日々進化を遂げているフィッシング詐欺。私（耕平）はこれまで数々の手口を取り上げてきたが、今回遭遇した『楽天銀行』を装う詐欺には驚愕した。

といっても複雑な手口ではない。むしろ極めてシンプルだ。ただ、シンプルゆえに、危険度は最大級レベルと言っても差し支えないだろう。しかも、2024年5月になってから以前より頻繁に偽メールが送られてくる……。

というわけで、その手口の一部始終を紹介していくぞ！

・入口の偽メール

ちなみにいつもは、「『東京水道局』を名乗るフィッシング詐欺」のときのようにPCの画面で解説しているが、今回は極めてシンプルということもあり、スマホの画面で解説していきたいと思う。

まずは入口の偽メールを見ていこう。

件名は「楽天銀行からのお知らせ［ATM入金を行いました］」で、内容は入金の通知とマイページにログインを促すもの。至ってシンプルだ。

その他にも「【楽天銀行】アカウントのセキュリティに関する重要なお知らせ」という偽メールも確認している。なお、送信元のメールアドレスはドメインが「.cn」という、中国のものが使われていた。

このメールにはいくつものURLが貼られているが、個人情報を抜き取るフィッシングサイトに誘導するのは1番上のリンクだけだ。その他はすべて本物の楽天銀行のサイトに飛ぶ仕組みになっている。

・超シンプルで危険なフィッシングサイト

それでは今回、個人的に危険度MAXレベルと警告するフィッシングサイトを見ていこう。先ほどのリンクをクリックすると、楽天銀行のログイン画面を模したページに飛ばされる。

ID・PASSを登録するフォームだが、ページだけ見ると本物と見分けがつかないくらいに巧妙な作りだ。ただ、URLをよく見ると明らかにおかしいのがわかる。

ここですべてのフォームに「1」のみを打ち込む、通称「1攻め」で潜入を試みる。ちなみに、この方法は「ANA」を装うフィッシング詐欺などでも試したものだ。

すると……

本物の楽天のサイトに飛ばされた。

・このフィッシング詐欺の恐ろしいところ

今まで本サイトで紹介してきたフィッシング詐欺は、クレジットカードなどを入力させるものが多かった。具体的に言うと……

フィッシングサイトにログイン
↓
名前やメールアドレスなどの個人情報を入力
↓
クレジットカードやプリペイトカードなどの番号を入力
↓
本物のサイトに飛ばされる

といった流れである。ところが、今回の楽天銀行を装うフィッシング詐欺はID・PASSのみを抜き取るタイプだ。

これは非常にシンプルだが、実は1番怖かったりする。なぜなら……

「ログインできれば何でもできちゃうから」

これに尽きる。振り込みはもちろん、個人情報などの抜き取りもログインしてしまえば、ある程度可能だ。

しかもログイン画面から楽天銀行のホームページに飛ぶので、この時点で怪しいと思っても “あとの祭り” 。すでにID・PASSを入力してしまっているため、登録内容を書き換えられている可能性がある。

・最近よく見る手口

実はこれ、最近のフィッシング詐欺でよく見られる手口だ。特に多いのは、ログイン画面からID・PASSを打ち込んだら、承認待ちを意味する「グルグル」が画面に表示されるパターン。

この画面が永遠に続き、その間に入力された情報を元にログインされ被害に遭うというケースが昨今増えているようだ。

・防止策

また、楽天銀行からも「楽天銀行をかたるフィッシング詐欺にご注意ください」と注意喚起が出ている。したがって、毎回言っているが……

「メールやSMSから直接サイトにアクセスしないこと」

防止策はこれ1択といっても過言ではないので、被害に遭わないように常に心がけてほしいと強く願う。

参考リンク：楽天銀行「楽天銀行をかたるフィッシング詐欺にご注意ください」
執筆：耕平　
Photo：RocketNews24.