雑なフィッシングメール（号外）

あけましておめでとうございます。

旧年中はお世話になりました。
本年も「がんばりすぎないセキュリティ」をどうぞよろしくお願いいたします。

今回は号外として出来の悪いフィッシングメールを肴に軽い目のお話をします。

フィッシングメール

フィッシングメール（phishing mail）は人をひっかけることを魚釣り（fishing）とかけた造語のようです。（諸説あります）

実在の組織などを騙ったメールを送り付け、受信者の誤解を利用してログイン情報やカード番号といった個人情報をだまし取ることを目的としたメールを指します。

最近は、一見ホンモノとしか見えないフィッシングメールも多く、筆者でもうっかり騙されないようにしています。

フィッシングメールへの対抗策は、以下の２点にほぼ集約されます。
　・メールに記載されたリンクをクリックしない。
　・メールに添付されたファイルを開かない。

この２つを行わない限り、そうそうひっかかるものではありません。

もちろん、先方はクリックさせたいわけですから、言葉巧みにリンクをクリックしないといけないように誘導してきますが、それにだまされてはいけません。

今回は号外ですので、マジメなお話はここまでです。

雑な仕事

どんなお仕事でもそうですが、非常に丁寧で感心するような成果物を作る方とそうでない方がいます。

筆者は明らかに後者に属しているようで、本人は丁寧にやっているつもりなのですが、後から見るとザルな（穴だらけの）成果物であることもしばしばです。

こういった粗っぽさの目立つ成果物を筆者は「雑な仕事」とよく呼んでいます。

フィッシングメールでも、粗っぽいものから丁寧に作られたものまで様々なパターンがあります。もちろんフィッシングメールは犯罪行為です。デキが良ければ、ひっかかる人も多くなるわけで、決して喜ばしいことではありません。

一方で、やっつけ仕事というか「雑な仕事」のフィッシングメールも少なくありません。
なんでこうなるのよ？と突っ込みを入れたくもなるというものです。

今回は、筆者や家人が見た雑なフィッシングメールをいくつか紹介しようと思います。

発信元とサービス名が違うメール

例えばamazonを騙るフィッシングメールの場合は、差出人欄がsupport@amazon.co.jp などのサポートアドレスとなっているのが通常です。

フィッシングメールの場合は、本当は違うメールアドレスなのですが、メールの差出人詐称が簡単にできる仕組みを悪用し、メールアドレスをゴマかすのです。

この詳細は以下のバックナンバーで解説しています。
　「No298 詐欺メールを防ぐSPFという技術」（2023年3月配信）
　https://note.com/egao_it/n/nc348a0142ca0

さて、せっかく詐欺メールを出すのだから、出す方は少しでも多くの人にひっかかって欲しいはずです。

にも関わらず、なぜかメールの発信元や返信先とメール本文のブランドが食い違っているフィッシングメールが多数届いています。
こんなの騙される人いるのか？と思うのですが、相も変わらず送られてくるということは気にしない方が多いのでしょうね。

例：
　タイトル：Amazonアカウント認証通知
　返信先： xxxxxxx@i.softbank.jp
　→amazonからのメールと思いきや、返信先はソフトバンク？？？

　発信者(from)： ETC利用照会サービス
　送信者(sender)：contact@jsflq.com
　→頭かくして尻かくさず。

こんなので騙されるものか？と筆者などは思うのですが、同様のが結構きますので、ひっかかる人はいるのでしょうね。

本文やタイトルが明らかにおかしいメール

メール全体が文字化けして読めないメールが2023年になってからずーーっと来ています。
タイトルは日本語（といっても少々たどたどしい日本語）なのですが、本文は全て文字化けしていて、全く読めません。文字コード指定のミスかと思い、いろいろと変換させたりしてみたのですが、結局筆者では解読できませんでした。（解読しようとする方もかなりのモノズキですが）
同様に本文が空のメールも時々来ています。

こういうのが今だに続いているのはどういうことでしょうかね。
本文が空だとリンクもないわけで、送信側には全くメリットがないはずなのですが。
世の中、不思議なことがあるものです。

妙なタイトルや内容がむちゃくちゃなメールも相変わらず一定数届きます。
最近では「支払いの異常リスク」というタイトルがなかなかのヒット作でした。
「日本橋百貨店での支払いが行われたが覚えがなければ云々」という内容なのですが、調べてみると日本橋百貨店なる店は存在しないっぽい。

また、本文の冒頭では「Amazon」とちゃんとアルファベット表記なのに、末尾では「アマゾン」になってるというものや、屋号がAmazon株式会社（日本のamazonは合同会社）と間違っているなど、いずれも雑な仕事ですよね。

同じメールがたくさん来る

これもよくあるのですが、フィッシングメールの文面にも「旬」があるようで、ある時期に、同じタイトルで同じ内容のメールがたくさん来る傾向があります。

時には、一日に全く同じタイトル、全く同じ内容のメールが何通も来ることがあります。

メールの発信元はバラバラで、リンク先も違う場合が多いので、おそらくはメール文面を作成して複数の犯罪組織に売って回っているグループがいるのでしょう。

最近は犯罪者側の分業も進んでいるようですので、こういったこともあるようですが、
同じメールが続々と来ると、ニセモノであることがよくわかりますので、むしろ助かります。

他の人向けのメール

「お支払いに問題があります」などというタイトルでメール本文にその詳細が書かれているケースがあります。
その内容に、全く赤の他人の情報が書かれているというケースもちょいちょい見ます。

おそらく実在のメールを何らかの方法で取得してそれをコピペして再利用しているのでしょう。

送る方は気にもかけないでしょうが、自分の氏名や住所が何万何十万のメールで拡散される方はたまったものではありません。

送付する方はまさに「雑な仕事」をしているわけですが、ものすごく迷惑な話です。

これまた、ひっかかるやついるのかよ？と筆者などは思うのですが、本文をろくに読まずにリンク先をクリックする人もいるということなのでしょうか。

おわりに

フィッシングメールは2023年もコンスタントに発生しているようで、フィッシング対策協議会のレポートを見ていますと、毎月のように10万件前後のタレコミ（報告）が届いているようです。
フィッシングメールが目立ち始めた2019年頃は月に数千件だったことを考えると10倍くらい増えている計算です。

詐称するブランドも当初は宅配便やクレジットカード、メガバンクが目立っていましたが、現在は、公共サービスやオンラインサービス、地方銀行など業種やメールの内容も明らかに巾広くなっています。

また、メールの内容も当初は怪しげな日本語のメールが多かったのに対して、ホンモノの警告メールの文面を流用するなど、明らかにレベルアップしています。

今回は、「雑な仕事」の紹介ですが、フィッシングメールにひっかかると後が大変です。
くれぐれも騙されないようにお気を付けください。

次回もお楽しみに。

（本稿は 2024年1月に作成しました）

このNoteは筆者が主宰するメルマガ「がんばりすぎないセキュリティ」からの転載です。
誰もが気になるセキュリティに関連するトピックを毎週月曜日の早朝に配信しています。
無料ですので、是非ご登録ください。
https://www.mag2.com/m/0001678731.html
また、公式サイトでも最新版を公開していますので、そちらもどうぞ。

https://www.egao-it.com/