管理者があなたとファイルを共有したという詐欺

迷惑メールへの慎重な対応は、オンラインでの安全確保に不可欠です。特に、詐欺師がソーシャルエンジニアリングの手口を巧妙化させ続けている現状ではなおさらです。最近の事例の一つが「経営陣があなたとファイルを共有しました」詐欺です。これは、被害者のメール認証情報を収集し、深刻なセキュリティリスクにさらすことを目的とした詐欺キャンペーンです。

職場のコミュニケーションを装った欺瞞的なメッセージ

詐欺は、企業の経営陣を装ったメールから始まります。件名は様々ですが、よく見られるものの一つに次のようなものがあります。
「[Email_Address]: EFT/ACH メッセージが届きました: アクションが必要です - REF:177440b5f013274f5b39f36057f8a423。」

メッセージには、「End_of_Year_Bonus_Statement_2025.pdf」というタイトルの文書が受信者に共有されたと記載されています。この文書は実在せず、メッセージは正当な雇用主、組織、またはサービスプロバイダーとは一切関係がありません。このメッセージの真の目的は、ターゲットに「開く」ボタンをクリックさせ、「シングルページPDFビューアー」を装ったフィッシングサイトに誘導することです。

ボタンの裏に潜むフィッシング詐欺

リンク先のページは、ユーザーにメールアカウントの認証情報を使ってログインするよう促します。入力されたデータはすべて詐欺師によって取得され、リモートサーバーに転送されます。サイバー犯罪者はメールアカウントへのアクセスを取得すると、クラウドストレージプラットフォームから銀行ポータルまで、そのアカウントに関連付けられた他のサービスにも侵入を試みることがよくあります。仕事関連のアカウントは特に重要で、ランサムウェア、スパイウェア、トロイの木馬、その他のマルウェアを企業ネットワーク全体に拡散させるための入り口となる可能性があります。

盗まれたアカウントがどのように悪用されるか

攻撃者がメールアドレスの乗っ取りに成功すると、その影響は甚大になる可能性があります。盗まれた個人情報は、家族、同僚、ビジネスパートナーに金銭を要求するために利用される可能性があります。金融ポータルサイトを通じて不正な購入が行われる可能性もあります。また、詐欺師は乗っ取ったアカウントを利用して悪意のあるファイルやリンクを拡散し、新たな被害者を危険にさらす可能性があります。多くの場合、これらの手口は認証情報だけでなく、個人情報や金融情報も標的にしています。

詐欺を見破る警告サイン

このキャンペーンには、いくつかのバージョンに間違いが含まれている一方で、驚くほど洗練されているものもあります。それでも、いくつかの手がかりから、その欺瞞が明らかになることが多いのです。

不正な電子メール活動を示す一般的な危険信号には、次のものがあります。

• 予期せぬファイル共有の請求、特に、予期していなかったボーナスや財務文書に関する請求。

スパムとマルスパムが脅威を増幅させる仕組み

詐欺師は、可能な限り多くの潜在的な被害者にリーチするために、スパムメールを広範囲に拡散させることに頻繁に利用します。スパムメールは、悪意のある添付ファイルや感染したリンクを通じてマルウェアの拡散も促します。こうしたキャンペーンで使用される危険なファイルは、様々な形態をとる可能性があります。

• Word、OneNote、PDFファイルなどのドキュメント
• 実行ファイル、アーカイブ、JavaScript ファイル、その他のスクリプトベースのコンテンツ

これらのファイルを開くと、直ちに感染連鎖が引き起こされる可能性があります。場合によっては、マルウェアが起動する前に、ユーザーがOfficeファイルでマクロを有効にしたり、OneNoteドキュメントに埋め込まれたオブジェクトをクリックしたりするなど、追加の操作を行う必要があります。

被害者への潜在的な影響

この詐欺に引っかかると、プライバシーの侵害、金銭的損失、個人情報の盗難、システムへの不正侵入につながる可能性があります。攻撃者は、様々なオンラインアカウントの制御を奪ったり、被害者になりすましたり、連絡先に金銭を要求したり、不正な購入を実行したりする可能性があります。企業環境は、ネットワークへの侵入やマルウェアの拡散など、さらなるリスクに直面しています。

すでに資格情報を入力している場合の対処方法

フィッシングページで個人情報を送信してしまった方は、直ちに行動を起こす必要があります。漏洩の可能性があるアカウントのパスワードをすべて変更し、各サービスの公式サポートチームに連絡してください。これは、不正アクセスを制限し、長期的な被害を防ぐために不可欠です。

警戒を怠らず、予期しないメッセージを精査し、見慣れないページにログイン詳細を入力しないようにすることは、「経営陣があなたとファイルを共有しました」キャンペーンのような詐欺に対する重要な防御策です。