2022/02/21
詐欺メールに注意！料金未納などauやKDDIを装う偽メッセージ事例や対策を紹介
auやKDDIからの未納のお知らせや重要なお知らせを騙り、フィッシングサイトへのクリックを誘導する迷惑メールや詐欺メールが増えている。特に最近ではSMSによる連絡が増えているが、本物の連絡と見分けがつきにくいものが増えてきたため、その事例やクリックしてしまった場合の対策について、KDDIで不正利用対策を専門にするシステムセキュリティ部の監修のもと、詳しく解説する。
auやKDDIを騙る悪質なSMSの事例
いったいどのような文面で、auやKDDIを騙っているのだろうか。まずは実際に相談にあった方から情報提供を受けたSMSメッセージ例を紹介しよう。もし下記のような料金未払いや支払い督促などのメッセージが届いたとしても、そのメッセージに記載されているURLはそのままクリックせず、まずは本当にauやKDDIからの連絡かどうか、公式アプリで請求や支払い状況を確認してほしい。
・事例1：料金未払い
【利用停止予告】KDDI未払い料金お支払いのお願い。https://◯◯◯◯◯◯
・事例2：利用料金超過
【KDDIからのお知らせ】ご利用料金が設定した金額を超えました。ご確認が必要です。https://◯◯◯◯◯◯
・事例3：未払いの督促
auお客様センターです。ご利用料金のお支払い確認が取れていません。ご確認が必要です。https://◯◯◯◯◯◯
・事例4：au ID一時停止のお知らせ
お客様のau IDが一時停止されております。ご確認ください。https://◯◯◯◯◯◯
・事例5：auかんたん決済への不正なログイン通知
お客様のauかんたん決済に異常ログインの可能性があります。WEBページで検証をお願いします。https://◯◯◯◯◯◯
・事例6：回線停止のお知らせ
重要なお知らせです。お客様がご契約頂いている電話回線契約にて違反が発覚した為、本日中に回線を停止致します。https://◯◯◯◯◯◯
・事例7：訴訟最終通知のお知らせ
KDDIカスタマーサポートセンターです。利用料金に関する訴訟最終通知の御連絡です至急御連絡下さい。https://◯◯◯◯◯◯
これらのSMSメッセージは知らない番号からの連絡がほとんどだが、慌ててクリックする人を狙うような、不安をあおる文面が多い。また、やっかいなのが、実際にクリックした先で表示される偽サイトが正規サイトとそっくりに作られているため、見た目だけでは偽サイトか正規サイトか判断つきにくいことだ。
auの未払い料金を騙るフィッシングサイトの画面イメージ
URLを注意深く見れば偽サイトだとわかるのではと思うかもしれないが、正規サイトと似たURLを使い判別することが難しいケースもある。そもそも正確に一字一句間違わずに正規サイトのすべてのURLを知っている人は少ないだろう。見間違いや似た文字を利用されることも考えると、やはり知らない番号から通知されたURLはクリックせず、公式アプリや公式サイトから状況を確認するクセをつけることが一番の対策だ。
では、万が一、URLをクリックして、フィッシングサイトでIDやパスワードを入力してしまうとどういうことが起きるのか。実際の被害例を元に解説しよう。
フィッシング詐欺やスミッシング詐欺の被害例
・被害例1： ECサイトで物品を購入されてしまう
まずは、悪意者に転売性の高い物品を勝手に購入されてしまう被害例だ。フィッシングサイトでIDとパスワードを入力してしまうと、そのIDやパスワードが悪意者に盗まれた結果、My auやMy UQ mobileなどにアクセスされ、契約住所や請求先住所、通知先メールアドレスが変更される。そうやって悪意者が受取先や通知先を自分宛てに変更した後、au PAYマーケットなどECサイトで物品を購入してしまい、請求被害に遭ってしまうというわけだ。物品は転売性の高いものであれば、人気ゲーム機のような有形物品だけでなく、iTunesカードやAmazonギフトカードなど、無形物品もその対象になる。
・被害例２：オンラインショップで不正に機種変更されてしまう
また、最初の手口と似ているが、同じくIDやパスワードが盗まれることで、物品の購入だけでなく、知らない間に機種変更手続きを申し込みされ、回線ごと乗っ取られるケースも報告されている。その場合、被害例1のような金銭的被害だけでなく、電話自体が別の犯罪に悪用されてしまうこともあるため、次に紹介する対処法に倣って被害を最小に食い止めるかが大事なポイントとなってくる。
万が一クリックしてしまった時の対処法
では、もし偽サイトと思われるURLをクリックしてしまった場合はどうすれば良いのか。もし間違って偽サイトにアクセスしてしまっても、そのサイトで何も操作していなければIDやパスワードを盗まれていない。しかし万が一、IDやパスワードを入力してしまった場合は、以下のauを例にした対処法を実行することで、被害発生の可能性を抑えるようにしよう。
・au IDのパスワードを変更する
・2段階認証を解除する
・auかんたん決済の連携中サービスを解除する
・暗証番号を変更する
・契約住所、連絡先メールアドレスなどが変更されていないか確認する
・不審なアプリをアンインストール（削除）する
※詳細は、auのHPも参考にしてもらいたい。
それでも被害に遭ってしまった場合はどうしたらよいか。警察に相談の上、金銭的被害であれば請求元の会社に、auやUQなどの回線に関係する被害であればお問い合わせ先に速やかに連絡してほしい。
フィッシングメールに騙されないためには？
最後に、このようなフィッシング詐欺やスミッシング詐欺に遭わないよう未然に防ぐ方法を紹介する。
・身に覚えのない、不安を煽るようなSMSやメールに記載されているリンクは不用意にクリックしない
・ログインする場合は必ず公式アプリや予め登録したブックマークからアクセスしてログインする
・2段階認証のメールが送られてきたら、リンク先に記載されている内容（日時や端末等）に不審な点がないかしっかり確認する
・アプリのインストールは公式サイトから
年々巧妙化が進むフィッシング詐欺。次々に新しい事例が出てくることに加え、不安を煽る内容が多い。そのため疑うことを忘れてしまいそうになるが、今後も最新の事例と対策を発信していくので、記事を参考に、自ら身を守ることを心がけてほしい。
文：TIME&SPACE編集部
