Instagramアカウントを盗むために詐欺師が私になりすまして使った手口

誰かがネット上で私になりすましています。相手は私の名前、私が書いた記事、そして偽のメールアドレスを使い、Instagramアカウントをハッキングしようとしているのです。この1か月の間に、なりすまし犯に騙されそうになった人々から2通のメールを受け取りました。

ここでは、何が起きていたのか、そしてそこから何を学べるのかを詳しく解説します。

経緯：すべての始まり

昨年、私は「今すぐフォローすべき11の面白いInstagramアカウント」という記事を書きました。特別なものではなく、私が楽しんでいて、他の人も気に入るだろうと思った11のアカウントを紹介したリスト記事です。編集者に原稿を送り、それ以上深く考えることもありませんでした。毎日繰り返している日常業務の一つだからです。記事は公開され、好評を博しました。これで終わりのはずでした。

ところが今年9月末、フォロワー数22万3,000人を抱えるラグジュアリーライフスタイル系Instagramアカウント「The Exquisite Lifestyle」の運営者からメールが届きました。彼らは「私を名乗る人物」からメールを受信したというのです。内容は以下の通りでした。

彼らはそれが詐欺であると確信しており、親切にも異変を知らせてくれたのです。

MakeUseOfのチーム内で協議しましたが、私たちにできることはほとんどないという結論に達しました。そもそも詐欺師が何を目的としているのかが不明でした。ライターである私が、他人のInstagramアカウントへアクセスできるはずがありません。当社のセキュリティ専門家の一人であるBruce EpperがGoogleに連絡し、該当メールアドレスの停止を求めましたが、成果は得られませんでした。私はこの件を頭の片隅に置き、普段の生活に戻ったのです。

2通目のメール

11月初め、今度は別のInstagramアカウントからメールが届きました。なりすまし犯は、フォロワー数13万1,000人のファッションアカウント「Clothes.Models」に対して、同じ話を持ちかけていたのです。変更されていたのは、メール内のInstagramアカウント名だけでした。

しかしClothes.Modelsの運営者は、すぐには詐欺に気づきませんでした。「掲載に興味がある」と返信したのです。その後のやり取りによって、詐欺の全体像がより鮮明になっていきます。

詐欺師からの返信メールがこちらです。

この部分は重要なポイントなので、後ほど詳しく説明します。

数日後、詐欺師はさらにもう一通のメールを送信してきました。

このリンクをクリックすると、Googleのサインインページにそっくりな偽サイトへ誘導されます。アカウント情報を入力してサインインボタンを押すと、本物のGmailサイトへリダイレクトされます。しかしその時には、すでに詐欺師の手元にログイン情報が渡っているのです。

幸いにも、Clothes.Modelsの運営者は詐欺に気づき、ログインを試みませんでした。代わりに「本当に正規の依頼なのか」を確認するため、私自身に連絡を取ってくれたのです。当然ながら正規ではありません。だからこそ、この記事を書いているわけです。

では、何が起きていたのか？

詐欺の手順を整理してみましょう。

• 詐欺師が私になりすまし、大手Instagramアカウントに「記事で取り上げたい」と接触する。
• 相手が返信すると、連絡先の電話番号を求める。
• 最終的に「記事の準備ができた」と告げ、内容を「承認」してもらうための下書きが入った「Googleドキュメント」のリンクを送りつける。

一見すると何の問題もないように見えますが、重大な危険信号がいくつも隠されています。このプロセスを最後まで進めてしまうと、詐欺師はあなたのGmailアカウントを完全に掌握し、Instagramアカウントのパスワードリセットに必要なあらゆる情報を手に入れることになります。さらに、二要素認証（2FA）を突破するのに十分な情報まで握られてしまう恐れがあるのです。

これは非常に深刻な状況です。

見逃せない危険信号

幸い、連絡をくれた2つのInstagramアカウントは、手遅れになる前に詐欺を見破りました。すべてのメールには大きな警告サインが含まれていたので、順番に見ていきましょう。

第一に、私のようなライターは、あなたについて書く際に許可や承認を必要としません。記載内容が真実である限り、世界のほとんどの国で表現の自由の法により保護されています。特に「全員がフォローすべきトップ15のInstagramアカウント」のような記事であればなおさらです。ポジティブな紹介記事なのに、わざわざ承認を求めるライターは存在しません。実際、私も面白いInstagramアカウントの記事を書いた際、どのアカウントにも事前連絡をしていません。ただ書いただけです。

第二に、MakeUseOfのような大手サイトは、汎用のGmailアドレスを使用しません。各ライターには「AuthorName@MakeUseOf.com」のような専用メールアドレスが割り当てられており、それを使って連絡します。著者のメールアドレスを確認したい場合は、著者ページをチェックしてください（私のページはこちら）。

第三に、一般的なリスト記事の報酬はわずかなものであり、ライターが各サイトに個別に時間をかけて連絡する、ましてや電話で連絡することはまずありません。ライティングはオンラインで収入を得る良い手段ですが、相応の量をこなす必要があります。大規模なインタビューや調査報道であれば話は別ですが、15のInstagramアカウントを紹介する記事のために、あなたの電話番号が必要になることはあり得ません。

第四に、例外的なケースで下稿を見せて確認を求めることはあるとしても、それが「編集可能なGoogleドキュメント」であることは決してありません。インタビューを行った場合、事実関係の確認や発言が正確に反映されているかのチェックを依頼することはあっても、「ご自由に追記してください」と言うことはないのです。

第五に、Googleの公式サイト以外へ誘導される「Googleサインインページ」へのリンクは100%偽物です。絶対に情報を入力してはいけません。また、サイトにSSL証明書が付いているかどうかの確認も有効です。今回詐欺師が使用した偽サインインページにはSSL証明書がなく、これも不審な点を見抜く大きな手がかりとなりました。

オンラインで安全に過ごすために

大手ソーシャルメディアアカウントを盗む行為は、ひとつの産業として拡大しつつあります。人気アカウントには現実的な金銭的価値があるからです。アカウントを運営している方は、連絡先情報の取り扱いに細心の注意を払ってください。一般ユーザーでも、アカウントを乗っ取られるケースは珍しくありません。

オンラインでの安全確保は複雑なものではありません。自分が何をしているのかを常に意識することが大切です。「良すぎる話」に思えたら、おそらく罠です。相手から違和感や危険信号を感じたら、詐欺を試みている可能性が高いと判断しましょう。今回の詐欺師のメールにも、不審な点が数多く含まれていました。こうした兆候に注意を払い、少しでも不安を感じたら、すべての連絡を遮断することが賢明です。

今回は特定の個人を標的にしたスピアフィッシング攻撃のため、誰もが同様の被害に遭うとは限りません。しかし、そこから得られる教訓は万人共通のものです。

ネット上でなりすまされるのは、実に奇妙な感覚です。今でもどう受け止めればいいのか分かりません。もしあなたもこのような攻撃を経験したことがあれば、ぜひコメント欄でお知らせください。皆さんの体験談をお聞かせください。