ホリデーシーズンが近づきショッピングが盛んになると、オンラインの領収書が世界中の受信トレイに届けられます。しかし残念ながら、その多くは偽物です。AppleとAmazonの新しい詐欺が広まっています。それらは、テクノロジー製品の購入に関する高額な請求書でユーザをおびき寄せます。
この詐欺は、4月にVadeによって最初に報告された現在進行中のテクニカルサポート詐欺と不気味な類似点を示しています。その中でハッカーは、Norton、McAffee、Microsoftになりすまして、ウイルス対策サブスクリプションに関する偽の請求書を使用します。テクニカルサポート詐欺と同様に、偽のAppleやAmazonの請求書を受け取ったユーザは、サブスクリプションをキャンセルするためにメールのフッターに記載されている電話番号に電話するように指示されます。
Vadeの脅威インテリジェンスおよび対応センター（TIRC）のアメリカマネージャーであるニコラス・ジョッフルは、次のように述べています。「これは、テクニカルサポート詐欺とほぼ同じプロセスです。詐欺犯たちは、恐怖心を煽る手法と混乱を利用して、被害者をだましてフリーダイヤルに電話をかけさせます。メールはたいていの場合、高額な購入の請求書のようなものを表示します」
もちろん、それらの請求書は偽物ですが、高額の請求書が受信トレイに表示されると、ユーザは間違いなく不安を感じて、その電話番号に電話して支払いをキャンセルする可能性が高くなります。
メールのフッターには、ユーザが電話でMacBookの購入をキャンセルできるのは48時間以内だと注意があります。これによって、フィッシングとスピアフィッシングの両方でよく使われる心理戦術である高額購入についての気がかりなメールに、さらに緊急性が加わります。
次の3つの理由から、電話番号の使用は賢明だといえます。まず、ハッカーはフィッシングページを作成する必要がありません。次に、メールにはURLが含まれていないため、メールフィルタをすり抜けられます。そして3つ目の理由として、ハッカーは電話でその人を口頭で操り、場合によっては、脅迫できる機会を得られます。
この記事の執筆時点では、メールフッターの電話番号はまだ使用されていましたが、連絡を試みても応答がありませんでした。テクニカルサポート詐欺で、犯人は被害者のコンピュータにリモートアクセスソフトウェアをインストールする手順を一つ一つ説明し、被害者のコンピュータがウイルスに感染していることを納得させ、ウイルス対策ソフトウェアのサブスクリプションを求めます。
Amazonの請求書詐欺は、サブウーファーの購入とワイヤレスヘッドセットの購入の2つを特徴としています。Appleの詐欺と同様に、メールには連絡先番号が含まれていますが、URLなどのフィッシングメールでよく使われるその他の識別可能な特徴は含まれていません。
「目的は、被害者をパニックに陥らせて、誰かが自分のデビットカードやクレジットカードを使って高価な商品を注文したと信じ込ませることです」とジョッフルは述べています。「犯人は、被害者がその番号に電話して注文をキャンセルすることを望んでいます。被害者がその番号に電話をかけると、犯人は通常AmazonやAppleチームのふりをします。『セキュリティ上の理由』という名目で、名前、住所、クレジットカード番号などの個人情報を尋ねられます。盗まれた情報は詐欺に使われます」
11月中旬に請求書詐欺が急増
下の画像でわかるように、Vadeは2021年10月にこの詐欺の追跡を開始しました。ブラックフライデーの2週間前の11月中旬までに、詐欺メールの数は1日で6万件を上回るまでに急増しました。各メールは固有のものであり、ヘッダー、送信者、件名がランダムであるため、実際のメールの合計数はグラフに表示されている量よりも多い可能性があります。
10月中旬は数が少なく、11月中旬に急増するため、犯人はホリデーシーズンに先立ってメールを試していた可能性があります。もちろん、世界中の多くの国で、ブラックフライデーを皮きりにホリデーショッピングシーズンが始まります。ユーザはホリデーシーズンを通して継続的に受領確認や請求書を受信します。そして、購入確認と発送確認の両方に注意を払っている可能性が高くなります。
失われたリンク
AppleとAmazonのメールにはURLが含まれていないため、特に検出が困難です。これは、ハッカーがクリーンなIPを使って正当なドメインからメールを送信している場合に特に当てはまります。URLとコードを分析するシグネチャスキャンは、このシナリオでは役に立たず、メールをブロックできません。これらの種類の詐欺からユーザを保護するには、シグネチャとレピュテーションだけでなく、行動、コンテンツ、コンテキスト、およびあらゆる範囲の可能性とシナリオを分析するAIを基本とするフィッシング対策テクノロジーが必要です。
