楽天証券から10月10日に「【緊急・重要】リアルタイムフィッシング詐欺にご注意ください！」とされるメールが送られてきました。このメールには楽天証券サイトへのURLリンクも掲載されていてフィッシングメールの怪しさ満載です。本当に楽天証券から送られているのであれば、メールの文面上にURLリンクは掲載しないでほしいと思いました。
たいていの場合、今回のように緊急とか重要といった煽り文句があるメールはフィッシング詐欺である場合が多いのですが、このメールの送信元メールアドレス、ドメインなどをチェックしても詐欺メールを疑わせる部分がなかったので、文面を読んでみました。
中身は楽天証券の絵文字を用いた他要素認証を突破する新たな犯罪手口が見つかったことを知らせるメールでした。送られてきたメールに推測を加えると下記のような流れになると思います。
- 被害者はメールやSMSなどで楽天証券の偽サイトに誘導してIDとパスワードでログインを試行
- このとき犯人はIDとパスワードをリアルタイムで奪って正規の楽天証券サイトへアクセスし1段階目のログインを突破
- 犯人は絵文字認証画面を正規サイトから搾取し偽サイトに表示 (想定)
- 被害者はメールで届いた二文字の絵文字を偽サイトに入力、犯人は二文字の絵文字を搾取し正規サイトにアクセスして二段階認証を突破
- 被害者は偽サイトに取引暗証番号を入力
- 犯人は取引暗証番号を搾取し、正規サイトで株式の不正取引を実施
楽天証券では下記の行為は絶対にしないように呼びかけています。
- 不審な送信元からのメールのURLを開かない。必ず送信元を確認。
- www.rakuten-sec.co.jp 以外から始まるサイトで、ログインID、パスワード、暗証番号や個人情報などを入力しない。
楽天証券ではもしも被害にあった場合には、お客様サポートページから「フィッシング詐欺などによる不正取引に関する問い合わせ」の窓口へ問い合わせるように呼びかけています。
楽天証券では2025年10月26日からパスキー認証を導入することを発表しています。もしも、パスキーが導入されれば、フィッシング詐欺への耐性は強化されます。犯人の視点で見れば、苦労してフィッシング詐欺のサイトを作っても、もはや賞味期間は2週間しかありません。このタイミングで新たな手口が出てくるとは思っていませんでしたが、今後も油断は許されません。
コメント