本物そっくりのGoogleログインページを使った新種のフィッシング詐欺に注意

Googleドキュメントへのリンクが届き、クリックしてGoogleアカウントにサインインする――一見、ごく普通の操作に思えますよね?

しかし、それこそが罠でした。極めて巧妙なフィッシング詐欺の手口が、オンラインセキュリティの重要性を改めて世界に突きつけています。

フィッシング詐欺とは? 今回の手口が特別だった理由

フィッシング詐欺とは、偽のログインページなどを利用して、ユーザー自身にIDとパスワードを入力させる手口のことです。こうした偽ページは通常、ネットに慣れたユーザーなら見抜くことができます。しかし、今回の事例が注目を集めたのは、ログインページの完成度が異常に高かった点にあります。ほとんどの人が騙されてもおかしくないレベルで、しかもURLには本物の「google.com」ドメインが使われていたのです。

詐欺の具体的な流れ

手口は以下の通りです。まず、被害者のもとに件名が「Documents(書類)」というメールが届きます。メール本文にはGoogleドキュメントへのリンクらしきものが記載されており、実際に「google.com」ドメインにつながるため、クリックすると本物さながらのGoogleログイン画面が表示されます。

Googleドキュメントを閲覧する前にサインインを求められるのは決して珍しいことではないため、多くの利用者が疑いもなくパスワードを入力してしまいました。入力後は本物のGoogleドキュメントへリダイレクトされ、違和感なく閲覧できたはずです。しかし、入力されたIDとパスワードがGoogleに送られることはありません。犯罪者が裏でそれらを記録していたのです。

今すぐできる対策

Googleによれば、該当する偽ページはすでにすべて削除されているとのことですが、引き続き警戒は欠かせません。送信元が確実にわからない場合は、Googleドキュメントへのリンクをクリックしないことが鉄則です。どうしても開く必要があるときは、リンクをクリックする前に、あらかじめGoogleドキュメントへログインしておきましょう。そうすれば、偽のログイン画面を経由する必要がなくなります。

ただし、これはあくまで今回の一件に対する防御策にすぎません。ここからが本当に恐ろしいところです。サイバー攻撃の高度化により、セキュリティ対策のアドバイス自体がますます難しくなりつつあります。当サイトでも以前、フィッシング詐欺を避けるための4つの方法を紹介しましたが、今回のケースでは、そのどれひとつとして役に立たなかった可能性があります。

万が一被害に遭ったら

Googleは、被害に遭った疑いがある場合は直ちにパスワードを変更するよう呼びかけています。あわせて、二要素認証(2FA)によるアカウント保護を有効にすることを強くおすすめします。二要素認証を設定しておけば、仮にパスワードが盗まれても、犯罪者はあなたのスマートフォンや認証コードなしにはアカウントへアクセスできません。

出典:Symantec.com