【要注意】求人詐欺に偽Googleフォームが悪用される――自分を守るための具体策

競争の激しい現代の就職市場では、あらゆるチャンスが貴重に感じられるものです。そして詐欺師たちは、まさにその心理を巧みについてきます。セキュリティ企業Malwarebytesは最近、求人への招待メッセージとともに、ユーザーのアカウント認証情報を盗むことを目的とした偽Googleフォームへのリンクを送りつけるフィッシングキャンペーンを確認しました。本記事では、この手口の詳細と、身を守るための具体的な対策を解説します。

偽Googleフォームを使った求人詐欺の手口

求人詐欺は決して新しい手口ではありません。WhatsAppで怪しい求人広告が届いた経験がある方も多いでしょう。こうしたメッセージは、開かずにブロックして削除するのが鉄則です。

しかし、一見するとリクルーター本人からのメールやLinkedInメッセージで、しかもGoogleフォームへのリンクが含まれている場合はどうでしょうか。多くの人はこれを信頼できるものと感じてしまうはずです。残念ながら、場合によっては、これはアカウント認証情報を盗み出すための計画的な攻撃の一環なのです。

Malwarebytesが最近発見した詐欺では、被害者は一見本物らしく見える次のURLへ誘導されます。
https://forms.google.ss-o[.]com/forms/d/e/{unique_id}/viewform?form=opportunitysec&promo=
URL内の「ss-o」という部分は「シングルサインオン(SSO)」を連想させます。SSOとは、一組の認証情報で複数のアプリやウェブサイトに安全にログインできる認証方式であり、この細部は信頼性を高めるためにわざわざ仕込まれたものです。

リンクにアクセスすると、ロゴや馴染みのあるカラースキーム、「送信」ボタンなど、本物そっくりの要素を備えた、極めて説得力の高いGoogleフォームの再現ページが表示されます。

偽の求人関連の質問にアクセスする前に、このフォームはユーザーに対してGoogleアカウントでのサインインを求めます。指示に従うと、ユーザーはid-v4.comドメイン(現在はすでに停止済み)へリダイレクトされます。このドメインは、過去1年間で複数のフィッシングキャンペーンに関連付けられてきたことが知られています。

Googleフォーム詐欺に引っかからないために

Googleフォームを悪用した詐欺は増加傾向にあり、今こそ意識を高めることが重要です。セキュリティ企業Kasperskyによると、2024年にはこの種の詐欺が63%増加しました。以下の予防策をぜひ心に留めておいてください。

• しつこい求人のオファーには慎重に対応する:正当な案件が存在しないわけではありません。実際、多くのリクルーターがLinkedInで人材を探し、実在のポジションについて直接連絡してくることもあります。しかし、相手が共有してくる情報の検証は不可欠です。例えば、連絡してきた会社の正当性を必ず確認しましょう(LinkedInなら簡単に調べられます)。評価の高い組織であれば公式サイトを持ち、多くの場合、採用情報の専用ページで空きポジションが公開されています。オファーされた役職が、そこに掲載されている内容と一致するかどうかを確認してください。
• リンクのクリックを強要されたり、質問に答えてもらえない場合は警戒する:金銭の要求や、報酬・賞品(無料の暗号資産など)の約束は明確な危険信号です。そのようなメッセージはすぐに削除し、送信者をブロックしましょう。
• パスワードマネージャーの活用を検討する:パスワードマネージャーは強力な防御策として機能します。サイトが正規のものでなければ、ログイン情報は自動入力されません。ブラウザ内蔵型とサードパーティ製パスワードマネージャーの違いや選び方を学んでおきましょう。
• ChatGPTとMalwarebytesの連携機能を利用する:現在、ChatGPTはMalwarebytesと統合されており、受け取ったメールやメッセージが悪意のあるものである可能性を簡単にチェックできます。
• リンクをクリックする前にURLを慎重に確認する:リンクが正当なものと思われる場合でも、クリック前にカーソルを合わせ、URLにスペルミスや不自然な点がないかをよく確認しましょう。ただし、近年の詐欺は検出がますます困難になっているため、この確認だけでは十分ではない場合もある点に留意してください。
• アンチマルウェアツールを導入する:Malwarebytesなどのアンチマルウェアツールをインストールし、リアルタイム保護を受けられる環境を整えましょう。
• 二要素認証(2FA)でアカウントを保護する:最後に、万が一詐欺の被害に遭ってしまった場合でも、詐欺師が実際にアカウントへ侵入するリスクを大幅に減らせるよう、オンラインアカウントには必ず二要素認証を設定しておきましょう。

さらに、LinkedInを頻繁に利用している方は、アプリ内で遭遇する可能性のあるその他のLinkedIn詐欺の手口を詳しく解説した記事も併せてご覧になることをおすすめします。