FedExさんありがとう、おかげでフィッシング詐欺が捗るよ（2024年版）

FedExの仕様やメールの仕組みが、皮肉にもフィッシング攻撃を容易にしているという現状に対する批判的な投稿です。ユーザーのセキュリティ意識を逆手に取った巧妙な手口がいかに蔓延しているか、その実態とFedExの対応への不満が示唆されています。

正直なところ、.xyzのようなgTLDが無差別に増えすぎていて、ITに詳しくない人がフィッシング詐欺のリンクを踏まないようにする難易度が上がっている気がする。とにかく数が多すぎるんだよね。もちろん、これらが存在しなかったとしても「fedex-secure-delivery-approval.com」みたいなドメインを使ったフィッシングは行われるだろうけどさ…。トップレベルドメインのリスト: https://data.iana.org/TLD/tlds-alpha-by-domain.txt

最近の例だけど、クラウドストレージの容量不足を装うスパムメールが絶えない継母のところに、Googleから「ストレージが75%埋まっている」という本物らしいメールが届いたんだ。でもリンク先が全部 c.gle というドメインで、c.gle をwhoisで叩くと「getaddrinfo(whois.nic.gle): Name or service not known」というエラーが出る。ちなみに gle はwhoisで引けるんだけどね。俺自身 c.gle が正規のものなのか判断できなかったし、継母なんてなおさら分かるわけがない。

IRS（内国歳入庁）でも似たような問題があるよ。IRSに電話すると、IVR（自動音声応答システム）の音声生成にテキスト読み上げソフトを使っているんだけど、これが詐欺グループも使う汎用的な商用システムと同じなんだ。だから声が全く同じに聞こえる。しかも機械的でいかにも怪しいから、電話をかけている番号が本物かどうかを判断する材料にもならないのが痛いね。

職場での話を思い出したよ。社内ドメインでフィッシング対策の研修を受けた数日後に、別のドメインから「別の研修を受けろ」っていうメールが届いたんだ。その1週間後、研修の受講率が低すぎると経営陣から文句を言われたんだけど、みんな「フィッシング対策研修で習った『怪しいメールの典型例』そのものじゃないか」と思って無視してたんだよね。

これ、すごくよく分かる。2年前にFedExから荷物の詳細を入力しろっていう通関通知が来たんだ。FedExの誰かから、PDFが添付されただけの素っ気ないメールでさ。心当たりなんて全くなかったよ。チャットボットとやり取りしても人間には繋がらないから、いろいろ「プロンプトエンジニアリング」を駆使して、ようやく人間のコンサルタントに繋いで「本物の通知だ」と確認が取れたんだ。PDFを開いたら誰かの個人情報が入力済みで、黒塗りも四角い枠を被せただけというお粗末な隠蔽（枠を動かせば下のデータが見える）だったし…。結局、海外の協力者からのサプライズ荷物だったんだけど、今でもFedExのロゴを見るたびに詐欺を疑う嫌な後味が残ってるよ。

オーストラリア通信メディア庁（ACMA）が最近、3億3600万件の詐欺SMSをブロックしたと報告した。

オーストラリアはSIMカードを買うときに身分証明書の提示が必須なんだけどね。

FCC（連邦通信委員会）も今、米国内のすべての電話回線に対して公的身分証、現住所、予備の電話番号の提示を義務付けるルールを提案してるよ[1]。

電話回線にKYC（本人確認）を導入したところで、IDの流出が増えるだけで、結局詐欺師に金を巻き上げられるアメリカ人が増えるだけじゃないかな。

facebookmail.comから来るメールが本物かどうかを見極めるのに、かなりの時間を費やしてる。

Chase銀行は「こちらから折り返す」と言ってきて、その後に本人確認を求めてくるよ。あれが不正対策部署のやり方なんだ。知らない番号は信じるな、と言い聞かせている側なのにね。

技術に疎い年配の経営陣に、この状況をどう説明すれば伝わるだろうか。「『ちゃんとしたセールスマン』だと言い張る奴が、酒臭いヨレヨレのスーツ姿で現れて、『バックに白いバンを停めてあるから、そこで商品を見せてやる』と言ってきたようなものだ。しかも、まず最初にギフトカードで代金を支払うことを証明しろ、と要求してくるんだよ」

カリフォルニア州サニーベールに住んでいたとき、「my-alarm-license-renew.info」で警報器のライセンスをオンライン更新しろというテキストメッセージが届いたんだ。実際サニーベールでは住宅用警報器のライセンスが必要なんだけど、どう見ても詐欺だと思って市役所に電話したよ。URLは本物だったらしく、なぜ疑われたのか不思議がられたよ。（ちなみに手数料の1.5ドルを払いたくなくて小切手を郵送したんだけど、今となっては小切手の半分が郵便物として盗まれる時代だから、あの時でよかったよ。）