クリスマスシーズンに要注意!知っておきたい3つのFacebook詐欺の手口

クリスマスの季節、楽しく穏やかに過ごしたいものですよね。ところが、Facebookはその楽しみを脅かす深刻な脅威となり得ます。

「SNSに時間を取られてしまう」「他の人の華やかな生活を見せつけられて落ち込む」といった話ではありません。本当に警戒すべきは、サイバー犯罪者がFacebookを悪用してあなたを騙そうとしているという事実です。しかも、そのうちの2つの手口では、被害者が気づかないうちに犯罪に加担させられてしまうのです。

1. 「シークレットシスター(Secret Sister)」詐欺

最新のクリスマスの流行のように見えて、その正体はクリスマス詐欺です。

「シークレットシスター」は、定番の「シークレットサンタ」が起源と考えられています。10ドル分のプレゼントを1つ贈ると、6〜36個のプレゼントが返ってくる——こんな話、どこかおかしいと思いませんか?

実は、かなり怪しいのです。「うますぎる話は、たいてい嘘である」という昔からの鉄則が、ここでも見事に当てはまります。投稿の文面はさまざまですが、大抵は「あらゆる年齢の女性なら誰でも」10ドル以上を贈れば、「シークレットシスター休日前ギフト交換」の一環として、少なくとも6倍のプレゼントを受け取れると謳っています。クリスマスは準備に追われてストレスが溜まる時期。ランダムなプレゼントの詰め合わせがもらえるなら悪くないアイデアに思えるかもしれません。

しかし現実には、確かに10ドルは支払えます……が、何も返ってきません。この手口に聞き覚えがあるのは当然です。昨年も同じような詐欺がFacebookを席巻しましたし、それ以前からネズミ講は何十年もの間、人々を騙し続けてきたのです。

銀行口座へのダメージだけでなく、この悪質ないたずらは深刻な結果を招く可能性があります。地域によっては、法的に違法行為にあたるためです。米テネシー州クックビル警察署の担当者は次のように説明しています。

このギフト交換は、チェーンレター(不幸の手紙)スキームの現代版であり、違法です。チェーンレターは本質的にギャンブルの一種であり、郵便で送付することは合衆国法典第18編第1302条(郵政くじ法)に違反します。

アメリカで発生したこの手口は、瞬く間に世界中へ拡散しました。WhatsAppなど、他のSNS上で亜種が見つかっても決して不思議ではありません。

どう対処すればいい?

Facebook自体がこの詐欺を認知しています。ニュースフィードで見かけたら、報告しましょう。投稿の右上にある下向き矢印をクリックし、「投稿を報告」を選択。あとは理由を選んで、画面の指示に従うだけです。

そしてもうひとつのアドバイスは、ごく当たり前のこと——絶対にお金を送らないことです。

2. 悪意のあるMessenger拡張機能

友人や家族から送られてきたリンクや添付ファイルは、無条件に信用しがちなもの。しかし最近の詐欺は、まさにこの過度な安心感につけ込みます。

この手口では、乗っ取られたアカウントから、SVG(Scalable Vector Graphics)形式で保存された「写真」が送られてきます。SVGは1999年から開発されているXMLベースの画像・アニメーション形式で、主要なブラウザすべてが対応しています。プレビューが表示されないその画像をクリックすると、偽のYouTubeページへリダイレクトされ、「動画を見るにはGoogle Chrome用の拡張機能が必要です」と告げられます。

その拡張機能をダウンロードしてしまうと、裏で静かに動き出し、あらゆるデータを収集し始めます。収集対象は、ユーザー名、パスワード、オンラインバンキングの情報、メール、よく訪問するウェブサイトなど、個人を特定できる情報(PII)全般。さらに、PayPalやAmazonなど、支払い情報を扱うサービスの偽ページを作り出すことさえあります。

おまけに、あなたのFacebookアカウントを踏み台にして、連絡先全員へSVGファイルを送信します。言うまでもなく、ネットワーク全体に爆発的な速さで広まるわけです。すでにこの詐欺を目にしたことがあっても、何ら不思議ではありません。

Facebookはこの問題に対処し、SVGファイルをフィルタリングするようになりました。また、悪意のある拡張機能はGoogleストアから削除済みです。理論上は、問題は解決したはずでした。

ところが、実態はランサムウェアだった!

実はこれは、今年初めにインターネットを大混乱に陥れた「Locky」ランサムウェアの変種だったのです。Lockyは典型的なランサムウェアで、コンピュータをロックし(名前の由来です)、すべてのファイルを暗号化したうえで、ビットコインによる身代金の支払いを要求します。無料の復号ツールが存在しないため、被害者は文字どおり「身代金を要求される」状態に陥ります。もうひとつの選択肢は、ハードディスクを完全に消去して、全ファイルを諦めることだけです。

つまりLockyは、簡単には打ち倒せないマルウェアなのです。2016年の5月と6月に初めて姿を現し、その後、Nemucodと呼ばれるマルウェアダウンロード型ウイルス経由で、SVG画像に偽装して再び現れました。そして今月、ふたたび発見されたばかりです。「FacebookやGoogleの対策を、サイバー犯罪者が突破できないだろう」と考えるのは、あまりに楽観的すぎます。

どう対処すればいい?

まず第一に、SVGファイルをクリックしないことです。幸い、この詐欺には目立つ特徴がありました。本文テキストが一切添えられていないのです。個人的なメッセージも、雑談も何もなし。これは「何かがおかしい」と気づくべき明確なサインです。送り主のはずの人に直接連絡を取り、アカウントが感染している可能性があることを伝えましょう。

既に被害に遭った可能性があれば、Chromeの「メニュー > その他のツール > 拡張機能」を開き、不正な拡張機能を見つけて「Chromeから削除」を選択すれば、アンインストールできます。

被害はFacebookにとどまりません。LinkedInでも、マルウェアに感染した画像の報告が相次いでいます。直感を信じましょう。何か引っかかるものがあれば、クリックしないことです。

3. 「ブレッシングルーム(Blessing Loom)」詐欺

詐欺の進化形として、もうひとつ紹介したい手口があります。

メッセンジャーアプリへの招待が届きます。Facebook Messengerの場合もありますが、多くはWhatsAppです。そこで提示されるのが「機織り機(loom)」を模した図。中央に1人の名前があり、そこから枝分かれするように複数の名前が並んでいます。最初の人が2人を勧誘し、その2人がそれぞれさらに2人を勧誘する——これが際限なく続いていく仕組みです。

ルーム内の「枠」を確保するには、通常100ドルが必要です。このお金はPayPalアカウントに支払われ、図の中央にいる人物の懐に入ります。自分が2人を勧誘できれば800ドルが手に入る——素晴らしい話に聞こえますね。全員の枠が埋まると、一段階上のレベルに進めるそうです。

しかし現実には、1セントも受け取れません。ルームによって金額設定は異なり、25ドル、50ドル、100ドルを失う可能性があります。いわゆる「報酬」は、一般的に投入額の8倍とされています。当時のミシガン州司法長官ビル・シュエット氏は、次のように指摘しています。

1人が2人を勧誘し、その各自がさらに2人を勧誘する……という仕組みのプログラムでは、わずか28段階で、事実上アメリカの全人口——男性も女性も子供も含めて——が巻き込まれる計算になります。

実際、28段階目に到達するには268,435,455人の参加者が必要になるのだそうです。

「シークレットシスター詐欺と似ている」と感じたなら、その直感は正しい。どちらもネズミ講の最新版であり、最終的には必ず破綻する持続不可能なビジネスモデルです。居住地によっては、刑事罰の対象にもなり得ます。

どう対処すればいい?

答えはシンプルです。こうしたスキームに参加しないこと。参加すれば、必ず損をします。FacebookとPayPalはどちらもネズミ講を禁止するポリシーを掲げていますので、該当する投稿を見つけたら報告しましょう。とはいえ、Facebookで「Blessing Loom」を検索すると、あまりに多くの投稿がヒットしてしまうのが実情です。

別のメッセンジャーへ招待されたら、きっぱり断りましょう。そして忘れずに友人たちにも警告を。こうした詐欺に打ち勝つ唯一の方法は、正しい情報を広めることなのです。

ほかに気づいた詐欺はありますか?

どんなに魅力的に見える投稿でも、決して騙されないでください。

これらは、長い長いFacebook詐欺の歴史の中の、ほんの最新例にすぎません。手口は常に進化しています。だからこそ、「会話を別のプラットフォームに移さない」「絶対にお金を送らない」といった基本的なセキュリティ対策を徹底することが大切です。信頼できない相手からは、何もダウンロードせず、リンクもクリックしないこと。そして、たとえ信頼できる相手であっても、常に少し疑ってかかるくらいがちょうどいいのです。

今年のクリスマスは、ぜひ冷静な頭を保ってお過ごしください。

あなたはFacebookで詐欺に遭遇したことはありますか? ぜひ、あなたの体験谈や対策のアドバイスも聞かせてください。