【Bitdefender海外ブログ】ログイン情報を盗みマルウェアをインストールさせるSMSフィッシング攻撃

SECURIE HOME 2020.8.13

ツイート シェア 送る はてブ

携帯電話番号をターゲットとする新たなSMSフィッシング攻撃が米国で確認されました。この攻撃は、オンラインバンキングのログイン情報を窃取し、さらにデバイスに「Emotet」というマルウェアをインストールさせることを狙いとしています。

SMSフィッシング攻撃は「スミッシング」とも呼ばれますが、その手口はいずれも単純です。ターゲットが受け取るSMSメッセージには、有害なサイトに誘導するリンクが貼られています。このサイト自体がログイン情報の窃取を狙うフィッシング詐欺の仕掛けである場合もありますが、同じページがマルウェアのインストール誘導にも使用されることもあります。こうしたマルウェアは、デバイスをボット化して別のデバイスへの攻撃の踏み台にするなど、さまざまな目的で利用されます。

今回のスミッシング攻撃は、まさにこの手口が使われています。その目的は、ログイン情報の窃取や端末のマルウェア感染など、デバイスに可能な限りダメージを与えることです。銀行口座が凍結されると警告するSMSからそこに貼られたリンクをターゲットが開くと、銀行のサイトに似せた、ドメインが異なるウェブサイトにリダイレクトされます。

IBM X-Forceのセキュリティ専門家は、「調査の結果、このドメイン上で、難読化された有害なPowerShellスクリプトを含むファイルが発見されました。このスクリプトは、Emotetへの感染を狙うさらに別のドメインに誘導するためのものです」と話します。ここには、マルウェア「TrickBot」で使われている既知の難読化技術が使用されているため、今回の攻撃は、このTrickBotと関連している可能性があります。

スミッシングは、フィッシング（メール経由の詐欺）やビッシング（通話経由の詐欺）と同種のもので、ターゲットを騙してログイン情報を第三者に提供させることを主な目的としています。セキュリティソリューションは、PCやモバイル、iOS、MacOSなど、どんなプラットフォームにもインストールすることをおすすめします。これにより、フィッシング攻撃を未然に検出し、マルウェアのインストールを防ぐことができます。

スミッシングを見分ける方法は？

詐欺的なSMSメッセージやメールと、そうでないものを見分ける方法をここでお伝えします。

• 銀行口座が凍結されたという内容のものや、個人情報の確認を要求するものに注意してください。あるいは期限内に認証しない限り、違約金や罰金が科せられるなどとして急がせようとするものも同様です。

• 本文に文法的に不自然な点がないか、あるいはドメイン名に誤記がないか確認してください。詐欺的なものは文字が一部抜けていたり、スペルが違っていたりすることがあります。

• ユーザー名、パスワード、社会保障番号、クレジットカード番号、セキュリティコード、暗証番号などの機密データは、オンライン経由では絶対に提供しないようにしてください。

• 基本的に、知らない送信者から届いたメールやSMSメッセージに記載されたリンクは、絶対に開かないでください。できれば、URLはブラウザーに直接手入力してください。SMS内のリンクをクリックすると、他の不正なウェブページにリダイレクトされることもあります。

• リンクをクリックしてしまった場合は、ブラウザーでそのリンク先が開いたあとでURLを確認してください。メールやSMSに記されたリンクは、問題のないもののようでも、ブラウザーには実際のアドレスが表示されます。企業の公式ウェブサイトは安全なHTTPS接続で表示され、また独自ドメイン（PayPal.com、Netflix.comなど）が使用されています。このため、ウェブサイトが独自ドメインでホストされていない、または安全ではないHTTP接続が使われている場合は、まず怪しいと考えてください。

• 上記を確認しても、公式の送信元から送られたらしきメッセージが本物であると確信が持てない場合は、送信元とされる企業や組織に連絡して、実際にそのメッセージを送ったかどうか、必ず確認を取るようにしてください。

翻訳元記事　Attackers Use SMS Phishing to Steal Credentials and Install Emotet Malware

自分をサポートする技術を使おう

フィッシング詐欺のように、見えない、判別しにくい脅威には、専用のセキュリティを利用することをお勧めします。SECURIEなら、ネットの入り口に設置するだけで、ネットワークを見える化し、すべての機器を保護します。PCやスマホはもちろん、セキュリティソフトを入れることができないNASやウェブカメラなども、フィッシング攻撃・ランサムウェア・不正アクセスの被害から守ります。

「ご家庭」への導入はこちら