「あなたは恥を知るべきだ」——恐喝フィッシング詐欺の手口と身の守り方

オンラインの世界では、誰もが詐欺師の標的になり得る——そんな感覚に陥ることがあります。スパムフォルダを少し覗いてみれば、毎日大量の詐欺メールが届いているのがわかるでしょう。

無料のビットコインを提供すると謳うもの、異国のパートナーとの出会いを持ちかけるもの、偽の税務請求、偽PayPal詐欺……挙げればきりがありません。さらに、ランサムウェアを添付し、身代金が支払われるまでPC内のデータをロックする手口まで存在します。

2017年後半以降、「恐喝フィッシング(extortion phishing)」と呼ばれる新しい詐欺が世界中のメールボックスに届き始めました。件名は「You Should Be Ashamed Of Yourself(あなたは恥を知るべきだ)」であることが多く、受信者に恥や恐怖を感じさせて金銭を支払わせようとする手口です。支払いはビットコインで求められるため、追跡はほぼ不可能です。

恐喝フィッシングの背後にある仕組み

「フィッシング」とは、詐欺師が偽装や欺瞞によって個人情報を引き出す手法のことです。Microsoftはフィッシングを次のように定義しています。

「オンラインでの個人情報盗難の一種。クレジットカード番号、パスワード、アカウントデータなどの個人データや情報を盗み出すことを目的として設計された、電子メールや不正なウェブサイトを使用する。」

フィッシングをブロックする方法はいくつかありますが、結局のところ、フィッシングメールやメッセージを見分ける力を身につけることが何より重要です。

しかし、状況は変化し続けています。長年にわたり、フィッシングは新たなプラットフォームや攻撃手段へと進化してきました。ソーシャルネットワークやメッセージングアプリも標的となり、詐欺師は銀行、警察、さらには医療機関になりすまそうとしてきます。

そして今、詐欺師たちは「あなたを見張っている」「あなたが一人で何をしているか知っている」と装うようになったのです。

「あなたは恥を知るべきだ」の手口

やり方は非常に単純です。詐欺師は保有するアドレスリストに一斉にメールを送り、「あなたがアダルトサイトを閲覧した(そして楽しんだ)様子を録画した映像を入手した」と告げます。これは「ポルノサイトに仕掛けられた悪意あるプログラム」によるものだとされ、アダルトサイトからのデータ漏洩への不安を巧みにつく構成です。

狙いは明白です。口止め料を支払わせること。さもなければ、その映像をあなたのSNSの知人たちに拡散するという脅しです。確かに身代金は安めの設定(ビットコインで290ドル)ですが、メッセージを受信してから24時間以内の支払いを要求されます。

これは、警戒心のないユーザーを容易に陥れかねない、典型的に陰湿な詐欺と言えるでしょう。

なぜ偽物だとわかるのか?

実は、このメールには複数の矛盾点があります。まず件名ですが、サポートチケットのような不自然な形式になっています。

• ?i??et#186980138: <メールアドレス> 29/01/2018 07:09:48 You were not clever

このメール詐欺には複数のバリエーションが確認されており、他にも以下のような件名が使われています。

• 件名:YOU SHOULD BE ASHAMED OF YOURSELF
• 件名:YOUR PRIVACY HAS BEEN COMPROMISED

Webカメラを遠隔から覗き見ることは技術的には可能です(ライトが点灯しないケースも含む)。しかしこのメールを受け取った人の中には、アダルトサイトを利用したことのない人もいます。また、利用経験があっても、その活動とメールアカウントを紐づけていないユーザーにも届いています。

さらに、Kodiボックスなど別の方法で同種のコンテンツを楽しんでいる受信者もいました。

加えて、詐欺師がリモートデスクトップ(RDP)やキーロガーを仕掛けても、セキュリティソフトに検知されずに済む可能性は低いでしょう。そもそも、世界中のデバイスのWebカメラから送られてくる膨大な動画を保存しておくストレージ容量など、まず持ち合わせていないはずです。

おそらく最も明白なのは、この脅し文句です。「私はあなたが私のメッセージを開いてから、正確に24時間を与えます。そのうちに取引を完了してください。」

開封通知(既読機能)はないため、相手にいつメールが開かれたのかを知る術がありません。つまり、この脅しには何の根拠もないのです。

これは詐欺です!すでに受け取ったことがあるかもしれませんし、文章の異なるバージョンが届いたのかもしれません。削除して、忘れてしまいましょう。友人や家族にも伝えてください。この手口は文字通り誰にでも届き得ます。

詳しく知りたい方は、この詐欺の背景を掘り下げ、犯人の特定を試みた専門ブログの調査記事も参考になります。

恐喝フィッシングを防ぐためにできること

対策はいくつかあります。第一に、Webカメラ搭載デバイスでアダルトコンテンツを閲覧しないこと。これは比較的簡単ですね。それが難しい場合は、Webカメラカバーの使用を検討しましょう。超薄型の金属製磁気スライド式カバー(MacBook Pro、スマートフォン、タブレット対応の3個セットなど)は数百円程度と安価で、Amazonなどで手に入ります。

マイクを無効化することも、追加の安全策として有効です。そして当然ながら、信頼できる評判の良いオンラインセキュリティスイートを導入しましょう。メール連携機能でスパム・詐欺メールをブロックし、スキャン機能でカメラへアクセスするマルウェアを検出できます。

フィッシングや詐欺の見分け方については、関連する解説記事もぜひ参照してください。

この詐欺は現実味を帯びる可能性はあるか?

幸い、この詐欺は現時点では実行不可能です。しかし、私たちがPCをどう使っているか、オンライン監視、どんなデータが保存されているのかといった不安や疑心暗鬼に、うまく訴えかけてくる点は見逃せません。

残念ながら、あり得ない話とも言い切れません。過去にはアダルトサイトがマルウェアの被害を受けた事例があります。スマートフォン、タブレット、ノートPCのカメラが治安当局によって遠隔操作で起動できることは広く知られていますし、サイバー犯罪者がNSA(米国家安全保障局)などの技術を流用して被害者を騙した例もあります。

つまり、この詐欺が「現実のもの」になる可能性はゼロではありません。ハッカーが本当にアダルト配信サイトにマルウェアをアップロードし、サイトへのログイン情報からあなたを特定して標的にすることは理論上可能です。録画しなくても脅迫は成立しますが、望むのであれば、十分なストレージ容量さえあれば録画することもできるでしょう。そこまで踏み込んだなら、SNS上であなたの友人や家族を特定することも、さほど難しくはありません。

ただし、これらすべてには通常の詐欺よりもはるかに多くの時間、労力、資金が必要です。少なくとも現時点では。

詐欺に引っかかるな!

恐喝フィッシングは性質の悪い手口です。罪悪感や恥ずかしさに苛まれながら、冷静な判断を下そうとするのは至難の業です。この混乱こそが詐欺師の思う壺であり、結果としてあなたの財布は軽くなってしまうのです。

「あなたは恥を知るべきだ」フィッシング詐欺を回避し、身を守るために、以下のステップを実践しましょう。

• アダルトコンテンツの閲覧を控える、減らす、または方法を見直す
• スマートフォン、タブレット、ノートPCにWebカメラカバーを取り付ける
• 使用していないときはPCのマイクを無効化する
• 信頼できる評判の良いアンチウイルススイートを導入する

先手を打っておけば、詐欺に遭うことはありません。サイバー保険すら必要なくなるでしょう。

友人や家族が心配でしたら、この記事をシェアしてください!また、こうしたサイバー犯罪の詐欺に騙された経験があれば、ぜひお聞かせください。