自分のメールアドレスから届く「ハッキング通知」は詐欺？アダルトサイトをネタにした恐喝メールの手口と見抜き方

ある日突然、自分自身のメールアドレスから「あなたのアカウントがハッキングされた」というメールが届いたら、どうしますか？恐る恐る開いてみると、そこには衝撃的な主張が書かれています。「あなたのパソコンにマルウェアが仕込まれ、あなたが不適切な行為をしている様子を動画に収めた」——そんな内容です。

さらに、暗号通貨（ビットコイン）で大金を送らなければ、その動画をあなたの友人たちに拡散すると脅してくるのです。

こんなメールを受け取れば、誰でも少なからず動揺するものです。しかし実は、これは完全なインチキ。この記事では、こうした詐欺メールの中身を詳しく掘り下げ、なぜデタラメなのかを一つひとつ解説します。詐欺師にお金を渡してしまわないためにも、ぜひ最後まで読んでください。

ハッキングされた？！

筆者のもとにはここ数週間、よく似た詐欺メールが2通届きました。どちらも差出人が自分のメールアドレスになっており、「アダルトサイトを閲覧した際に仕込まれたマルウェアによって、攻撃者がシステムを完全に乗っ取った」と主張しています。

1通目はこちら：

そして2通目はこちら：

注目すべきは、Gmailが1通目を危険なメッセージとして認識し、警告を表示していた点です。これらのメールが受信箱に届いていたのは、@makeuseof.comからのメールをスパムフォルダに振り分けないフィルタを設定していたからにすぎません。とはいえ、良い教材になったので結果オーライと言えます。

「自分のアカウントから送られてきた」ことをもって、攻撃者はアクセス権を持っている証拠だと主張します。さらに、あなたがアダルトコンテンツを利用している動画を手元に持っており、1〜2日以内に数百ドル相当のビットコインを支払わなければ連絡先全員に送ると脅してきます。もちろん、ビットコインを指定するのは追跡が困難だからです。

では、これらのメールから具体的な一文を抜き出しながら、なぜナンセンスなのかを見ていきましょう。

メールの偽装はとても簡単

1通目にはこう書かれていました：

私はあなたのメールアカウントからこのメールを送信した（気づかないなら、差出人のメールIDを確認してみろ）。つまり、私はあなたのメールアカウントに完全にアクセスできるということだ。

2通目はさらに踏み込んできます：

私があなた自身のメールアドレスを使ってこのメッセージを送ったことに気づいたか？つまり、私はあなたのシステムに完全にアクセスできるということだ！

ご存じかもしれませんが、メールの差出人を偽装（スプーフィング）することはごく簡単にできます。第三者があなたの友人にメールを送り、それがあなたのアドレスから来たように見せかけることすら可能なのです。

今回起きたのはまさにこれです。誰もあなたのメールアカウントに侵入してはいません。単に、自分のアカウントから送られたように見せかけただけにすぎません。

さらに言えば、「メールアカウントへのアクセス＝システム全体の制御」という主張自体も嘘です…

彼らはあなたのシステムを掌握していない

どちらのメールも、個人情報とコンピューターシステムへのアクセス権を握っていると主張しています：

マルウェアのおかげで私はあなたのシステムに完全にアクセスし、制御できる。画面上のすべてが見え、カメラやマイクをつけることもでき、お前はそれに気づかない。すべての連絡先にもアクセス済みだ。

このバックドアはお前のデバイスに自己ダウンロードされ、すべてのアカウント、メール、データ、連絡先などへの完全なアクセスを私に提供している。

確かに、Webカメラを密かに監視できるマルウェアは現実に存在します。しかし、そのようなマルウェアはセキュリティソフトに検知される可能性が高いはずです。片方のメールには「私のマルウェアは10分ごとにシグネチャを更新するため、お前のアンチウイルスには何もできない」とまで書かれていましたが、これを信じる理由はまったくありません。

そもそも、ウェブサイト経由で仕込まれたマルウェアが、連絡先や各種アカウント、「その他」（極めて曖昧な表現です）へのアクセスを攻撃者に与えるとは考えにくいものです。シークレットウィンドウを使っていれば、ブラウザにはどのアカウントにもログインしていませんし、連絡先をPCに同期していなければ、その情報を手に入れる術はありません。「データ」という言葉も具体的さに欠けています。

また、小規模な詐欺師が何百人、何千人もの被害者の動画を保管し続けるという話も非現実的です。膨大なストレージ容量が必要になり、手間も桁違いにかかるからです。

破滅へのカウントダウン

両方のメールとも、「決断できる時間は限られている」と告げ、支払いを急かしてきます：

支払い期限は48時間だ。私はすでに君のシステムにアクセスしているので、このメールを読んだこともわかっている。カウントダウンは始まったのだ。

このメールを開いた瞬間、タイマーが作動した。私は今この瞬間から、この特定のビットコインアドレスへの入金を監視している。送金まであと12時間（たったの12時間！）しかないぞ。

メールには開封確認機能は含まれていませんし、仮にシステムへアクセスできたとしても、メールを開いた正確な時刻を突き止めることはほぼ不可能です。この「期限付き」は、焦って早く支払わせるための心理戦にすぎません。

さらに、2通目には興味深いミスがあります。ビットコインウォレットを「あらゆる入金トランザクション」について監視すると書いているのです。「あらゆる」という言葉は、あなたが唯一の被害者であることを示唆しています。もし攻撃者が大勢に感染させながら入金が1件しかなければ、誰が支払ったのかをどうやって判別するのでしょうか？ビットコインは匿名性が高いため、支払いとメールアドレスを結びつける情報は何も存在しないのです。

こんな手間をかけてカスタムマルウェアを作り、たった一人に感染させる詐欺師はいません。

社会的圧力による心理操作

詐欺師は、あなたを追い詰めたつもりでいます。こんな動画を大切な人たちに見られたくないでしょう？

私は君が「ひとりで楽しむ」姿を収めた写真や動画をすべて、君の連絡先全員に送りつけるつもりだ。これが君の社会生活にどんな影響を与えるか、想像してみろ！

彼らは、友人や家族がそんな動画を受け取ったらどう思われるかと心配させ、口止め料を払わせようとしているのです。1通は985ドル、もう1通は670ドル——決して安い金額ではありません。

ところが、こうしたサイトを一度も訪れたことがない人や、Webカメラがない・カバーをしているPCのユーザーにも、このメールは届き得ます。詐欺師は、自分が描き上げた「被害者の像」に当てはまることを願って、恐怖心を煽っているだけなのです。

システムシャットダウンの脅し

2通目は1通目より明らかに攻撃的でした。支払わなければ、マルウェアがシステムを完全にシャットダウンすると警告してきたのです：

さらに、一定期間内にシステムはロックされ、二度と使えなくなる。……期限内に取引が完了しなければ、インターネットを切断しようが、すべてのオンラインパスワードを変更しようが、デバイスはロックされる。

これも当然ナンセンスです。理論上はそのようなマルウェアも存在し得ますが、素人の悪役がそんな複雑なプログラムを開発する時間もスキルもありません。彼らが求めているのは手っ取り早い稼ぎであり、あなたが要求されたビットコインを送れば目的は達成されるのです。

この脅しに必要だったのは、怖い話をでっち上げ、メールを送り、ビットコインウォレットのアドレスを提示することだけ。この詐欺は、それ以上でも以下でもありません。

メール恐喝詐欺を避けるために

お察しのとおり、この記事を執筆している時点で、メールに記されていた「期限」はとっくに過ぎています。何も起こらなかった——つまり、完全なデタラメだった証拠です。

この分析から学べることは多いです。メールは簡単に偽装できるだけでなく、こうした脅しを分解してみると、驚くほど曖昧であることがわかります。不利な情報（動画など）を実際に持っている証拠は一切示されず、極端なマルウェア感染を些細なことのように扱っています。

さらに、メッセージは文法ミスだらけです。これは送信者が校正する気すらなかったこと、つまり信憑性を高める努力を一切していないことの表れです。

もちろん、将来この種の攻撃がより巧妙化して現れる可能性はゼロではありません。メール恐喝詐欺から身を守る方法について、ぜひ追加の情報もチェックしておくことをおすすめします。