DoorDashは安全？知っておきたい5つの詐欺手口と対策

フードデリバリーサービスへの需要は近年急速に拡大しています。DoorDashのようなアプリは、食事を玄関先まで届けてくれる利便性に加え、豊富な選択肢を提供してくれるため、多くの人々に愛用されています。

しかし、こうしたアプリがユーザーからどれほど多くの機密データを収集しているのかを考えると、果たして安全と言えるのでしょうか？DoorDashの情報漏洩事件は、これらのサービスがどれだけの個人情報を保有しているかを浮き彫りにしました。では、私たちはどんな詐欺に注意すべきなのでしょうか？

DoorDash情報漏洩事件で知っておくべきこと

DoorDashは2019年のブログ記事で、同年5月4日に発生したデータ漏洩についてユーザーに警告しました。この漏洩は、2018年4月5日以前にプラットフォームに登録した約490万人の消費者、配達員（ダッシャー）、加盟店に影響を及ぼしました。

「不正な第三者」によってアクセスされた機密データには、氏名、メールアドレス、配送先住所、注文履歴、電話番号、さらにハッシュ化・ソルト処理されたパスワードが含まれていました。

また、一部の顧客のクレジットカード情報や、一部の加盟店の口座番号に関連する数字も漏洩しました。さらに、約10万人のダッシャーの運転免許証番号も流出したことが明らかになっています。

この漏洩はあなたにどう影響する？

DoorDashは、盗まれたクレジットカードや銀行口座の情報だけでは不正な請求を行うには不十分だと主張していますが、その他の個人識別情報（PII）は流出しています。ハッカーがあなたのアカウント情報を何年も売り捌いている可能性は十分にあります。

漏洩した情報の種類から、あなたはなりすまし犯罪（アイデンティティ窃盗）の被害者になるリスクにさらされています。あなたの情報は詐欺やその他の犯罪に悪用される恐れがあります。また、「クレデンシャルスタッフィング」と呼ばれる攻撃にも注意が必要です。これは、あるサービスから漏洩した認証情報を使って、あなたの他のアカウントへ不正ログインを試みる手法です。

ダークウェブでは、クレジットカード情報付きのDoorDashアカウントが1件あたり4.49ドルで売買されているとの報告もあります。

知っておくべきDoorDash関連の5つの詐欺

素人ハッカーの中には、盗んだアカウントで無料の食事を注文するだけの人もいますが、より悪質なケースでは、これらの情報を標的型フィッシングキャンペーン、ボイッシング（音声フィッシング）、スマッシング（SMSフィッシング）に利用します。こうしたフィッシングキャンペーンは、システムへの侵入や、ランサムウェアによる端末・ネットワークへの感染を目的としています。

以下に、注意すべき5つの詐欺手口を紹介します。

1. スマッシング（SMS）詐欺

DoorDashによれば、漏洩したのは消費者の支払いカードの下4桁、および加盟店とダッシャーの口座番号の下4桁のみです。しかし、電話番号や住所など他の機密データも大量に流出しているため、完全な金融口座情報を引き出そうとする詐欺に警戒が必要です。

フォーラムでは、DoorDashを装ったハッカーからスミッシング（SMS詐欺）のメッセージを受け取ったというユーザーの報告があります。メッセージには「あなたが注文した料理の注文内容」が記載され、アカウント情報を確認するためのリンクが添えられています。

「配達を確定してください」と促されることもあります。アプリで何も注文していなければ、キャンセルするためにリンクをクリックしたくなるでしょう。しかし、そのリンクはファーミングサイト（偽サイト）につながっており、クレジットカード情報を盗み取られてしまいます。

2. メールアンケート詐欺

デリバリーサービスの利用者にとって、次回注文の大幅割引ほど魅力的なものはありません。こうした手口のフィッシングメールには要注意です。

この詐欺では、アンケートに答える代わりに、次回のDoorDash注文に使える割引を提供すると謳われます。UberEatsなど別のデリバリーサービスのオファーが含まれる場合もあります。そして、アカウントへのログインを求められます。

しかし、それは実際にはフードデリバリー企業からのメールではありません。誘導されるサイトは本物そっくりに見えますが、ハッカーが管理する偽サイトです。入力した情報はすべて盗み取られます。

3. 偽配達を利用した詐欺

ここで紹介するのは、さらに陰湿で危険な詐欺です。自宅の玄関先での「偽のDoorDash配達」を利用した手口です。

米オハイオ州のある女性は、不審な集団がDoorDashの配達として自宅を訪れたと報告しています。一人の人物が彼女の注文を持っていると主張しましたが、当の家主はDoorDashで何も購入していませんでした。

本来なら単なる配達員の間違いだったはずですが、問題はその女性「ダッシャー」が一人ではなかったことです。

防犯カメラの映像には、庭に向かう他の男性2人の姿が映っていました。彼らは何かを手に持っていました。家主が「隠れろ、隠れろ」「俺がカバーする」という男たちの会話を聞いたことで、直ちに911番（緊急通報）へ連絡しました。

重要なのは、2019年の漏洩で配送先住所などのPIIが流出している点です。つまり、犯罪者はあなたがDoorDashを利用していること、アカウントに登録されている名前、そしてその人がどこに住んでいるかを知っている可能性があるのです。

4. 配達員を狙った詐欺

ギグエコノミーで正当な収入を得ようとしている人々さえ、詐欺師の標的になっています。多くのダッシャーが、DoorDashの報酬をだまし取られたと報告しています。

詐欺師は発信者番号偽装ツールを使い、自分の電話番号をDoorDashのものに見せかけます。そして「別のデバイスがあなたのアカウントにアクセスしようとしている」と伝え、本人確認のためとしてPINコードとログイン情報を要求します。

数日後、ダッシャーは配達の報酬が支払われていないことに気づきます。ハッカーがDoorDashアカウントの振込先銀行口座情報を変更し、報酬が詐欺師の口座に振り込まれていたのです。

5. 加盟店を狙った詐欺：サイバー万引き（チャージバック詐欺）

チャージバック（支払い取消し）制度は、もともと消費者を保護するために設けられました。特に、クレジットカードの盗難後の不正利用に対して有効で、消費者は銀行に連絡するだけで、争議のあるカード利用分を取り消すことができます。

しかし、この消費者保護の仕組みを悪用する詐欺師が増えています。報告によれば、チャージバックの最大86%が不正なものであるとされています。

ハッカーは、商品を無料で手に入れる目的で購入し、その後にチャージバックを申請します。この詐欺は「サイバー万引き」または「チャージバック詐欺」とも呼ばれ、飲食業界を含む多くの加盟店を悩ませています。

カードの請求取消しがいかに簡単かに気づいて、個人的に無料の食事を得ようとする人もいますが、組織的な小売詐欺グループの一員として行っているケースもある点に注意しましょう。

自分自身を守るために

情報漏洩によって個人情報が流出することで生じるさまざまな問題に加え、DoorDashのようなサービス名を騙る詐欺師にも常に注意が必要です。

自分の情報が漏洩したと思われる場合は、以下の対策を講じましょう。銀行明細に不審な請求がないか定期的に確認する、アカウントで多要素認証（MFA）を有効にする、取引のSMS通知をオンにする、必要と判断すれば信用情報の凍結を検討する——こうした基本的な自衛策が、被害を未然に防ぐ鍵となります。