サイバー犯罪の手口は、日々巧妙化しています。中でもネット利用者の心の隙を突く手口は近年特に顕著になっています。最新の手口を知り、情報や金銭をだまし取られないための6つの対策を実践しましょう。

近年、ネット利用者から情報や金銭をだまし取る手口として、ソーシャルエンジニアリングによる被害が目立つようになってきました。ソーシャルエンジニアリングとは、人の心理的な隙につけ込んで特定の行動を相手にとらせる手法のことです。

実在する金融機関やネットサービスなどに偽装したメールやメッセージで、「パスワードの有効期限が迫っている」「時間内にアカウントの再開手続きをしないとアカウントが無効になる」などと通知し、メッセージ内の不正なURLリンクから偽サイト（フィッシングサイト）に誘導し、認証情報やクレジットカード情報などを窃取する手口はその典型です。

そのほかにも、「ウイルスが見つかりました」などの偽のセキュリティ警告を日本語で読み上げたり、Webブラウザ上に表示したりして、偽のサポートセンターへ電話するよう仕向けるパターンもあります。これらはサポート詐欺と呼ばれ、実体のない有償のサポート契約を結ばせて金銭や情報をだまし取る手口です。

このような偽のセキュリティ警告の手口には、「システム破損」などの偽の警告文を介して不正サイトへ誘導し、システム修復やウイルス除去の名目で迷惑ソフトをインストールさせたり売りつけようとしたりする手口もあります。
どちらの手口も警告画面で利用者の不安をあおったり、対応を急かしたりすることで利用者の判断力を鈍らせることが狙いです。

不安をあおる手口でさらに悪質なものがネット恐喝です。「アダルトサイトを見ているときの様子を撮影した動画をばらまく」といった偽のメールを不特定多数に送りつけて、それを本物と誤認した受信者から口止め料を脅し取るセクストーション（性的脅迫）の手口も確認されています。この脅迫メールでは、送信元メールアドレス（From:）を受信者自身のメールアドレスに偽装したり、受信者が何らかのインターネットサービスで実際に使用していたものと考えられるパスワードを表題や本文に記載したりして脅迫内容を信じ込ませようとします。

サイバー犯罪者は、著名な企業やサービスを無意識に信用してしまう人の油断にもつけ込みます。たとえば、実在する配送業者の不在通知を装うSMS（ショートメッセージサービス）を送りつけ、受信者をフィッシングサイトや不正アプリの配布サイトへ誘導する手口が確認されています。大手ショッピングサイトをかたって「心当たりがない場合はキャンセルしてください」などと呼びかけ、URLリンクを開かせる注文確認メールも存在します。さらには、アンケート協力と称して、謝礼を餌にクレジットカード情報を窃取する手口も確認されています。有名な企業やサービスであっても過信せず、認証情報や決済情報の入力を行う前には、必ずその真偽を確認しましょう。

法人を狙うフィッシング詐欺にも注意が必要です。近年業務システムにクラウドサービスを活用する法人が増加する中で、メールシステムはその代表例です。このクラウドメールサービスを利用する法人において、使用者である従業員がフィッシング詐欺により認証情報をだまし取られてしまうといった被害が発生しています。認証情報を窃取されてしまった場合には、アカウントの悪用に留まらず、メールのやり取りが筒抜けになることで、その後の詐欺や別のサイバー攻撃に利用されてしまう可能性があります。

法人が利用するクラウドサービスの認証情報を狙ったフィッシング詐欺の手口としては、システム担当者をかたって再ログインを促すメールを従業員に送りつけ、そこからフィッシングサイトへ誘導したり、メールの認証情報を尋ねたりすることで従業員から認証情報を窃取します。

このようにして盗まれた業務メールのアカウントは、ビジネスメール詐欺（Business Email Compromise、BEC）の準備段階として悪用されるケースもあります。ビジネスメール詐欺は、業務メールの盗み見を発端として経営幹部や取引先などになりすまし、金銭や特定の情報をだまし取るサイバー犯罪です。最高経営責任者（CEO）を装う送金指示メールで、犯罪者の口座に送金させる手口はその典型です。取引先の実在する人物をかたって偽の請求書を添付したメールを送りつけ、送金先の変更を依頼するパターンもあります。

ビジネスメール詐欺の成否は、標的企業の従業員をいかにして信用させるかにかかっています。このため、サイバー犯罪者は業務メールの盗み見を通じて標的企業の取引先や取引の進行状況、人間関係など、ソーシャルエンジニアリングに利用できそうな情報を収集します。その上で信ぴょう性の高いなりすましメールを作成、送信し、従業員から金銭や情報を巧みにだまし取るのです。ソーシャルエンジニアリングに利用できる情報の収集に当たっては、FacebookやLinkedInなどのSNSで公開している情報が利用されることもあります。