【要注意】Craigslistのメール復旧コード詐欺の手口と対策を徹底解説

Craigslistは地域での中古品売買に人気のプラットフォームですが、同時に多くの詐欺が蔓延している場所でもあります。Craigslistは本人確認などの仕組みがないオープンなプラットフォームであるため、悪意のあるユーザーが他の人を騙すために利用するケースが後を絶ちません。

その中でも特に危険なのが、攻撃者があなたのGmail（またはその他のメール）アカウントへの不正アクセスを試みる詐欺です。この記事では、この詐欺の手口、見分け方、そして安全対策について詳しく解説します。

Craigslistのメールアドレス保護の仕組み

デフォルトでは、Craigslistはメールアドレスを匿名化して、サービス上でやり取りする双方を保護しています。出品ページの「返信」ボタンをクリックすると、次のようなアドレスが表示されます。

rcc9la26d7534400a6a03514c34f9200@sale.craigslist.org

このアドレスにメッセージを送ると、出品者の実際のメール受信箱に届きます。出品者も返信時には同様の匿名アドレスを使用します。つまり、お互いの実際のメールアドレスを公開することなくやり取りできる仕組みです。

しかし、この仕組みではメール本文の内容までは守れません。特に注意したいのが「署名」です。多くの人はメールの署名にメールアドレス、SNSリンク、電話番号などの個人情報を記載しています。その結果、Craigslistの出品に返信する際、意図せず相手に余計な情報を渡してしまう可能性があるのです。

誠実な相手なら問題ありませんが、あなたを騙そうとする人にとっては、アカウントへの攻撃材料になってしまうのです。

詐欺師がメールアカウントへの侵入を試みる手口

メールアドレス、電話番号、そして場合によっては名前（メールクライアントから取得可能）がわかれば、詐欺師はパスワードリセットを試みるのに十分な情報を得たことになります。署名からメールアドレスを知られれば、メールプロバイダーのアカウント復旧ページでそれを悪用される恐れがあります。

ここではメールアカウントを例に挙げていますが、同様の攻撃はSNSアカウントや、署名に含まれるその他のアカウントに対しても行われる可能性があります。

パスワードを持っていない詐欺師は、リセットを試みます。アカウントに設定されているセキュリティオプションや復旧方法によっては、署名に記載されていた電話番号に復旧コードを送信する、あるいは予備のメールアドレスに送るといった手段を選びます。

詐欺師の所在地によっては、このメッセージが外国語で届くこともあります。これは詐欺の典型的な兆候です。

そして、ここが詐欺の核心部分です。あなたが出品されている商品に興味を示した後、相手は「Craigslistには詐欺師が多いので、本物の人間と取引しているか確認したい」と述べて連絡してきます。

あなたが本物であることを証明するために、「先方から送られた」コードを教えてほしいと求めてくるのです。これに応じてしまうと、詐欺に引っかかったことになります。このコードを使って、詐欺師はあなたのメールパスワードを好きなものに変更し、あなたをアカウントから締め出すことができてしまうのです。

もし詐欺に引っかかってしまったら

この手口に引っかかった場合は、Googleサポート（または使用しているメールプロバイダーのサポート）に連絡し、アカウントの復旧を試みる必要があります。しかし、その間にも詐欺師はメールアカウント内で大きな被害をもたらす可能性があります。例えば、他のアカウントのパスワードをリセットしたり、友人に偽の送金依頼を送ったりすることなどです。

このような被害に遭った場合は、周囲の人にも知らせ、すぐにアカウントサポートに連絡しましょう。ハッキングされたGmailアカウントの復旧に関するガイドも参考になります。

Craigslistのメール詐欺から身を守る方法

上記のシナリオを踏まえ、このような手口から自分を守るための具体的な対策をいくつか紹介します。

1. 出品内容を必ず精査する

まず、Craigslistの出品に返信する前に必ず内容を確認してください。文法の乱れや曖昧な表現など、不審な兆候がないかチェックしましょう。また、逆画像検索を行い、その画像がインターネット上の別の場所から流用されたものでないか確認するのも有効です。正当な出品者が他人の写真を使うことはありません。

ただし、今回のケースでは、出品されていた画像は逆画像検索では見つかりませんでした。詐欺師が正規のCraigslistアカウントに侵入して出品を乗っ取ったか、別の投稿から内容をコピーした可能性があります。

2. メール署名の個人情報を削除する

次に、メールの署名から個人情報を削除しましょう。さらに安全を期すなら、Craigslist専用のメールアドレスを作成するのもおすすめです。そうすれば、仮に誰かに侵入を試みられても、普段使いのメールアカウントには影響しません。

3. 復旧コードは絶対に教えない

自動生成された復旧コードを要求してきた人に、決してコードを伝えてはいけません。このようなコードを求めてくる人は、あなたのアカウントへのアクセスを奪おうとしていると考えるべきです。

自分が明示的に要求していない復旧コードを受け取った場合、誰かがあなたのアカウントに侵入しようとしている可能性が高いです（このケースのように積極的に連絡してこない場合でも同様です）。直ちにそのアカウントのパスワードを変更し、以降の警告にも注意を払いましょう。

4. 復旧オプションと二要素認証を整える

重要なアカウントについては、復旧オプションを常に最新の状態にしておくことも大切です。万が一アクセスを失った場合でも、信頼できる追加のメールアドレスや電話番号が登録されていれば、復旧の選択肢が広がります。

最後に、すべてのアカウントで二要素認証（2FA）を有効にしましょう。これにより、不正なユーザーがパスワードをリセットすることが格段に難しくなります。2FAを設定する際は、SMSやメールでのコード受信よりも、認証アプリのような方式を選ぶのがおすすめです。認証アプリの方が乗っ取りやソーシャルエンジニアリングに対して強いためです。

まとめ：Craigslistの詐欺を避け、メールアカウントを守ろう

今回は、注意すべきCraigslistのメール詐欺の一種を詳しく見てきました。攻撃者に自分自身の情報を与えすぎること、そして重要な復旧コードを渡してしまうことが、メールアカウントを乗っ取られる最大の原因となります。Craigslistの出品とのやり取りでは常に注意を払い、復旧コードのような機密性の高いアカウント情報を求める人には絶対に応じないようにしましょう。

残念ながら、注意すべきオンライン詐欺はこれだけではありません。日頃からセキュリティ意識を高く持ち、不審なやり取りには慎重に対応することが大切です。