冬のバーゲン、クリスマスプレゼントなど、オンラインショッピングの機会が増える年末年始。物価の高騰もあり、お得なショッピング情報を求めている方もいるのではないでしょうか？サイバー犯罪者はこのことをよく理解しており、「割引」「セール」「期間限定」などの魅力的な言葉を件名に含めたフィッシングメールを拡散しています。

フィッシングメールを開封するとどうなる？

フィッシングメールは開くだけで、送信元に通知が行き、サイバー犯罪者はその人が詐欺に騙される可能性があることがわかります。さらに、標的がどのブラウザを使っているかを把握することもできてしまい、この知識を今後の攻撃に役立てることができます。例えば、脆弱性のあるブラウザを使っている人を標的に、よりクリックしたくなるような内容のメールを送るかもしれません。

フィッシングメール内のリンクをクリックすると？

「怪しいメールのリンクは、絶対にクリックしないでください。」皆さんも聞いたことがあるアドバイスかと思います。しかし、もし誤ってクリックしてしまったらどうなるでしょうか？こうしたリンクは多くの場合、名前、クレジットカード情報、銀行口座などの個人情報の入力を求めるフォームにたどり着きます。フォームに個人情報を入力し、送信すると、その情報はサイバー犯罪者に送られてしまいます。

では、送信ボタンを押す前にフィッシングサイトであることに気が付いた場合、セーフなのでしょうか？実は、そうとも限りません。ウェブサイトには「ドライブバイ」と呼ばれるペイロードが含まれていることがあり、被害者が何もしなくても勝手に悪意のあるプログラムをダウンロードします。ドライブバイは、オペレーティングシステム（OS）やブラウザなど、ほかのプログラムの脆弱性を利用し、コンピュータをマルウェアに感染させます。アバストでは最近、標的を監視するためのドライブバイペイロードが、Google Chromeのゼロデイ脆弱性を通して拡散されていることを確認しました。

フィッシングメール内のリンクは、必ずしも標的をフィッシングサイトに誘導するとは限りません。しかし、リンク先には、悪意のある広告が含まれていることがあります。特に年末年始には、大手小売業者を装った広告や、お得なキャンペーンに関する広告が出回ることが予想されます。このような広告をクリックすると、マルウェアのインストール、脆弱なサイトへの誘導、ドライブバイを介したサイバー攻撃などに遭う可能性もあります。

年末年始に注意したい、フィッシング詐欺

年末年始にかけてオンラインショッピングを利用するユーザーへの脅威として、高価な商品を激安で販売するとうたう偽のセールや、良く知られているECサイトを装ったフィッシングメールなどが想定されます。また、請求書を装ったメールや、請求書関連の問題に関するメールも見られると思われます。これらのメールのリンクをクリックすると、クレジットカード情報や銀行情報を入力するよう促す偽のウェブサイトに誘導されます。

さらなる手口として、銀行を装ったフィッシングメールも考えられます。多くの銀行は、不審な取引を検知したり、口座から大きな額が引き落とされそうになったりすると、顧客に警告メールを送ります。このような便利なサービスを偽装し、銀行口座情報を入力するように促すフィッシングメールも考えられます。

フィッシングメールの特徴

• 文面に違和感がある：フィッシングメールは多くの場合、広い網を張るため、標的の名前ではなく「お客様各位」などの表現で始まります。名前の代わりにメールアドレスが記載されていることもあります。ただ、サイバー犯罪者がメールアドレスを解析し、標的の名前を入手することもできます。
  
  また、文法が間違っている、誤字脱字が多いなど、全体的に違和感のある文面もよくあります。一方、正規の企業からの公式メールは、顧客の名前を用いて挨拶しますし、メール文にミスが多いメールを送ることはありません。
  
  
• あまりにも魅力的なキャンペーン：信じがたいほど素敵なセールやキャンペーンは疑いましょう。
  
  
• 即買いを促す：サイバー犯罪者は、「期間限定」などの緊急性のある言葉に弱い人がいることを知っています。
  
  
• 短縮されたリンクや、綴りが間違っているリンク：フィッシングメール内のリンクは多くの場合、リンク短縮サービスを使っています。また、正規のウェブサイトと非常に似ていたり、綴りが少し間違っていたり、似たような文字を使ってわざと誤表記したりと、タイポスクワッティングされたリンクも多く見られます。
  
  
• 添付ファイル：サイバー犯罪者は、PDFのように広く利用されているファイル形式にマルウェアを隠すこともできますが、フィッシングメールの添付ファイルは多くの場合、「.doc.exe」のように二重の拡張子が付いています。
  
  
• 個人情報を要求される：サイバー犯罪者の狙いはデータです。アカウント情報やログイン情報などの個人情報を求めるメールには、気を付けましょう。
  
  
• 利用していないサービスの運営会社からメールが届く：サイバー犯罪者は正規企業のデータベースにはアクセスはないため、幅広くフィッシングメールを送ります。自分が利用していないサービスについて、アカウントや請求に関する問題などに関するメールが届いたら、すぐにごみ箱に入れましょう。

その他の保護

ウイルス対策ソフトを使用しましょう。アバスト無料アンチウイルスなどのウイルス対策ソフトは、フィッシングメール、フィッシングサイト、マルウェアなどからデバイスを保護します。

また、 ブラウザを含むソフトウェアやOSは頻繁に更新しましょう。ブラウザやデバイスに脆弱性があると、サイバー犯罪者は脆弱性を確認するコードを注入し、ドライブバイ攻撃を実行できてしまいます。最悪の場合、サイバー犯罪者がデバイスにアクセスできるようになってしまう可能性もあります。ブラウザやデバイスは最新状態に維持しましょう。