Facebookを乗っ取るためのメール詐欺

デジタル時代において、ソーシャルメディアアカウント、特にFacebookは、コミュニティをつなぐツールであるだけでなく、多くの個人情報、取引履歴、さらにはユーザーの収入までも含む「デジタル資産」でもあります。詐欺師はこれを理解し、偽のメールを送信してユーザーにアカウントを「引き渡す」よう仕向けるという巧妙な手口を駆使し、ますます巧妙化しています。

パニックの罠

ロンアン省警察によると、非常に洗練された手口を使った新たなオンライン詐欺キャンペーンがFacebookユーザーをターゲットにしており、正規のGoogleサービスを利用して電子メール保護システムを回避しているという。

具体的には、サイバー犯罪者はGoogleのコード不要のソフトウェア「Google AppSheet」を利用して、一連のフィッシングメールを送信しました。これらのメールはGoogleの「@appsheet.com」アドレスから送信されたため、Microsoftのドメインレピュテーションや認証メカニズム（SPF、DKIM、DMARCなど）に加え、セキュアメールゲートウェイ（SEG）も容易に回避され、被害者の受信トレイでは正規のメールのように表示されました。

各メールには固有のIDが付与されるため、従来の検出システムでは検出が困難です。これらのメールの内容はFacebookからの通知を装い、アカウントが知的財産権を侵害されており、24時間以内に削除されることをユーザーに通知しています。アカウント停止を回避するには、「異議申し立てを送信」ボタンをクリックするよう求められます。

クリックすると、被害者は Facebook のログインページと全く同じように見える偽のランディングページに移動します。

さらに、偽のページは評判の良いプラットフォームである Vercel でホストされており、詐欺全体の信憑性を高めています。

ここで、ユーザーがログイン情報と 2 要素認証 (2FA) コードを入力すると、このデータはすべて攻撃者に直接送信されます。

この手口はさらに巧妙で、偽サイトに初めてログインすると「パスワードが間違っている」と表示され、被害者は確認のためにパスワードを再度入力することになる。

さらに危険なのは、2FA コードが提供されると、犯罪者がそのコードを直ちに使用して Facebook からセッショントークンを奪取し、被害者がパスワードを変更した後でもアカウントへのアクセスを維持できるようになることです。

グエン・ティ・トゥー・Hさん（ハノイ）は、「あなたのFacebookアカウントはコミュニティ規約に違反しているため、24時間以内にロックされます」というメール通知を受け取りました。オンラインビジネスに使用していたアカウントを失うことを恐れた彼女は、すぐにメール内の「苦情申し立て」リンクをクリックしました。

ウェブサイトはFacebookのインターフェースと全く同じように見えました。彼女は何の疑いもなくユーザー名とパスワードを入力しました。数分のうちに、彼女のアカウントはハッキングされました。ハッカーは彼女のセキュリティ情報をすべて変更し、数十人の友人に融資を求めるメッセージを送りつけました。写真や非常に信憑性の高い情報も添付されていました。彼女の親しい友人の一人は、この事件に気付く前に1,000万ドンを送金していました。

注意は自己防衛

現在の詐欺状況を踏まえ、情報セキュリティ部門はメール利用者の皆様に警戒を呼びかけています。怪しいリンクをクリックしたり、出所不明のウェブサイトに個人情報を提供したりすることは絶対に避けてください。

ロンアン省警察サイバーセキュリティ・ハイテク犯罪対策局によると、たとえ信頼できる情報源から送信されたように見えても、緊急の対応を求めたり個人情報を提供したりするメールには細心の注意を払う必要があります。送信者のアドレスを必ず注意深く確認し、疑わしいリンクはクリックしないでください。

ケトノイ法律事務所（ハノイ弁護士会）所長のグエン・ゴック・フン弁護士は、ナレッジ・アンド・ライフ紙の記者に対し、デジタル時代において、偽メールなどの手口によるソーシャルネットワーク、特にFacebookアカウントの乗っ取りがますます蔓延していると述べた。多くの場合、犯罪者はアカウントを乗っ取った後、所有者になりすまして親族や友人を騙し、財産を横領している。

現行法の規定によれば、偽メールによってアカウントが乗っ取られた場合、当該ユーザーは被害者であり、共犯者や教唆者とはみなされません。したがって、アカウント所有者に故意や重大な過失がない限り、当該ユーザーは詐欺師による詐欺行為について刑事責任または民事責任を問われることはありません。しかし、ユーザーがアカウントが乗っ取られたことを知りながら、速やかに警告しなかったり、事案を報告しなかったり、あるいは過失や無責任により他人に損害を与えた場合は、2015年民法に定められた非契約損害賠償の原則に基づき、間接的な民事責任を問われる可能性があります。

アカウントが乗っ取られたことに気づいたら、自分自身や他人への被害を防ぎ、法的立場を守るために、すぐにいくつかの措置を講じる必要があります。アカウントがハッキングされたことを報告してください。これにより、Facebookはアカウントを一時的にロックし、攻撃者がアカウントを使い続けるのを防ぐことができます。同時に、偽メール、不審なログイン通知、アカウントから送信された不正なメッセージなど、異常な兆候を動画やスクリーンショットで記録してください。紛争が発生した場合や犯罪を報告する必要がある場合、この証拠は非常に重要です。別のアカウントを使用するか、知り合いにアカウントがハッキングされたことを広く知らせてもらい、疑わしいメッセージを受け取った場合は送金やワンタイムパスワード（OTP）や個人情報の提供をしないように注意を促してください。地元の警察に連絡して事件を報告し、法律に従って受付、捜査、処理を依頼してください。アクセスを取り戻した後は、パスワードを強力なものに変更し、すべての見慣れないデバイスでログアウトしてアカウントのセキュリティを確保してください。アカウントが詐欺や違法コンテンツの拡散に利用された場合は、他者に損害を与えないように、当局と連携して違反に対処する必要があります。

したがって、偽メールによってFacebookアカウントを盗まれた人は被害者であり、詐欺師の行為に対して法的責任を負うことはありません。しかしながら、積極的に報告、警告し、当局に協力することは、自身の権利を守るだけでなく、違法行為を防止し、オンラインコミュニティへの被害を最小限に抑えることにもつながります。いずれの場合も、ユーザーは冷静さを保ち、詐欺師に恣意的に反応したり、送金したりせず、常に当局と緊密に連携して、法的かつ効果的に事件に対処する必要があります。

フィッシング対策プロジェクトはウェブサイトを新バージョンに更新し、インターネット上の詐欺サイトを識別するためのチャットボットと AI ツールを追加しました。

ユーザーはウェブサイトchongluadao.vnにアクセスし、チェックしたいリンクを入力します。システムはリンクを不正防止データベースおよびサードパーティパートナーと照合し、ウェブサイトが安全か危険か、あるいは明確なデータがないかを結果で表示します。

AIを使用する場合は、「AIでさらに分析」をクリックしてください。この時点で、ツールは疑わしいドメイン名、違法コンテンツ、危険なリンクを含む、通常とは異なるホスティングを使用しているなど、様々な要素に基づいてウェブサイトを分析します。

上記のデータからAIが要素を統合し、10段階評価でリスク評価を行います。ウェブサイト上の情報や画像に関する疑わしい詳細も分析され、結果ページに表示されます。

アンチフィッシングプロジェクトは、サイバーセキュリティ専門家のNgo Minh Hieu氏によって2020年に共同設立され、安全でないウェブサイトへのアクセス時に信頼性チェックと警告を提供することを目的としている。ユーザーはchongluaodao.vnページで悪質なリンクを報告することでデータを提供できる。

出典: https://khoahocdoisong.vn/lua-dao-qua-email-nham-chiem-quyen-kiem-soat-facebook-post1550633.html