フィッシング

銀行、カード会社、通販サイト、宅配業者、携帯電話会社などを名乗るメールやSMSで、本物そっくりの偽サイトへ誘います。そこでID・パスワード、カード番号、暗証番号やワンタイムパスワードなどを入力させ、そのまま盗み取ります。 [1] [2]

文面は「不正なアクセスを検知しました」「アカウントを停止します」など、急いで操作させようとするものが多く、検索サイトの広告から偽サイトへ誘う例もあります。偽の荷物追跡アプリなどを入れさせ、マルウェアに感染させる手口もあります。 [1]

組織では、社員のメールやクラウドサービスのログイン画面を装う手口がよく使われます。盗まれたアカウントは、受信メールの外部への転送や、取引先などへの新たなフィッシングメールの送信に悪用されます。 [4]

• アカウントを乗っ取られ、預金を不正に送金されたり、通販サイトで勝手に買い物をされたりする。 [1]
• クレジットカードを不正に使われる。 [1]
• マルウェアに感染すると、スマートフォンの電話帳を盗まれたり、自分のスマートフォンが偽のSMSの送信元になったりする。 [1]
• 社員のアカウントが乗っ取られると、メールの中身や連絡先が盗まれ、その社員を装ったメールが社外に送られる。 [4]

• アカウントの停止や不正なアクセスなどを理由に、すぐにリンクを開いて手続きするよう急がせる。 [1]
• IDやパスワードをメールやSMSで尋ねてくる。金融機関がこうした問い合わせをすることはありません。 [1]
• 自分で何も手続きをしていないのに、突然リンクを開くよう求めるメールが届く。 [4]

ただし、差出人の名前やアドレスは簡単に偽れ、文面も本物を写したり自然な日本語で作られたりしています。偽サイトでもアドレス欄に鍵のマークが付くことがあり、見た目だけで見分けることはほぼできません。 [1] [3]

• 入力してしまったパスワードは、同じものを使っているすべてのサービスで、すぐに変更する。 [1]
• 不正な送金は金融機関に、カードの不正利用はカード会社に連絡する。補償の制度がある場合があります。 [1]
• 被害は最寄りの警察署か警察のオンライン窓口に相談し、見つけた偽サイトはフィッシング110番（インターネット・ホットラインセンター）に通報する。 [1]
• 組織のアカウントでは、パスワードの変更に加えて、メールの転送など攻撃者が変えた設定が残っていないか確かめる。 [4]

出典がフィッシングや、だまして情報を送らせる手口を原因に挙げた事例に、攻撃の手口「フィッシング」を付けています。盗まれたアカウントからランサムウェアの被害に至った事例のように、ほかの手口と並んで付くこともあります。

インシデント一覧では、手口で絞り込んで事例を探せます。