偽NordVPNサイトに潜むマルウェア――人気VPNを装った詐欺の手口と対策

現代の詐欺師たちは、従来のクリックベイトや「ナイジェリア王子」型の詐欺が以前ほど通用しなくなったことを熟知しています。人々の詐欺への警戒心が高まるにつれ、ハッカーがセキュリティ意識の隙間をついて攻撃を仕掛けるのは困難になりました。

そこで、攻撃手法はより隠密なものへと進化しています。ファイルのダウンロードやリンクのクリックを直接促すのではなく、感染の痕跡をできる限り隠して成功率を高める方式です。その代表的手口の一つが、人気サイトの忠実なコピーを作成し、隠されたマルウェア以外はすべて「通常どおり」動作させるというものです。

NordVPNを装った事例

最近、この手口の実例としてNordVPNの偽サイトが確認されました。詐欺師たちはNordVPNの公式サイトを極めて忠実に再現しており、本物と見分けることが難しいレベルでした。

さらに彼らは、正常に動作するNordVPNのダウンロードリンクを設置しました。このコピーには銀行詐欺トロイの木馬(バンキングトロージャン)が仕込まれており、ユーザーがダウンロードすると静かにインストールされます。注意深くないユーザーは、正規のNordVPNをインストールしただけだと信じ込み、銀行口座情報を盗む目的で仕掛けられたトロイの木馬の存在に気づかないままになってしまうでしょう。

偽サイトをより本物らしく見せるため、詐欺師たちはLet's Encrypt発行の有効なSSL証明書まで取得していました。これによりサイトの通信は暗号化され、信頼性が高いように見えたのです。

しかし、詐欺師たちにも隠しきれない弱点がありました。正規のNordVPNのURLは https://nordvpn.com であるのに対し、偽サイトのURLは nord-vpn(dot)club だったのです。これがこの攻撃における唯一の手がかりでしたが、URLをよく確認しないユーザーには見過ごされやすいものでした。

偽サイトはどのように拡散されたのか?

偽サイトがインターネット上でどのように広まったのかは、詳細は明らかになっていません。検索結果では正規のNordVPNが上位表示されるため、詐欺師たちはGoogle検索経由の流入には頼らなかったと推測されます。

そのため、詐欺師たちはユーザーに直接リンクを送っていた可能性があります。フォーラムのスレッドへの返信への埋め込み、メールでの送信、あるいは偽広告の掲載なども考えられる手法です。

こうした詐欺を回避するには?

こうした詐欺の被害を避けるためにできることは数多くあります。幸い、NordVPNはBleeping Computerとの対話の中で、これらの攻撃に関して知っておくべきポイントを明確にしています。

• NordVPNアカウントの販売は公式サイトのみ:正規のNordVPNアカウントは、公式サイト https://nordvpn.com/ でのみ販売されています。一部の小売店でも取り扱いがあり、取扱店舗の一覧はNordVPNのウェブサイト(https://nordvpn.com/retail/)で確認できます。
• NordVPNは別のサイトへ誘導しない:詐欺師たちはNordVPNに似せたサイトを使ってユーザーを騙そうとします。NordVPNのページURLの中核部分は必ず https://nordvpn.com/ です。唯一の例外は、公式サイトがブロックされている監視の厳しい国でNordVPNを購入する場合のみです。目にしたサイトが正規のNordVPNサイトかどうか確信が持てない場合は、サポートチームに問い合わせてください。
• NordVPNの担当者がパスワードを尋ねることはない:NordVPNの担当者を名乗ってパスワードを聞き出そうとする人物は、間違いなく詐欺師です。パスワード変更を促す偽メールにも注意してください。パスワードを他人に開示することは絶対に避けるべきです。
• NordVPNは怪しいメールアドレスを使用しない:公式のNordVPNからのメールは「@nordvpn.com」で終わり、場合によっては「@nordvpnmedia.com」または「@nordvpnbusiness.com」となります。「nordvpn@gmail.com」や「nordvpn@nord.com」のようなアドレスからメールが届くことはありません。ただし、ハッカーは正規のメールアドレスを容易に偽装できます。騙されないためには、メール内のリンクが必ず https://nordvpn.com/ で始まる正規のNordVPNサイトへリダイレクトされるかどうかを確認してください。
• NordVPNは電話をかけない:NordVPNの公式な連絡手段は、メール、ウェブサイト上のサポートチャット、公式Twitter(@NordVPN)、そして公式Facebookページ(https://www.facebook.com/NordVPN/)のみです。これら以外の手段での接触は信用しないでください。

偽物を見破るために

十分に注意を払わなければ、偽サイトは驚くほど説得力を持って見えることがあります。しかし幸いなことに、詐欺目的のクローンサイトであることを示唆する手がかりは、たいていの場合どこかに存在します。

あなたは過去に偽サイトや偽リンクに騙されたこと(あるいは危うく騙されかけたこと)はありますか?ぜひコメント欄で体験談を共有してください。