フィッシングサイトをクリックしたらこうなる！～精巧なクレジットカードのフィッシング詐欺テクニックを公開

クレジットカードのフィッシングメールとフィッシングサイトのリアル調査からわかった現実

フィッシング詐欺犯は人の心理を巧みにあやつっている

人は誰でも「不安を感じても、自分にだけは悪いことは起きないだろうと楽観的に考えてしまい(楽観バイアス)、すぐに何らかの利益や成果を得ようとする」心理上の弱点を持っています。

この心理状態を双曲割引(そうきょくわりびき)といいます。

フィッシングメール詐欺犯は「急がせる｣「脅す」「不安にさせる」「喜ばす」と、様々なテクニックを使って、この双曲割引の心理を悪用しているます。

今では、サイバー犯罪の犯人にもっとも必要な技術は、「不正なプログラムを作る」ことではありません。

いかにユーザーの心理を利用して、自ら間違いを犯させるか？の心理テクニックが最重要なのです。

それでは、いかにフィッシング犯がユーザーをだまそうとしているのか、実物の「JCBおよびMUFGカード、EPOSカードかたるフィッシングメールと各カード会社の偽サイト」をモデルに、ご説明します。

1．JCBのフィッシングメールの最新事情

JCBのフィッシングメールの手口

JCBのフィッシングメールも過去のAmazon、楽天などのフィッシングメールと同様、

1. ｢アカウントの詳細確認｣「サインインの本人確認｣「セキュリティ警告」などの名目でメール文のURLをクリックさせ、精巧な偽MY JCBの偽造サイトに誘導。
2. ユーザー自らに「カード番号他の個人情報」を入力させて情報を盗取する。

といった手口であり、現在まで確認されているメールの内容は、JCBによると、「MY JCBからの通知」や、「カードの再発行受付通知からアカウントロック」まで多岐にわたっています。

詳細は、JCBのヘルプサイト　「JCBを名乗る怪しいＥメールが届きました」をご覧ください。

JCBを狙ったフィッシングメールはレベルが高い

Amazonや楽天の詐欺メールは変な日本語ですぐに見分けがついたが、、、、

フィッシングメールは、海外から送付されることがほとんどです。

犯人は「フィッシングメールの作成キット」をブラックマーケット(ダークウェブ)で購入し、カスタマイズして犯行に及びます。
しかし海外製のため、文面は外国語で書かれており、日本向けに翻訳作業が必要でした。

恐らく当初は機械翻訳などで翻訳していたため、不自然な日本語が目立ち、すぐに「怪しいメールだ！」と見分けることができました。

後発のJCBフィッシングメールはいきなり完成度が高く危険

ところがフィッシングメールとしては後発のJCBのフィッシングメールでは、犯人達は十分に経験を積んでいるため、下手な日本語は、ほとんど見当りません。

以下のようにレイアウトも文面も不審な点がない精巧なフィッシングメールが送られています。

JCBカードの利用確認をよそおうJCBフィッシングメール

JCBカードの第三者による不正利用の注意をよそおうJCBフィッシングメール

JCBカードのカード暗証番号の照会をよそおうJCBフィッシングメール

JCBのフィッシングメールや偽MY JCBフィッシングサイトをクリックしてみたら?

安全な環境でJCBのフィッシングの犯行を体験してみる

データを盗取される心配のない、専門家用のテスト環境で、実際に届いたフィッシングメールのURLをクリックして、実際のフィッシングの手口を確認してみました。

上記のJCBからのフィッシングメールの文中のURLをクリックすると、精巧に作られた以下のようなJCBの偽MY JCBフィッシングサイトに誘導されます。

1．まず「セキュリティチェックページ」に誘導される

驚いたことに、本物のJCBサイトにはない「セキュリティチェック」のページが開きました。

「CAPTCHA認証」とは、人間しか分からない画像を使った認証方法で、セキュリティを厳重に管理しているサイトにログインする際に使われる手法です。

偽のJCBサイトでは、この「CAPTCHA認証」が使われ、しかも信用させるためにか、2種類のチェック方法が重ねて使われていました。

「CAPTCHA認証」自体は利用資格など不要で、誰でもサイトに組み込むことができますが、サイトの信頼性を演出するには効果的な方法です。

犯人は「しっかりした本物のサイトだ」と誤解させるため、2つものセキュリティチェックを導入したのでしょう！

2．精巧な偽の「MY JCBログインページ」が開く

本物のJCBの「MY JCB」サイトをそっくり再現した偽ログインサイトが開きます。

ＩＤとパスワードは何を入力してもログインできて次の画面に進みます。

つまり情報盗取だけを狙った詐欺サイトなのです。

3．偽の「カード情報･有効期限入力ページ」が開く

本物のJCBの「MY JCB」サイトを再現した偽ページが開きます。

信じてカード番号や有効期限を入れると盗まれてしまいます。

4．偽の「カード情報･有効期限入力ページ」が開く

本物のJCBの「MY JCB」サイトを再現した偽ページが続きます。

情報を盗むだけが目的ですから、何を入れても次へ進みます。こうして盗取された情報が、いろいろな不正ログイン事件に悪用されてしまうのです。

5．いきなり「サイトのメンテナンス中」を告げる画面が開く

入力内容を確認できるはずが、いきなり「メンテナンスのためサイトが停止中｣のページが開きます。

犯人は盗み取れるすべての情報が入手できたので｢もう用はない｣と言うことなのでしょう。

人によっては「メンテナンスならしかたがないな」と不審に思わず、入力したことも忘れて終わってしまうかもしれず、詐欺としては巧みな方法です。

2．MUFG三菱UFJニコスカードのフィッシングメールをクリックしてみたら?

MUFG三菱UFJニコスカードのフィッシングメール

筆者の手許に届いた以下のMUFG三菱UFJニコスカードのフィッシングメールをクリックして、どのようなフィッシングサイトに誘導されるか調べて見ました。

本文やメールのデザインは精巧に偽造されていますが、本文の日本語はかなり不自然です。

上記の「JCBの偽MY JCBサイト」に比べるとシンプルですが、かえって簡単に情報を入力してしまい気がつかない方がいるかもしれません。

1．「MUFGカードの偽サイト」に誘導される

1. ログインをクリックすると本物をコピーした「MUFGカードの偽サイト」に誘導されます。
2. ＩＤとパスワードは適当なダミーデータを入力すると、「ログイン」のボタンがクリックできます。

2．「MUFGカードの偽会員サイトの情報入力」画面が開く

1. ログインをクリックすると本物をコピーした「MUFGカードの偽会員サイト」に誘導されます。
2. 項目には適当なダミーデータを入力します。内容の確認はなく、単に入力情報の盗み取るだけのサイトです。

3．「MUFGカードの偽会員サイト」が開く

1. 「NEXT」をクリックすると「成功　あなたのアカウントは回復しました」と表示され実物の「MUFGカードの会員サイト」が開きます。
2. ここで再度ログインを求められますが、正当なサイトが開くため、詐欺にあったことに気がつかない方もいるかもしれません。

3．エポス(EPOS)カードのフィッシングメールをクリックしてみたら?

エポス(EPOS)カードをよそおうフィッシングメール

筆者の手許に届いた以下のエポス(EPOS)カードのフィッシングメールに記載されたURLを開いて、どのようにフィッシングサイトに誘導されるか調べて見ました。

本文やメールのデザインは実物をコピーしており、不自然さはまったくありません。

1．「EPOSカードの偽サイト」に誘導される

1. ログインをクリックすると本物のサイト(https://www.eposcard.co.jp/index.html)をコピーした「偽のEPOSカードサイト」が開きます。
   EPOSカードのサイトでも「偽サイトはエポスNet公式サイトをコピーして作られているため、見た目はほぼ同じです。サイトの見た目だけで本物かどうか判断することは危険です」とかかれていますが、非常に精巧にできています。
   
2. ＩＤとパスワードは何を入れてもログインできてしまいます。適当なダミーデータを入力して「ログイン」します。

2．「EPOSカードの偽会員サイトの情報入力」画面が開く

1. ログインをすると本物をコピーした「EPOSカードの偽会員サイト」が開きます。
2. ログインするとカード情報だけでなく、セキュリティコードや銀行口座番号や暗証番号まで尋ねてくる、明らな不正サイトですが、デザインがそれらしくできており、うっかりするとだまされてしまいそうです。
3. 項目にはどんなデータも入れても、内容の確認はなく、単に入力情報の盗み取る目的だけのサイトです。

4．UCカードのフィッシングメールをクリックしてみたら?

UCカードをよそおうフィッシングメール

筆者の手許に届いた以下のUCカードのフィッシングメールに記載されたURLを開いて、どのようにフィッシングサイトに誘導されるか調べて見ました。

本文やメールのデザインには、一部敬語の使い方以外、不自然さはまったくありません。

文中の3個所のURLをクリックするとフィッシング詐欺サイトへの飛びます。

1．「UCカードの偽サイト」に誘導される

1. 指定されたログインをクリックすると本物のUCカードサイトのログインページをそっくりコピーした「偽のログインページ」が開きます。
   ＩＤとパスワードは何を入れてもログインできてしまいます。適当なダミーデータを入力して「ログイン」します。

2．「UCカードの偽会員サイトの情報入力」画面が開く

1. ログインをすると本物をコピーした「UCカードの偽会員情報登録ページ」が開きます。
2. 異常があるので再登録が必要と偽って、カード情報だけでなく、メールアドレスやログインパスワードも盗み取ろうとします。
   ここで入力したパスワードなどを使い回していると、メールアドレスを元にいろいろなサービスで不正ログインを試されてしまいます。
3. 項目にはどんなデータも入れても、内容の確認はなく、単に入力情報の盗み取る目的だけのサイトです。

3．「確認ページ」の後「UCカードの本物の会員サイト」へ転送されてしまう

1. 全てのデータを入れると、確認ページが開きます。このページだけは本物ページのコピーではなく、独自につくセイしていますので、不自然ないわゆる「中華フォント」が目立ちます。
2. しかし確認ページからは、速やかに自動的に本物のUCカードの会員サイトに転送されるため、不自然さに気がつかず不正を見逃してしまう恐れもあります。

フィッシングメールやフィッシングサイトをクリックしてしまったら、どうする？

クリックしただけなら心配ない

クリックすると、上記の偽「MY JCBページ」のような、詐欺フィッシングサイトが開きます。

しかし、そこから「自分で情報を記入する」「ソフトやアプリをインストールする」など、だまされて行動しない限り心配はありません。

また、今のスマホやパソコンは、

• 信頼できるセキュリティソフトを導入しておく。
• OSやアプリ、サフトは常に最新版に更新しておく。 

という基本的なことを守っていれば、サイトを開いただけで不正プログラムに感染するという事はまずありません。

「ログインしてしまった」「情報を入力してしまった」時は？

至急個人情報を守る対策をしましょう

犯人による悪用を避けるため、

• • パスワードの変更

• クレジットカードの使用差し止め

などの、利用停止措置を大至急取りましょう。

上記の偽カードの会員画面ににログイン情報など個人情報を入れてしまった時は、大至急24時間いつでも対応してくれる各カードの緊急デスクに連絡して、カード使用を止めましょう。
連絡先は以下「盗難紛失のご連絡」をクリックしてご確認くだ​さい。

他のアカウントでの被害を防ぐ

同じパスワードを、他のサービスで使い回していて乗っ取られるリスクも高いです。

パスワードを使い回していた場合は、利用停止措置の後「すべてのパスワードを独自のものに変更」してください。

ブログ内の関連記事(新しいウィンドウで開きます)

「パスワードの使い回しがいかに危険なのか？」リスクと対策を知る

誰もがついやっている「同じパスワードの使い回し」。どうしてパスワードの使い回してはいけないのか？ 危険性を具体的な事件の実例と共にご説明します。「パスワードの使い回し」は、被害に直結するデジタルの使い方では最悪の行為です。きっぱりやめましょ[…]

クリックして何かのソフトやツールをダウンロードし入れてしまった時は？

少しでも不安を感じたら、大至急パソコンやスマホをセキュリティーソフトで検査しましょう！

フィッシングメールを避けるにはどうしたら良いか？

メール本文のURLやボタンはクリックしない

JCBの詐欺フィッシングメールなど今のフィシングメールは精巧で見分けがつきません。

こうなると、「安全のため、原則としてメールの本文中のクリックはしない｣しかありません。

内容に不審点があれば、JCBのサイトを検索して訪れ、手続きしましょう。

オンラインでURLやファイルをスキャンしてくれるサービスもあります

届いたメールの不審なURLや添付ファイルをスキャンしてくれるオンラインサービスがあります。

おすすめはGoogleが運営している「VIRUSTOTAL」。
なんと全世界の100種類近くのセキュリティサービスを同時に使って徹底的にスキャンしてくれますのでかなり安心。しかも無料です。

上のメールをVIRUSTOTALを使ってスキャンすると?

即座に「偽サイト」と判定してくれる

VIRUSTOTALの詳しい使い方は以下の当社ブログ記事をご覧ください。

ブログ内の関連記事(新しいウィンドウで開きます)

「VIRUSTOTAL」のファイル流出を避ける正しい使い方～怪しいファイルやURLの無料スキャン方法をやさしく解説

個人情報を盗んだり、ウイルスを感染させようする詐欺メール(フィッシングメール)や詐欺SMS(スミッシング)、そして「SNSのメッセンジャーで友達から届く詐欺動画」など、あなたをだますメッセージが毎日たくさん飛んできます。変な日本語もなく[…]

信頼できるセキュリティソフトを導入しておくことはとても重要

信頼できるセキュリティソフトは、感染を防ぐだけでなく、ユーザーが誤って危険なURLをクリックしたり、ファイルを開こうとすると警告して、被害を未然に防いでくれます。

スマホもＰＣもかならずセキュリティソフト／アプリを導入しましょう。

ブログ内の関連記事(新しいウィンドウで開きます)

Androidにセキュリティアプリは必要か？～弱点を強化する設定や対策とは？

「今ではスマホもパソコンもセキュリティが強化されているのでセキュリティアプリやウイルス対策アプリは不要」との意見があります。確かに本体の安全性が大きく高まったのは事実ですが、犯罪の手口も変化しています。iPhoneに比べて安全性が劣ると[…]

ご自身のメールアドレスやパスワード、電話番号が流出していないか調べるには？

定評ある「個人情報流出確認WEBサービス～Have I been Pwned(HIBP)」をおすすめします。

無料で簡単・確実にチェックしてくれます。

詳しくは当社の下記ブログ記事をご覧ください。

ブログ内の関連記事(新しいウィンドウで開きます)

「Have I been Pwned(HIBP)」とは？～Facebookが流出した電話番号もパスワードもチェックできる個人情報流出確認サイトのすべて

2021年4月、Facebookが5億人もの個人情報を流出させていたと衝撃の発表がありました。LinkedIn、Clubhouseも同様の流出問題を発生させています。これまで無数の企業やサービスから個人情報が流出していますが、「自分の電[…]

有名ブランドををよそおうフィッシングメールや、不正なショートメールが激増中！

2021年4月のフィッシング対策協議会の発表によると、2021年3月のフィッシング報告件数は、前月より12,474件(+140%)と大きく増加し43,423件となりました。
ずっと増加傾向なところも対策が功を奏して2月は大きく減少しました。しかしまた増加に転じてしまいました。

フィッシングメールのブランド別の件数では、「Amazon、楽天、MyJCB、三井住友カード、エポスカード」の順で全体の90.8%を占め、うち半数がAmazonからです。

多くの方がお使いのGmailやOutlookのようなメールサービスや、ご加入のプロバイダーのメールセキュリティサービスの防御効果により、フィッシングメールの大部分は「迷惑メール」として除去されているはずです。

しかしフィッシングメールの偽装が巧妙化すると、防御をすり抜けてお手元に届く危険性も高まり、十分な注意が必要です。

■引用：フィッシング対策協議会「2021/03フィッシング報告状況」より

当ブログ関連記事

宅配の不在SMSをクリックしてしまった！～被害を避ける3つの対策とは？

フィッシング詐欺のメールやSMS(ショートメッセージ)は、コロナの混乱狙いで激増しています。特に宅配便の不在通知を装う詐欺SMSはうっかりクリックしやすく危険です。しかし正しい知識と基本的な対策があれば恐れることはありません。「もし[…]

フィッシングメール／フィッシングサイトの目的とは？

フィッシングメールの目的はユーザーをだまして、自ら不正操作をさせること！

フィッシングメールの目的は、

ユーザーを信じ込ませて、メール本文中の偽造されたフィッシングサイトのURLをクリックさせる

ことにあります。

フィッシングメールは、様々な「緊急性のある偽の警告」あるいは「幸運」などの心をゆさぶる名目のメールで、ユーザーの注意を引き、本文のURLをクリックさせ、フィッシングサイトに誘導し、以下の目的を達成しようとします。

1. ユーザー自らに個人情報を入力させて情報を盗取する。
2. ユーザーに不正なプログラムやアプリをダウンロードさせ、インストールさせる。

なぜ、犯人はこんな回りくどい手段を取るのでしょうか？

映画やドラマのように、キーボードをただいて、ユーザーのデジタル機器に侵入したりしないのでしょうか？

セキュリティが厳しくなったため「ユーザーをだます」ことが必要となった。

以前は、はスマホやパソコンのセキュリティが甘く、「ユーザーが見ただけ」「クリックしただけ」で、不正なプログラムを侵入させることができました。

しかし次第にデジタル機器のセキュリティが厳しくなり、

• 比較的新しいスマホやパソコンの機種を使っている
• 新しいOS(Android,iOS,Windows10など)を使って、OSやアプリのアップデートをきちんと行っている

など、正しくスマホやパソコンを使用しているユーザーに対して、不正攻撃をしかけることは、ほとんど不可能になってきました。

そこで犯人は、ユーザーをだまして、自ら誤った行動を取らせることで、犯罪目的を達成しようとしているのです。

今では、ハッキング技術やプログラムのテクニックではなく、人の心理につけ込んでだます、ソーシャルエンジニアリングという手法の方が、大きな被害を生み出しています。

その最大の犯罪手段が、フィッシングメールやフィッシングサイトであり、ますます増えている原因です。

ブログ内の関連記事(新しいウィンドウで開きます)

httpとhttpsの違いから「今ではsや鍵マークが安全ではない」理由を理解しよう！

URLの「httpのsの有無」には大きな違いがあります。しかし「sがついているから、鍵マークがあるから安心」は今では古い知識で危険な非常識です。どうして「httpsは安心できないのか？」URLのhttpとhttpsの違いのからSSLや鍵[…]

まとめ：
これからもフィッシングメールには十分に注意しよう

JCBに限らず、フィッシングメールはこれからも増え続けるはずです。

しかしフィシングメールは、どのブランドをかたるものも手口のパターンは同じなので、正しい知識と対処方法を知っていれば、まずだまされる心配はありません。

当プログを参考に、これからも金融機関や販売サイトからのメールゆSMSには十分に注意を払い続けましょう。

あわせてご覧ください！「Amazonのフィッシングメール」は？

ブログ内の関連記事(新しいウィンドウで開きます)

Amazonフィッシングメールのすべて～進化する迷惑メールの手口と対策がわかる

近年有名ブランドをかたる詐欺･フィッシングメールは激増中ですが、中でもAmazon をかたるフィッシングメールが被害の大部分を占めています。またAmazonをよそおう不正なショートメール(SMS)も増えています。しかもフィッシングの手口[…]

「楽天のフィッシングメール」は？

ブログ内の関連記事(新しいウィンドウで開きます)

楽天のフィッシングメールのすべて～日々進化する詐欺メールの現状と対策

激増中の有名ブランドをかたる詐欺･フィッシングメールの中で、楽天をかたるフィッシングメールはAmazon、LINEについで第3位の多さとなっています。楽天の詐欺ショートメッセージも増えてきました。実際に届いた楽天や楽天カードからのフィッ[…]

性的な行為をネタに脅してくる詐欺「セクストーション」とは？

ブログ内の関連記事(新しいウィンドウで開きます)

進化するセクストーション詐欺、マジメ人間がだまされる3つの手口を一挙公開！

「人の弱みにつけ込む」は詐欺の常套手段ですが、オンラインでも多発しています。これらの詐欺は、架空の脅しだと知っていれば無視するだけですが、初心者や年配者のデジタル弱者が「恥ずかしい姿をばらまくぞ」を信じてカモになってしまう例が多[…]

シニアの方にも共有しましょう

ブログ内の関連記事(新しいウィンドウで開きます)

高齢者を狙うネット詐欺やサイバー攻撃の対処方法まとめ～フィッシングから警告・押し売り詐欺から高齢者を守る

家にこもってスマホやパソコンを使う時間が増えましたが、その「隙を狙おうとするネット詐欺」も激増しています。特にネットに不慣れなシニア､高齢者の皆さんは大きなリスクにさらされます。シニア･高齢者の皆様が直面しがちな、いろいろな[…]