クレジットカードを少額で不正利用されていない？　巧妙な新手口を解説：半径300メートルのIT

　IPAは2024年11月、サポート詐欺に関する注意喚起を発表しました。サポート詐欺は、相談件数こそ減少しているものの、それでも月に200件を超える相談が寄せられている、攻撃者にとって一定の効果が得られている手法です。現時点で有効と考えられる対処方法も掲載されていますので、ぜひチェックしておいてください。

IPAによるサポート詐欺の手口（出典：IPAのWebサイト）

　この注意喚起によると、「支払いのためにGoogle Playギフトカード・Appleギフトカードなどのプリペイドカードを近くのコンビニで買うように指示」する、さらにはサポートと称して“遠隔操作”を実行して「被害者にネットバンキングを開かせて不正送金を試みる事例」もあると言われています。

　通常の業務の中でこのような指示が出るケースは冷静に考えれば「ない」ということは分かるはずです。しかし攻撃者は被害者の冷静さを失わせるよう、巧みに会話を誘導し、判断力を鈍らせてきます。そのため被害者がだまされたことを責めてはいけません。それよりは詐欺の事例を知り、万が一サポート詐欺に巻き込まれたとしても、「これ、どこかで聞いたことあるな」と思えるようになることが、フィッシング詐欺への有効な対策です。

　そういう意味で気になる注意喚起がクレジットカード事業者のJCBから発表されたので、こちらを紹介しましょう。

筆者に届いた注意喚起の電子メールは大したことが書かれていないように見えたが……（出典：JCBから筆者に届いた注意喚起メール）

　この詐欺の手口に引っかからないためには、クレジットカードを「Apple Pay」や「Google Pay」など、スマートフォンのウォレットに登録する作業を知っておく必要があります。JCBのクレジットカードをウォレットに登録する際には、スマートフォンでの登録作業のあと、本人認証として“利用者が指定された電話番号に電話する”という処理が必要です。

　クレジットカード会社によっては、事前に登録された携帯電話番号にSMSが送信され、そこに書かれたコードを入力することで本人確認をする仕組みが使われていますが、その逆に、電話をかけることで有効にするという手法を使う事業者もあります。問題は、この手法がどうやら攻撃を受けているということです。

　攻撃者は恐らく、カード契約者とは別の場所でスマートフォンにクレジットカード情報を入力し、認証が必要となった状態で契約者にフィッシングを実行しているものと推察できます。仕組みとしては、契約者が登録した携帯電話番号から指定の電話番号に一瞬でも通話できれば認証が完了しますので、電子メールやSMSに電話番号リンクを送り、そこをタップさせることでスマートフォンでの決済が有効になります。

　金額によっては有効性を確認せずに決済できるため、少額ながら不正に利用される可能性があります。このような注意喚起が発せられたということは、それなりに不正利用が増えた、と見ることができるでしょう。実は筆者もApple Pay登録時に他社と異なるフローを体験し、「これ大丈夫なのかな」とほんの少し思っていたところです。

　もちろん不正利用を検知して保険でカバーできるのが、クレジットカードの利点です。それでもやはり、このような不正利用の被害に遭わないのが一番です。この事例では恐らく、クレジットカード事業者から利用者のID／パスワードが漏れている可能性があるため、弱いパスワードを使わないなどの認証情報の保護を意識することが重要です。また、多くの方は一度も利用したことがなく、今後も利用しないであろう「リンクをタップして電話をかける」機能は使わないことをお勧めします。

電話番号のリンクをタップすると即電話がかけられるわけではなく、「iOS」ではこのようなダイアログが出るので、明示的に電話をかける時以外は使うことはないとは思いますが……（出典：筆者の「iphone」）

　筆者は実は、当初この注意喚起メールを完全に見逃し、ごみ箱に直行させるところでした。なかなか注意喚起は電子メールでは伝わらない時代になってしまったことも問題を難しくしています。そのためできれば皆さんも「フィッシング詐欺に引っ掛かりそうになった話」などを、身近な同僚、家族と共有してみてください。

著者紹介：宮田健（みやた・たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門　「木曜日のフルット」と学ぼう！〈漫画キャラで学ぶ大人のビジネス教養シリーズ〉』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる。