見抜ける？主要SNSで多発するフィッシング攻撃の手口と対策

SNS（ソーシャルメディア）フィッシングは、メールの代わりにソーシャルネットワーキングサイトを利用したサイバー攻撃の一種です。攻撃の経路こそ違いますが、目的は同じ——個人情報を盗み出したり、悪意のあるファイルをダウンロードさせたりすることです。

サイバー犯罪者にとってSNSが好まれる理由は、犠牲者に事欠かないこと、そして信頼できる環境ゆえに、後の標的型攻撃（スピアフィッシング）に転用できるプライベートデータが豊富にある点にあります。

ここでは、最も人気のあるプラットフォーム上で、これらの攻撃がどのように仕掛けられているのかを見ていきます。

Facebook

Facebookは、フィッシング攻撃でなりすまされるブランドとして第3位にランクされています。世界で26億人以上のユーザーを抱える同プラットフォームには、プロフィールやメッセージに個人情報があふれており、攻撃者にとって格好の狩場となっているのは必然でしょう。

Facebookへの攻撃は、大企業よりも一般消費者を対象とする傾向があります。攻撃者はソーシャルエンジニアリングを駆使し、無防備なユーザーから情報を引き出そうとします。

典型的な手口は、Facebookを装って「セキュリティ警告」を知らせるメールを送りつけるものです。ユーザーは「Facebookにログインしてパスワードを変更せよ」と指示され、偽のログインページへ誘導され、認証情報を盗まれてしまいます。

友人を巻き込む手口

一度アカウントへのアクセス権を奪われると、攻撃者はあなたの連絡先まで被害の網を広げることができます。さらに、友人があなたと共有している情報を利用し、より精緻なスピアフィッシング攻撃を仕掛けることも可能です。

攻撃者は乗っ取ったアカウントから、悪意のあるリンク付きのメッセージや投稿を行います。連絡先の人々はあなたを信頼しているため、リンクをクリックする可能性が格段に高くなるのです。

アングラーフィッシングとは？

これはSNSを利用するフィッシングの一種ですが、より巧妙な手法が特徴です。サービスや自分のアカウントについて不満をつぶやく（主に愚痴を投稿する）ユーザーを標的にします。攻撃者はサービス提供者になりすまし、「カスタマーサポート担当者に連絡するためのリンク」をユーザーに送ります。

お察しの通り、そのリンクは情報を収集するための偽サイトにつながっています。

Instagram

かつての自撮り写真ギャラリーだったInstagramは、今や世界最大級のブランドやインフルエンサーが利用する、数百万ドル規模のビジネスプラットフォームへと成長しました。

Facebookの場合と同様に、Instagramを狙う攻撃者も「セキュリティ警告」を装ったメールを送信します。例えば、「見覚えのないデバイスからのログイン試行」を知らせるメッセージなどです。メール内のリンクをクリックすると偽サイトに誘導され、ログイン情報を盗まれます。

一旦アクセス権を握られると、攻撃者はさまざまな方法で悪用できる個人情報の宝庫を手にすることになります。特に悪質なのが恐喝で、非公開で共有した写真やInstagramダイレクトメッセージ（IGDM）でやり取りした画像を漏洩すると脅し、要求に応じるよう強要する手口です。

著作権侵害詐欺とは？

ビジネスアカウント、特に認証済みアカウントを手に入れた攻撃者は、IGDMを通じてさらに陰湿なフィッシングキャンペーンを展開できます。

実際に2020年6月、ある大手企業のチリ支店の認証済みアカウントが、フィッシングメッセージを送信しているとユーザーから報告されました。

そのメッセージは、投稿における著作権侵害を警告する内容でした。続きにはこう書かれていました。「著作権侵害は間違いだとお考えでしたら、フィードバックをご提供ください。さもなければ、24時間以内にアカウントが閉鎖されます。」もちろん、フィードバック用のリンクはログイン情報を収集する偽のInstagramページでした。

青いバッジ詐欺とは？

憧れの青いチェックマーク（認証バッジ）ほど「本物感」を感じさせるものはありません。攻撃者はこれも悪用します。

あるInstagramフィッシング詐欺では、ユーザーに認証バッジの取得を提案するメールが送られます。「アカウントを認証」ボタンをクリックすると、個人情報を収集するフィッシングページへ誘導される仕組みです。この種の攻撃では、インフルエンサーや「Insta有名人」と呼ばれるユーザーが主な標的となります。

こうした詐欺師に引っかからないために、Instagramで正規に認証を取得する方法を解説したガイドもぜひ参考にしてください。

LinkedIn

7億人以上のビジネスパーソンが利用する、世界のビジネスコミュニティの中核プラットフォームであるLinkedInも、攻撃者の格好のターゲットです。

デジタルトラストに関する調査レポートによれば、LinkedInは他のどのSNSよりも信頼されているとのことです。また、ユーザーは職務に関する詳細情報を投稿しがちなため、スピアフィッシングやホエーリング攻撃（幹部クラスを狙う攻撃）の絶好の標的となっています。

偽リクルーターの詐欺手口

最も残酷なSNSフィッシングキャンペーンの一つが、LinkedInで求職者を狙う攻撃です。サイバー犯罪者は採用担当者になりすまし、LinkedInメッセージング経由で架空の求人について連絡してきます。

「あなたの経歴はまさに弊社が探していた人物にぴったりだ」と持ちかけ、さらに魅力的な報酬条件を提示して、あなたを釣り上げようとします。

求人の詳細が記載されたリンクが送られてくるか、Microsoft WordやAdobe PDFの添付ファイルのダウンロードを促されます。

特に就職活動中の人にとっては魅力的に響くでしょう。しかし、リンクは偽のランディングページにつながっており、Wordファイルにはマルウェアを起動するマクロが仕込まれています。後者の場合、データを盗まれたり、システムにバックドアを開けられたりする危険性があります。

偽のコンタクトリクエストを受け取ったことは？

最も一般的な偽コンタクトリクエストには2種類あります。1つ目は、コンタクトリクエストを知らせるメールが届くケースです。このメールには偽のLinkedInログインページへのリンクが含まれています。

2つ目はより巧妙で、LinkedIn内で偽アカウントを作成し、そこから接続リクエストを送る手口です。招待を承認すると、攻撃者はあなたのプロフィールのより多くの情報にアクセスでき、あなたのすべてのコネクション（繋がり）に一歩近づくことになります。

その後、フィッシングメッセージを送りつけたり、あなたの情報を使って連絡先により的確な攻撃を仕掛けたりできます。あなたの「1次のつながり」になることで、彼らのプロフィールはより本物らしく見え、信頼性も高まるのです。

SNSフィッシングから身を守る方法

これらの攻撃から身を守るためには、まずメールやDM内のリンクを不用意にクリックしないことが重要です。必ず送信元を確認しましょう。たとえ信頼できる相手からのメッセージに見えても、そのアカウントが乗っ取られている可能性があります。

特にダウンロードを求める添付ファイルが含まれている場合は、まず本人に電話などで直接確認することが大切です。

訪問するウェブサイトのURLは常にチェックしてください。ハッカーは、有名サイトのURLの文字を1つ以上変更したり、似た形の記号や文字に置き換えたりして、偽のURLを作成します。リンクにカーソルを合わせると、ブラウザ下部に完全なURLが表示されるので、それをよく確認しましょう。

また、SNSやその他の組織からの公式な連絡が、@gmailや@yahooといったフリーメールアドレスから送られることは決してありません。

その他の注意すべき兆候としては、誤字脱字や文法ミス、急いで行動するよう促すメッセージなどが挙げられます。後者は恐怖や焦りを煽り、冷静に考える時間を与えないように設計されています。

あなたの大切な人も危険にさらされる

SNSフィッシング攻撃の被害に遭うと、ハッカーがあなたのアカウントを踏み台にして友人や家族へ攻撃を広げる可能性があるため、被害はあなた自身にとどまりません。

幸いなことに、少しの注意と常識があれば、自分自身と大切な人たちを守る十分な防御になります。