Gmailが最新のフィッシング攻撃の標的に!巧妙な手口と対策を徹底解説

Gmailといえば、世界中で最も人気のあるメールサービスの一つです。Googleが「検索」の代名詞となったように、Gmailもまた「メール」の代名詞として広く使われてきました。しかし、そのGmailが、非常に巧妙なフィッシング詐欺の被害に遭っています。この詐欺はあまりにも本物らしく、多くのユーザーが騙されてしまい、Googleのログイン情報を入力した結果、攻撃者にメッセージ内容を読み取られてしまうのです。

この攻撃は「Gmailフィッシング攻撃」と呼ばれています(名前が付くほど注目されているのです)。セキュリティ専門家によると、この詐欺は「経験豊富な技術者」さえも騙すことに成功しており、Gmail以外のサービスも標的になっているとのことです。研究者の中には、これまでで最大規模のアカウント侵害であると指摘する人もいます。

それでは、ハッカーたちがどのようにフィッシングを実行しているのか、詳しく見ていきましょう。

攻撃の仕組み

アカウントにログインすると、一通のメールが届いていることに気づくでしょう。差出人は、あなたの知り合い——実は同じ手口でアカウントを乗っ取られた被害者——である可能性が高いです。メールには、以前あなたがこの相手に送ったことのあるファイルのような偽の添付ファイルが付いており、件名も関連性のあるものになっています。

画像や添付ファイルをクリックすると、通常ならGmailがプレビューを表示するはずですが、代わりに新しいタブが開き、Gmailへの再サインインを求められます。

そして、そこでサインインしてしまうと、罠にかかったことになります。ロケーションバーには「accounts.google.com」と表示されているため、被害者がハッキングに気づくことは容易ではありません。

先へ進むと、本物そっくりに作られた完全に機能するサインインページが表示されます。

攻撃者はこうしてあなたのアカウントへのアクセス権を取得します。認証情報を手に入れると、今度はあなたが実際に使用した添付ファイルと件名を利用して、連絡先リストに登録された人々へメールを送信するのです。

さらに厄介なことに、このフィッシングページでは、安全でないページにアクセスした際に通常表示されるセキュリティ警告が一切表示されません。

知っておくべき対策

フィッシング攻撃から身を守るためのシンプルなコツはただ一つです。認証情報を入力する前に、必ずウェブサイトのアドレスバーを確認することです。

もしあなたがこの攻撃の被害に遭ったとしたら、おそらくアドレスバーで「accounts.google.com」を確認し、それを信じてサインインしてしまったのでしょう。

しかし、この攻撃から身を守るには、アドレスバーで確認すべきポイントを変える必要があります。

ブラウザのアドレスバーの右端に注目してください。そこには、非常に長いテキストの始まりが表示されています。これは実際には、新しいタブで開かれるファイルであり、完全に機能する偽のGmailログインページを生成し、入力された認証情報を攻撃者へ送信する仕組みです。

最も分かりやすい見分け方は、正規のGmailサインインページのURLが鍵マーク付きの「https://」で始まるのに対し、偽ページは「data:text/html,https://」で始まるという点です。プロトコルとホスト名を確認できない場合は、立ち止まって、そのサインインページにたどり着くまでに何をクリックしたのかを冷静に考えてみましょう。

周囲にも注意を広めよう

この被害が拡大しないよう、家族や友人にもできる限り注意を促しましょう。たとえ友人や同僚からのメールに見えても、不審なリンクや添付ファイルは決して開かず、常に細心の注意を払うことが大切です。

この手口に騙されないでください。どうぞご安全に!