② ユーザーをだますフィッシングメール、2つの「From」をなぜ偽装できるのか

◎ サービスや企業になりすましてユーザーをだますフィッシングメール。被害に遭わないためにも、最新のフィッシングメールがどんなものかを知っておくことが重要だ。

フィッシング対策協議会では、多くのユーザーに悪影響を与えそうなフィッシングメールが見つかると、Webサイトで文面やフィッシングサイトへのリンクに使われるドメインなどを公開している。フィッシングメールを見た目で判別するのは難しいが、最新情報を知っておくことでなりすましに気付くきっかけになる。

画１、フィッシング対策協議会が公開する最新のフィッシングメール。メールの件名や文面、フィッシングサイトへのリンクに使われたドメイン、リンクをクリックしたときに表示される内容などを紹介している。

 

さらに、攻撃者の手の内を知っておけば、適切な対策にたどりつきやすくなる。そこで、2023年9月以降に確認したフィッシングメールで使われている「だましのテクニック」や、今後増えてくるとみられる「AIを使ったフィッシングメール」を見ていこう。

メーラーに表示される送信元を偽装する。

実際に編集部員のYahoo!メールに届いたフィッシングメールを見てみよう。文面は通販サイトの「Amazon」を装ったもので、メールクライアントのソフトやサービス（メーラー）で表示される送信元（From）には「Amazon.co.jp」と表示されている。

画２、編集部員に届いた「Amazon」をかたるフィッシングメール。メーラーの「from」には「Amazon.co.jp」と表示され、送信元メールアドレスのドメインは「amazon.co.jp」だと分かった。

このフィッシングメールの送信元メールアドレスのドメインを確認すると、「amazon.co.jp」だと分かった。同じようにAmazonを装い、Fromに「Amazon.co.jp」と表示されたフィッシングメールでも、送信元メールアドレスのドメインはAmazonと全く関係ないドメインだったケースも見つかっている。

フィッシングメールを送る攻撃者は、どのような方法で偽装しているのか。まずFromの表示は、多くのメーラーが設定画面で容易に指定できるようになっている。Yahoo!メールの設定画面では、Fromの表示以外に返信先メールアドレスの指定も、自由に設定できることになっていた。ただ、送信元メールアドレスを外部のメールアドレスに変更するときは、そのメールアドレスの使用者でないと設定できない。よって、偽装は難しい。

画３、メールの送信元（From）や返信先メールアドレスを設定する画面。メールを送るアカウントのドメインとは全く関係のない表示やドメインを指定できる。

NECサイバーセキュリティ戦略統括部の青木聡セキュリティ技術センター長は、「攻撃者は自身で用意したメールソフトを使って偽装しているのではないか」と話す。メールのFromやメールアドレスの情報は「ヘッダーFrom」と呼ばれ、送信するメールソフトが付与する。攻撃者がヘッダーFromを書き換えられるメールソフトを使えば、送信元メールアドレスも偽装できてしまう。