ベンダー評価メール詐欺

予期せぬ緊急性を煽るメールは、特に機密情報の提供を求めたり、リンクをクリックするよう促したりする場合には、常に慎重に扱うべきです。サイバー犯罪者は、受信者を騙して機密データを盗み出すために、フィッシング攻撃を正規のビジネス通信に見せかけることがよくあります。ここで取り上げるいわゆる「ベンダー評価」メールは、実在する企業、組織、請負業者、調達機関とは一切関係ありません。これらは、メールアカウントを侵害し、さらなる詐欺行為を助長することを目的とした、認証情報窃盗フィッシング攻撃の一環です。

「ベンダー評価」詐欺の手口を解説

こうした詐欺メールは通常、「レビュー準備完了の文書」という件名で届き、2026年第2四半期初頭に予定されているとされるインフラ整備事業に関する専門的な入札招待状を装っています。受信者は、ベンダー評価の一環として見積依頼書（RFQ）のレビュー担当者に選ばれたと通知されます。

メッセージを信憑性のあるものに見せるため、メールには「Bid_Invitation_RFQ_2026_Q2.pdf」という名前のPDFファイルが添付されているように見える画像と、「RFQを安全に確認する」ボタンが含まれています。しかし、これらはどちらも正規の添付ファイルではありません。どちらもクリック可能なリンクであり、クリックすると同じ悪質なウェブサイトにリダイレクトされます。

このメッセージは、提出期限を記載したり、「リンクは20日後に期限切れになります」といった通知を表示したりすることで、受信者に迅速な行動を促そうとしています。こうした緊急性を煽る手法は、フィッシング攻撃でよく用いられるもので、標的となるユーザーがクリックする前にメールを注意深く確認する可能性を低くする効果があります。

認証情報窃盗の仕組み

受信者が偽の添付ファイルや確認ボタンをクリックすると、信頼できるメールサービスプロバイダを装った不正なログインページにリダイレクトされます。これらのフィッシングページは非常に巧妙に作られており、被害者のメールアドレスのドメインを自動的に検出して、見慣れたログインポータルを表示する場合があります。

例えば、GmailユーザーにはGoogle風のログイン画面が表示され、OutlookユーザーにはMicrosoft風のインターフェースが表示されるといった具合です。このようなパーソナライズによって、被害者がそのページを本物だと信じてしまう可能性が高まります。

不正なフォームに入力された認証情報は、攻撃者に直接送信されます。メールアカウントは他のオンラインサービスの復旧ポイントとして頻繁に利用されるため、盗まれたログイン情報は広範囲にわたるアカウント侵害につながる可能性があります。

盗まれたメール認証情報が危険な理由

侵害されたメールアカウントは、サイバー犯罪者に被害者のデジタルライフへの広範なアクセス権限を与える可能性があります。攻撃者が受信トレイを乗っ取ると、次のようなことが可能になります。

ユーザーが複数のアカウントで同じパスワードを使い回すと、リスクはさらに高まります。盗まれた認証情報一つで、接続されている多数のサービスがロック解除される可能性があります。

メールが詐欺である兆候

いくつかの兆候から、このフィッシングキャンペーンの悪質性が明らかになる。送信元とされる組織名と連絡先は偽造されており、メッセージは緊急性を煽ることで即座の行動を促そうとしている。さらに、偽のPDF添付ファイルは、正規のファイルではなく、単なる偽装されたハイパーリンクに過ぎない。

もう一つの重大な警告サインは、外部ページ経由でのログイン要求です。正規の調達プロセスやベンダー評価プロセスでは、受信者が一方的に送られてくるメールに記載されている無関係な第三者のリンクを通じてメールアドレスの認証情報を確認するよう求められることはほとんどありません。

最も重要なのは、フィッシングページが模倣しようとしているメールプロバイダーは、詐欺そのものとは一切関係がないということです。

潜在的なマルウェアのリスク

このキャンペーンは主に認証情報の窃盗を目的としていますが、同様のフィッシングテンプレートはマルウェアの配布にも悪用されることがよくあります。サイバー犯罪者は、添付ファイルやリンクに有害なコンテンツを埋め込むことで、電子メールを悪意のあるソフトウェアの配信手段として利用することがよくあります。

攻撃者は、感染したMicrosoft Office文書、PDFファイル、ZIPまたはRARアーカイブ、JavaScriptファイル、あるいは実行可能プログラムを配布する可能性があります。多くの場合、感染プロセスは、被害者がファイルを開いたり、マクロを有効にしたり、ダウンロードしたソフトウェアを手動で実行したりした後に開始されます。

フィッシング攻撃の中には、添付ファイルを一切使用せず、代わりに被害者を悪意のあるウェブサイトに誘導し、マルウェアのダウンロードを自動的に開始させたり、偽のソフトウェアアップデートやインストーラーをインストールさせたりするものもある。

最後に

「ベンダー評価」メールキャンペーンは、正規のビジネス入札招待状を装ったフィッシング詐欺です。その主な目的は、巧妙に偽装されたログインページを通して、メールアカウントの認証情報を盗み出すことです。これらのメールは、いかなる正規の組織、ベンダー管理プログラム、または調達プロセスとも一切関係がありません。

受信者は、メッセージへの反応を避け、埋め込まれたリンクやボタンをクリックせず、直ちにメールを削除してください。個人情報、企業アカウント、そして財務上のセキュリティを、ますます高度化するサイバー脅威から守るためには、迷惑メールへの警戒を怠らないことが不可欠です。