最近では、迷惑メールが届く以前に、メーラーやメールプロバイダのフィルタリングリストに引っかかるため、目に入ることが少なくなりました。
ただそんな中でも、必要なメールが迷惑メールに振り分けられていたりして、迷惑メールフォルダを覗く機会もあると思います。
私も今回、たまたまメーラーの迷惑メールフォルダをチェックしたところ、DQ10（ドラゴンクエスト10）の運営であるスクエアエニックスの名を騙った、非常によく出来たフィッシング詐欺を見つけましたので紹介します。
とはいっても、私DQXやってません
まあもちろん自動的に振り分けられて迷惑メールフォルダに入っていたこと、そもそもDQXをやったことがないので引っかかることはありませんでした。
ですが、もし仮にDQXのアクティブユーザーがこのメールを運営からのものと認識して開いてしまった場合、かなりの確率で騙されてしまうような精巧なものでした。
最近のフィッシング詐欺はHTMLメールを使ってくる
上の画像が今回届いたフィッシング詐欺の迷惑メール。
メールタイトルは「[スクウェア・エニックス アカウント]のお知らせ」となっており、勘の良い人ならば大括弧のよくわからない区切りで気づきそうです。
送信者は"autoinfo_jp(アットマーク)account.square-enix.com"。もし最後のアンダーバーとjpがなければ、非常に分かりにくいかもしれません。
それにしても注目すべきはメールの自然さ。しっかりとスクエニメンバーズのロゴを使い、解像度の高いゲーム内画像、自然な日本語。
文章を一読しても、疑問を挟む余地は少ないと言わざるを得ません。
だいたい詐欺メールというのは、いかにもなテキストメールにつたない日本語というのが定石でしたが、このメールはすべてにおいて高いレベルでまとまっており、中国の詐欺業者の本気度に驚きます。
さて、フィッシング先のアドレスを確認してみましょう。
青色のハイパーリンクに表記してあるもののリンク先が、左下のステータスバーに表示されています。
"hiroba.dqx.jp.erul.usa.cc..."と、流石にここはどうしようもないのか、怪しいアドレスですね。ちなみにクリックすると、 Google Chromeでは詐欺サイトの可能性が高いと警告が出ました。優秀。
アクセスしてみた
どうやらむこうの目的は、DQX利用者のログインIDとパスワードを盗むことのようですので、不正なソフトウェアをインストールされたりする心配はなさそうです。
というわけで、Chrome先生の警告を無視して入ってみました（一応シークレットブラウズモードで）。
おお、すごい。
メールだけがちゃんとしているのではなく、詐欺サイトの方も想像以上にしっかりと作りこまれています。クリックして怪しいサイトなので気づく、というパターンも減りそうなくらいの手の込みようです。
感心したのが、ページ中のリンクを上手くスクエニ公式のほうに分散させて、怪しい接続先をカモフラージュしていること。
新規登録やワンタイムパスワードを発行するトークンの解除など、ユーザの情報を取得できるものは中国の偽サイトへ、その他、ID・パスワード問い合わせだったりサポートセンターなんかは日本の公式サイトへ、といった風に作ってあり、なるほど上手くやっているなと思いました。
ちなみに現在、新規登録などの偽サイトへのリンクは404エラーを吐きます（中国語で）。
適応にフォームにIDとパスワードを入力すると出てきたのがこの画面。
最後の最後まで個人情報を絞りとってやろうという魂胆がみえますね。入力しようがしまいが確認ボタンを押すと、どっかに一瞬接続した後（ここで詐欺業者に送信されている）、すぐにスクエニのサポートトップページへリダイレクトします。
詐欺被害に合わないためのポイント
今回は迷惑メール・フィッシング詐欺の手法の進歩に驚くばかりでしたが、最後に自衛手段を列挙しておきます。
ハイパーリンクの実際のリンク先をしっかりと確認する
アドレスの中をよく見ましょう。
特に.jpや.comといったドメイン名の後に、スラッシュ（ / ）を挟まずに、loginだとかuserだとか、よくわからない文字が入っている場合は危険です（例：square-enix.co.jp.login）
詐欺サイト・フィッシングサイトを警告するブラウザを使用する
Google ChromeやFirefoxなどの最近のセキュリティ機能が導入されているブラウザは、危険なサイトにアクセスする前にワンクッション置いて警告ページを表示してくれます。
これらの警告ページはユーザーからの報告を元にフィルタリングリストを作っているため、信頼性は高いです。
メールフィルタリングを行う
そもそもメールが届かなければ詐欺メールが目に入ることもありません。モバイル大手3キャリアでは独自のメールフィルタを提供していますし、Yahoo!MailやGmailといったフリーメールでも、かなり精度の高い迷惑メールフィルタが使用できます。
危険なメールには最初から触れないようにしておくというのも、れっきとした自衛策です。
公式サポートに問い合わせる
迷惑メール本文中のリンクからではなく、検索やブックマーク、ゲーム中のサポートページから公式サイトへ行き、サポートに聞いてみるというのも良いでしょう。運営側としても、新たな詐欺手段の発見・予防にも繋がるため、被害を防ぐための有用な情報となりえます。
フィッシング詐欺・迷惑メールの内容は、近年ますます巧妙化してきており、ユーザ一人ひとりがしっかりと自衛することも大切です。メールに書いてあることをすべて鵜呑みにせず、注意を払うようにしましょう。
