最近、クレジットカード会社を騙ったフィッシングメールの被害が拡大していますが、これまでにないほど「見分けにくい」非常に危険な偽メールが確認されています。
「セゾンカードでメルカリの決済25万円が完了していない」といった不安を煽る内容で偽サイトへ誘導する手口ですが、最大の問題点は実在するIT企業の正規ドメインから送信されているという点です。
なぜこのようなメールが届くのか、そのカラクリと私たちが取るべき対策を分かりやすく解説します。
実際に届いた偽メールの巧妙な文面と手口
今回確認されたのは、セゾンカードを騙る不審なメールです。
- 件名： 「利用内容確認のご依頼」
- 差出人表示名： セゾンカード
- 本文内容：
- セゾンカードのロゴとともに「CARD USAGE NOTICE」「利用内容の確認」と記載
- 利用先：メルカリ
- 利用金額：254,100円
- 末尾に「利用内容確認の回答はこちら（所要時間：30秒）」というリンクボタン
身に覚えのない25万円を超える高額利用を表示し、カード利用者の不安を強烈に煽った上で「急いで確認しなければ」と思わせ、リンクボタンをクリックさせる手口です。
なお、今回の事例では利用先が「メルカリ」とされていましたが、SNS上（Xなど）では「ヨドバシカメラ」や「楽天市場」など、他の有名サービスを装った類似メールも多数報告されています。普段使わないサービスであれば「怪しい」と警戒できますが、日常的に使っているサービス名が書かれていると、うっかり騙されてしまうリスクが高まります。
なぜ見分けられない？原因は「アララメッセージ」への不正アクセス
通常、詐欺メールは差出人のメールアドレス（ドメイン）が支離滅裂な文字列になっており、アドレスを確認すれば見破れるケースが多くありました。
しかし、今回の偽メールの送信元アドレスは news@arara.com となっています。
「arara.com」は、企業向けメール配信サービス「アララメッセージ」を提供するアララ株式会社の正規ドメインです。つまり、悪意ある第三者が「アララメッセージ」に不正アクセスし、正規の配信システムを乗っ取って偽メールを大量送信したとみられています。
時事通信などの報道によると、不正アクセスを受けたのは10月下旬で、カード会社を騙る不審メールは最大約713万件送信されたとされています。アララ社は10月31日にサービスの提供をすべて停止し、「心当たりのないメールのURLには絶対にアクセスせず、返信や添付ファイルの開封、個人情報の入力をせず直ちに削除してほしい」と注意を呼びかけています。
本物の配信システムから送られているため、従来の「送信元アドレスの確認」だけでは見破れないのが今回の非常に恐ろしいポイントです。
被害に遭わないための対策・心得
攻撃の手口はどんどん巧妙化しており、漏洩したメールアドレス宛てに「本物の配信サービスを経由して偽メールが届く」という時代になっています。
不安を煽るメールを受け取ったときこそ、一呼吸置いて冷静に行動することが重要です。以下の対策を徹底しましょう。
- メール内のリンク（URL）は絶対にクリックしない どれほど本物らしく見えても、メールに記載された「確認はこちら」などのボタンやURLをそのまま押してはいけません。
- 利用状況の確認は「公式アプリ」か「ブックマーク」から カードの利用明細や警告内容を確認したい場合は、必ず自分でスマートフォンにインストールしている公式アプリを起動するか、あらかじめ登録しておいた公式サイトのブックマークからログインして確認してください。
- カード会社の公式注意情報を知っておく セゾンカード側も以前から「ご利用確認のお願い」「ポイント失効」などを騙るフィッシングメールへの注意を呼びかけています。不審に思ったら、まずカード会社の公式サイトで同様の詐欺事例が報告されていないか確認しましょう。
「実在する企業の正規メールアドレスから届いた」からといって、100%安全とは言い切れないのが今のフィッシング詐欺の現状です。
「高額請求」や「アカウント停止」など、心を揺さぶるメールが届いたときほど落ち着いて、「メールのリンクは踏まず、公式アプリやブックマークから確認する」という習慣を身につけて身を守りましょう。
Let’s redoing!
#詐欺被害 #貧困層 #マイノリティ #弱者 #人権 #年収 ＃障害者 #ビジネス #再スタート #挑戦 #言葉