPayPalから送信されましたが、宛先は認識できないドメインの「receipt3」でした。
- ありきたりな挨拶文：皮肉なことに、PayPalのメールのフッターには「PayPalからのメールには常にお客様のフルネームが含まれます」という注意書きがあるのに、今回のメールにはそれがありませんでした。（一部のフィッシング詐欺にはダークウェブから収集された個人情報が含まれているものもありますが、ありきたりなメッセージの方が詐欺である可能性が高いのです。）
セカンドオピニオンを得る： ChatGPTのようなAIツールの便利な使い方の一つは、疑わしいメールのスクリーンショットを投稿し、それが本物かどうかを尋ねることです。AIボットは上記のすべての要素を検知し、詐欺メールであると判断するでしょう。
ジャレッド・ニューマン / ファウンドリー
リモート デスクトップ ソフトウェアは、エアホーンと吹き流しが付いた巨大な赤旗として扱ってください。PayPalなどのサポート担当者が、問題の診断に役立つソフトウェアをインストールするように指示した場合、コンピューターとデジタル ライフ全体に計り知れない損害を与えることになる可能性がほぼ確実です。
深呼吸しましょう。詐欺メールは、パニックに陥らせようとして、すぐに行動を起こさせようとする傾向があります。ここで私が最もお勧めしたいのは、立ち止まり、深呼吸し、考えを整理し、決して衝動的に行動しないことです。（経験豊富なセキュリティ専門家でさえ、これを怠ることがあります。）もし少し考えていなければ、このPayPalのメールに騙されていたかもしれません。
このコラムは、Jaredのテクノロジーアドバイス週刊ニュースレター「Advisorator」に初掲載されました。毎週火曜日にこのようなテクノロジーアドバイスを受け取るには、ご登録ください。
著者: ジャレッド・ニューマン（寄稿者）
ジャレッドは15年以上にわたりフリーランスのテクノロジージャーナリストとして活躍し、PCWorld、Fast Company、TechHiveに定期的に寄稿しています。TechHiveでは2014年から毎週、ケーブルテレビ解約に関するコラムを執筆しています。彼が発行するニュースレター「Cord Cutter Weekly」は3万人以上の購読者を抱え、テクノロジーアドバイスニュースレター「Advisorator」は毎週約1万人が購読しています。ジャレッドはニューヨーク大学でジャーナリズムの修士号を取得しており、ストリーミングやケーブルテレビ解約から便利なアプリやテクニックまで、複雑なテクノロジートピックを分かりやすく解説することに特化しています。オハイオ州シンシナティを拠点としています。
