しかもPayPayやPayPay銀行フィッシングメールは巧妙な偽画面が用意されていて、ひと目見ただけでは見分けることが難しいほどです。
実際に届いたPayPayのフィッシングメール元に、見破るポイントや見逃すと危険な「PayPay認証コード」の意味や対策、また「うっかりクリックした」「ログインしてしまった」時の対応方法をやさしくご説明します。
有名ブランドをよそおうフィッシングメールや、不正なショートメールが激増中！
2021年6月のフィッシング対策協議会の発表によると、2021年5月のフィッシング報告件数は、前月より9,291件と大きく減少し(▲79%)、トータル35,016 件となりました。
ずっと増加傾向が続いていたなかで、非常に喜ばしいことですが、Appleの新iOSへの移行にともなうプライバシー強化の影響など一時的な減少の可能性もあり、予断を許しません。
フィッシングメールのブランド別の件数では、「Amazon、楽天、三井住友カード、イオンカード、JCB」の順で全体の76.6%を占めています。
Amazonからのフィッシングメールは全体の46.6%と前月より27.3%減少しました。
多くの方がお使いのGmailやOutlookのようなメールサービスや、ご加入のプロバイダーのメールセキュリティサービスの防御効果により、フィッシングメールの大部分は「迷惑メール」として除去されているはずです。
しかし大量のフィッシングメールが送られているため、対策が間に合わず、一見しただけでは見分けの使いない精巧なフィッシングメールがお手元に届く危険性も高まるため、十分な注意が必要です。
■引用：フィッシング対策協議会「2021/05フィッシング報告状況」より
Amazonのフィシングメールはあまりに多く、被害が知られるにつれて、だまされる人も少なくなり、新たな詐欺手法としてPayPayのフィッシングメールが広まりつつあると思われます。
フィッシングの詐欺メールや詐欺SMS(ショートメッセージ)の中で、佐川急便､ヤマト運輸、郵便局(日本郵便)をかたる宅配便の不在通知～「佐川急便よりお荷物のお届けに上がりましたが宛先不明の為持ち帰りました」などの詐欺SMSはうっかりクリックし[…]
PayPayフィッシングメールの目的は個人情報の不正取得
目的は個人情報の不正取得
PayPayのフィッシングメールや不正ショートメールの一般的な目的は、
ユーザーを信じ込ませてメール本文中のurlをクリックさせ、偽造された詐欺サイトに誘導し、個人情報入力させて盗み取る。
ことにあります。
PayPayのフィッシングメールも過去のAmazonのフィッシングメールと同様、
- ｢アカウントの詳細確認｣「サインインの本人確認｣「セキュリティ警告」などの名目でメール文のURLをクリックさせ、精巧なPayPay偽造サイトに誘導。
- ユーザー自らに「ＩＤの携帯電話番号とパスワードでログイン」を入力させて盗取する。
- またはウイルスをダウンロードさせて感染させる。
といった手口であり、現在まで確認されているメールの内容は、PayPayによると
- クレジットカード情報や個人情報を入力させようとするメール
- 請求書の開封を求めるウイルスメール
- 「アカウントを更新する」と情報を入力させようとするメール
- 「アカウント情報が欠落している」と情報を更新させようとするメール
- 「異なる端末からアクセスされている」とログインの設定をさせようとするメール
- 「ご利用のお知らせ」とお支払い状況を通知するメール
出典：PayPayヘルプ
です。
フィッシング詐欺犯は人の心理を巧みにあやつる
人は誰でも「不安を感じても、自分にだけは悪いことは起きないだろうと楽観的に考えてしまい(楽観バイアス)、すぐに何らかの利益や成果を得ようとする」心理上の弱点を持っています。
この心理状態を双曲割引(そうきょくわりびき)といいます。
フィッシング詐欺犯は「急がせる｣「脅す」「不安にさせる」「喜ばす」と、様々なテクニックを使って、この双曲割引の心理を悪用しているのです。
PayPay銀行に偽装したフィッシングメール
精巧なPayPay銀行からのフィシングメール
Amazonや楽天の詐欺メールは変な日本語ですぐに見分けがついたが、、、、
「口座に問題が生じたため、本人確認したい」との内容で、一見違和感のない日本語のメールですが、よく読むと途中で文章が途切れています。
住所などは正規のものですが、URLは偽装されたものです。
件名：[ＰａｙＰａｙ銀行]利用確認
ＰａｙＰａｙ銀行をご利用のお客さま
利用いただき、ありがとうございます。このたび、
つきましては、以下へアクセスの上、
※ご利用確認はこちら https://paypay-bansk.xionalive.com/
弊社は、インターネット上の不正行為の防止・
PayPay銀行株式会社 東京都新宿区西新宿2-1-1 新宿三井ビル
https://www.paypay-bank.co.jp/
一段と手の込んだPayPay銀行からのフィシングメール
新たなフィッシングメールは内容にはまったく違和感ありません。よく見ると文中のURLが「paypay-bank」ではなく「paypay-banlk」となっています、
件名：[PayPay銀行]個人情報が失効のご連絡
いつもPayPay銀行をご利用いただきありがとうございます。下記日時に、お客さまの個人情報が失効いたしました。
失効日時：2021/08/24 17:48:19
お客さまご自身で再確認のお手続きをお願いします。※お手続きには暗証番号とトークンが必要です。
▽個人情報再確認 https://paypay-banlk.codopal.com/
※このお取引にお心当りのないお客さまは各種手続専用ダイヤルまでご連絡ください。
————————————
本メールがご自身宛でない場合、他の方が誤って同じメールアドレスを登録したものと考えられます。配信停止のお手続きをさせていただきますので、メール本文を削除せず、件名を「宛先の間違い」と修正のうえ、ご返信をお願いいたします。
————————————
PayPay銀行 各種手続専用ダイヤル■個人のお客さま 0120-007-410（通話料無料）
フリーダイヤルをご利用いただけない場合 03-6739-5012（通話料有料） 営業時間：9時～17時 休業日：12月31日～1月3日、5月3日～5月5日
■法人・営業性個人のお客さま 0120-007-709（通話料無料） フリーダイヤルをご利用いただけない場合 03-6739-5044（通話料有料）
営業時間：平日9時～17時 休業日：土曜日・日曜日・祝日、12月31日～1月3日。
PayPay銀行の偽サイトに誘導される
1．PayPay銀行のログイン情報を盗まれる偽サイト
上でご紹介したメール文中のURLを開くと、本物のPayPay銀行のサイトをコピーした精巧な偽サイトが開きます。
うっかり口座情報やログインパスワードを入れてしまうと、そっくり盗取されてしまいます。
このページにはどんな数字を入れても次ページに進むことができる「情報を盗み取る」事だけに特化したサイトです。
2．徹底的に個人情報を盗み取ろうとするPayPay銀行の偽サイト
前のページは通常のログインページですが、2ページ目はPayPay銀行のすべての個人情報を盗み取ろうとする意図の詐欺サイトです。
このページで「変だ｣と気がついても、最初のページの情報は盗まれています。
3．入力後は正規のPayPay銀行のサイトに誘導される
入力して「次へ」をクリックすると、PayPay銀行の正規サイトに飛ばされます。
詐欺サイトに気がつかない人もいるかもしれません。
PayPayを装うフィッシングメール
PayPayを狙ったフィッシングメールはレベルが高い
Amazonや楽天の詐欺メールは変な日本語ですぐに見分けがついたが、、、、
フィッシングメールは、海外から送付されることがほとんどです。
犯人は「フィッシングメールの作成キット」をブラックマーケット(ダークウェブ)で購入し、カスタマイズして犯行に及びます。
しかし海外製のため、文面は外国語で書かれており、日本向けに翻訳作業が必要でした。
恐らく当初は機械翻訳などで翻訳していたため、不自然な日本語が目立ち、すぐに「怪しいメールだ！」と見分けることができました。
後発のPayPayフィッシングメールはいきなり完成度が高く危険
ところがフィッシングメールとしては後発のPayPayフィッシングメールでは、犯人達は十分に経験を積んでいるため、下手な日本語などは見当たらず、以下のようにレイアウトも文面も不審な点がなく精巧なフィッシングメールが送られています。
件名：アカウントの詳細を更新してください。
お客様各位,
最近行われましたプライバシーポリシーの改定に伴いまして、お客様の PayPay アカウント情報のご確認をお願い致したく、よろしくお願い申し上げます。
ご確認のお手続きは、一回限りで、数分で終了致します。お客様によるご確認行為は必須となっており、お客様のアカウント情報のご確認が行われなかった場合は、アカウントが停止される可能性がございます。
この確認は義務付けられており、確認していただけない場合は、アカウントが停止される場合もあります。
続けるにはこちらをクリック
お客様のセキュリティは弊社にとって非常に重要なものでございます。ご理解の程、よろしくお願い申し上げます。
敬具,
Paypay.ne.jp
もしもPayPayのフィッシングメールをクリックしたらどうなる?
本物のようなPayPayログインサイトに誘導される
PayPayからのフィッシングメールの文中のURLやボタンをクリックすると、精巧に作られた以下のような詐欺サイトに誘導されます。
見た目はPayPayサイトですが､本物のPayPayのログイン画面とは大きく異なる架空の偽装サイトです。
しかも、サイトのURLは「https://srlegua.com/xw/data/.pay/customer_center/user-○○○/login.php」というPayPayとは無関係なものです。
それにもかかわらず、うっかり個人情報を入力してしまうと、犯人にアカウントを乗っ取られますので、十分に気をつけましょう。
他にも類似の詐欺サイトがいろいろと確認されています。
詳しくは下のフィッシング対策協議会様のサイトをご覧ください。
PayPay詐欺メールをクリックしたり、ログインしてしまった時は？
クリックしただけなら心配ない
クリックすると、上記のように偽のPayPayページが開き、「ログイン」を求められます。
このページを開いたとしても、そこから「自分で情報を記入する」など、だまされて行動しない限り心配はありません。
また、今のスマホやパソコンは、
- 信頼できるセキュリティソフトを導入しておく。
- OSやアプリ、ソフト、ブラウザーは常に最新版に更新しておく。
という基本的なことを守っていれば、サイトを開いただけで不正プログラムに感染するという事はありません。
「ログインしてしまった」「情報を入力してしまった」時は？
SMSで認証コードが届く前に至急パスワードを変更する
PayPayには、ユーザーが別の端末からログインする際などには、SMSで認証する機能がついています。
このような「数字とアルファベットを組み合わせた」認証コードのSMSが届いていないうちは、まだ犯人に使われていないはずなので、至急パスワードを変更してください。
偽サイトに「認証コードも入れてしまった」ときは？
SMSで送られて来た「数字とアルファベットを組み合わせた」認証コードも入力してしまうと、既にアカウントが乗っ取られた可能性が高いです。
大至急、以下のPayPayお客様サポート窓口まで至急連絡し、アカウントの凍結を依頼しましょう！
電話番号：０１２０-９９０-６３４
窓口時間：24時間受付 / 土日祝日を含む365日
他のアカウントへの被害を防ぐ
PayPay自体を悪用される可能性は低いです。それより危険なのは、「同じパスワードを、他のサービスで使い回していて乗っ取られるリスク」です。
パスワードを使い回していた場合は「すべてのパスワードを独自のものに変更」してください。
特に「PayPayと同じ携帯電話番号とパスワードの組み合わせ」を使っていたものは非常に危険です。
「とても覚えられない！」と誰もがやってしまう「同じパスワードの使い回し」。「パスワードの使い回し」は、事件事故と被害に直結する最悪の行為ですが最新の調査では「パスワードを使い回している人の割合は8割」という衝撃的な結果も出ました。ど[…]
クリックして何かのソフトやツールをダウンロードし入れてしまった時は？
少しでも不安を感じたら、大至急パソコンやスマホをセキュリティーソフトで検査しましょう！
Androidスマホやパソコンを使っていて、少しでも不審を感じたときは「信頼できるセキュリティ対策ソフトでパソコンやスマホをスキャンし駆除」が､個人ができる最善の対処方法です。
まだ入れていない方は無料で使える大手の有名セキュリティソフトを使いましょう。
～Windowsパソコンのスキャンと駆除～
マイクロソフトが無料で配布しているMicrosoft Safety Scanner を強くおすすめします。
信頼性が高く強力で、ダウンロードしてすぐに使用できます。
詳しくは以下の記事をご覧下さい。
マイクロソフトが無料で配布しているMicrosoft Safety Scannerはマルウェア(ウイルス)を徹底的に検索し削除してくれる強力かつ信頼できるスキャンツールです。検出率や性能は高く評価できますが、一般的なセキュリティ対策ソフ[…]
～AndroidスマホやMACにも使える無料のセキュリティ対策ソフトは？～
■【ノートン】無料体験版
(Digital Keeperお薦め)
■【マカフィー】初月無料版ダウンロード
■【ESET】感染してからでは遅い！無料体験から始める人気ウイルス対策ソフト 
■【アバスト】30日間無料体験版、返金保証付き 
※どの製品も大手の定評あるセキュリティ会社の製品です。30日程度､製品版と同等に無料試用ができます。不正なアプリやマルウェアがないかスキャンして調査､発見された場合は駆除してください。
※iPhoneやiPadなどiOSの機器は安全でセキュリティソフトは不要とされ、存在していません。
※セキュリティ対策ソフトは無料試用後も引き続きお使いになるよう強くお薦めします。
また念のためスマホのキャリア決済やクレジットカードの利用履歴などを不正利用されていないかも調べてください。不審な場合はすぐに発行元に届け出て取引を停止してもらいましょう。
PayPayの詐欺フィッシングメールを避けるにはどうしたら良いか？
メール本文のURLやボタンはクリックしない
PayPayの詐欺フィッシングメールは精巧で見分けがつきません。
こうなると、「安全のため、原則としてPayPayからのメールの本文中のクリックはしない｣また開いた画面から「ログインしない」しかありません。
内容に不審点があれば、PayPayのサイトを訪れて、手続きしましょう。
URLの「httpのsの有無」には確かにセキュリティ上大きな違いがあります。しかし「sがついているから安全、鍵マークがあるから安心」は大昔の発想で、今では古くて危険な非常識です。どうして「httpsは安心の証ではないのか？」、URLのh[…]
オンラインでURLやファイルをスキャンしてくれるサービスもあります
届いたメールの不審なURLや添付ファイルをスキャンしてくれるオンラインサービスがあります。
おすすめはGoogleが運営している「VIRUSTOTAL」。
なんと全世界の100種類近くのセキュリティサービスを同時に使って徹底的にスキャンしてくれますのでかなり安心。しかも無料です。
使い方は以下の当社ブログ記事をご覧ください。
個人情報を盗んだり、ウイルスを感染させようする詐欺メール(フィッシングメール)や詐欺SMS(スミッシング)、そして「SNSのメッセンジャーで友達から届く詐欺動画」など、あなたをだますメッセージが毎日たくさん飛んできます。変な日本語もなく[…]
まとめ：
PayPayからのメールには十分に注意しよう
PayPayのフィッシングメールはこれからも増え続けるはずです。
しかしPayPayは高度なセキュリティ機能を持っているため、不正使用されるリスクは少ないですが、ユーザーがうっかりしたり、使い回していたパスワードが悪用されるリスクはあります。
これからもPayPayのメールには十分に注意を払い続けましょう。
あわせてご覧ください！「Amazonのフィッシングメール」は？
近年有名ブランドをかたる詐欺･フィッシングメールは激増中ですが、中でもAmazon をかたるフィッシングメールが被害の大部分を占めています。またAmazonになりすました不正なショートメール(SMS)も増えています。しかもフィッシングの[…]
「楽天のフィッシングメール」は？
激増中の有名ブランドをかたる詐欺･フィッシングメールの中で、楽天をかたるフィッシングメールはAmazon、LINEについで第3位の多さとなっています。楽天の詐欺ショートメッセージも増えてきました。実際に届いた楽天や楽天カードからのフィッ[…]
性的な行為をネタに脅してくる詐欺「セクストーション」とは？
「人の弱みにつけ込む」詐欺が、オンラインでも多発しています。特に「こんにちは」からはじまって「貴方のデバイスにハッカーがアクセスしています」あなたのオペレーティングシステムにアクセスしました」「恥ずかしい写真をばらまくぞ」などハ[…]
PayPayを使っているシニアの方にも共有しましょう
家にこもってスマホやパソコンを使う時間が増えましたが、その「隙を狙おうとするネット詐欺」も激増しています。特にネットに不慣れなシニア､高齢者の皆さんは大きなリスクにさらされます。シニア･高齢者の皆様が直面しがちな、いろいろな[…]
Digital Keeperお薦めのセキュリティソフト
やはりセキュリティ対策ソフトは必要です
現在のデジタル機器はセキュリティが強化され、昔のようにウイルスは簡単に感染しません。
そこで攻撃方法はユーザーをだます「フィッシング」によって、不正プログラムをインストールさせたり、偽サイトに誘導し個人情報を盗み取る手法に移行しています。
Windows10のセキュリティ機能(Windows Defender)は、ウイルスの侵入は防ぎますが、フィッシング対策はありません。
セキュリティ専門ソフトは、より強力な防御力と以下のような追加機能で、あなたとご家族の危険を確実に減らしてくれます。
- フィッシングサイト等、ネット上の危険なコンテンツへのアクセスを止める。
- フィッシングメールにだまされてURLをクリックしても「警告」して止める。
- 感染しても重要な個人情報の流出や不正送金を食い止める。
- ネット上にあなたの個人情報が流出していないか調査する。
- お子様のネットの利用時間や不健全なサイト利用を制限する。
- 紛失したスマホを探したり、データを削除する。
- 外出時に使う公衆wifiをVPNを使って安全に使用する。
※iPhoneは強固な構造のためセキュリティアプリは不要とされています。Androidスマホにはセキュリティアプリは絶対に必要です。
セキュリティソフトの選び方、買い方
セキュリティソフトの選択は、価格や広告で選んではいけません！無料なアプリはかえって危険につながることもあります。
- 世界各国で使用実績が豊富で、要求が厳しい企業向け製品にも実績のある
- 運営会社が信頼でき、国家からの干渉がなく､個人情報やデータの秘密が守られる
- 動作が軽く、機器使用の障害にならない
- ご自身だけでなく、ご家族のスマートフォン、タブレットもすべてカバーできる
製品ををおすすめします。
また､タブレットやスマホまで、トータルでカバーできて「子供が無くしたスマホを探す」など家中の機器すべてをまとめてセキュリティ管理でき、費用も大幅に安くできます。
購入は、店頭販売より、ダウンロード販売の方が安く、使用環境に併せて、数や機能を選択できるため、はるかに便利です。
家庭のパソコンやスマホの数(1台～10台)や使用期間(1年～3年)にあったものをお選びください。
お奨めのセキュリティソフトは？
Digital Keeperがおすすめしているのは「ノートン(Norton)」の製品です。
ノートンは1990年から販売されている世界でも指折りのセキュリティ対策ツールです。防御力は世界各地の第三者機関のテストで常に「最上」の評価で、しかも軽量です。
またノートン セキュア VPNという、wifiを安全に使えるVPN機能が標準で含まれているのも高評価です。
