カスペルスキーの大沼 千亜希氏

　「あなたがポルノ動画を見ている姿を録画した」などの性的な脅し文句を記したスパムメール（図2）を送り、金銭を請求する手法が、セクストーションスパムだ。「攻撃者は人々の不安をあおり、高度なマルウェアを使わずに金銭を要求することで、実際に収益を上げている」とカスペルスキーの大沼 千亜希氏は語る。「攻撃者は請求する金銭として『ビットコイン』などの仮想通貨を用いることが多い」と大沼氏は説明。現金よりもインターネット経由での金銭授受の方が、身元の判明につながりにくいことを理由として挙げる。

図2　セクストーションスパムで送信されるメール文面例（出典：カスペルスキー）《クリックで拡大》

　セクストーションスパムの拡散が確認され出したのは2018年7月ごろで、2018年9月には日本語のメールが観測され始めたという。日本語以外にもドイツ語や中国語など、複数の言語で記述したメールが確認されている。

　大沼氏は、セクストーションスパムの攻撃者が用いる主な手法として「ソーシャルエンジニアリング」を挙げる。これは人の心理的な隙や行動の過ちを突く攻撃手法だ。具体的な手法は以下の通り。

• 受信者に「お金を払わないとまずい」と思わせるような内容の本文にする。「『恥ずかしいので人に知られたくない』という受信者の心理に付け込む」と大沼氏は説明する。
• メールアドレスやパスワードなど、受信者が実際にWebサービスで利用したことがある情報を記載する。「攻撃者が脅迫内容に、より真実味を持たせようと掲載している」（大沼氏）という。このような情報を掲載したセクストーションスパムメールは2018年10月ごろから観測され始めた。
• 送信者を受信者のメールアドレスと同じものに詐称する。受信者に対し「利用中のWebサービスが自分のアカウントに送信したメールだと思い込ませることを狙っている」と大沼氏は説明する。
• 高過ぎず、低過ぎない要求金額を提示する。大沼氏は「攻撃者は要求金額を設定する際、脅迫内容をばらされないために払う金額として、被害者が妥当だと感じる金額かどうかを意識している」とみている。メールの言語によって請求する金額の平均は異なり、日本語の場合およそ500～1000ドル。

　カスペルスキーは、2018年7月から2019年2月にかけて受信したセクストーションスパムメールにおいて、ビットコインの振込先「ビットコインアドレス」を152個入手した。そのアドレスについて実際に振り込まれた金額を調べたところ、日本円換算（2019年3月4日時点のレート）で合計約4300万円分の振り込みが確認できたという。「これら全てを被害者が支払った金銭だと断定できるわけではないが、セクストーションスパムに関する経済活動の規模がこの数字から読み取れる」（大沼氏）

　セクストーションスパム以外にも、今後は仮想通貨を要求する脅しが増加すると大沼氏は予測する。「米では攻撃対象が個人から法人にまで拡大しており、『爆弾を仕掛けた』『暗殺者を仕向けた』と脅す例もある」と同氏は語る。そうした脅しを受けた企業が要求を受け入れ、実被害に発展してしまう恐れがある。

　「攻撃者はハッタリだけで収益を上げており、今後もより高度なソーシャルエンジニアリングを使ったサイバー犯罪が増加する見込みだ」と、大沼氏は注意を促す。これらの攻撃で利用される脅しメールに対処する上で、件名や本文の特徴を分析し、怪しいメールを事前に判断するAI（人工知能）エンジンを搭載したセキュリティ製品は、有効だといえる。

400万人以上のフィッシング詐欺被害

　2018年のサイバー犯罪としては、正規のWebサービスを装って個人情報を盗み取るフィッシングサイトを使った詐欺が過去最大規模の広まりを見せた。トレンドマイクロによれば、2017年と比べて約2.5倍となる400万人以上がフィッシングサイトへ誘導された（図3）。

図3　フィッシング詐欺件数の推移（出典：トレンドマイクロ）《クリックで拡大》

　トレンドマイクロが2018年に確認した、キャンペーンメールを装ってフィッシングサイトへ誘導するメール97通については、その全てで実在企業を偽装していたという。具体的にはAppleやAmazon.comなど、大手IT企業のサービスを偽装するケースが最も多く44％を占めた（図4）。ここでもソーシャルエンジニアリングが利用されており、件名や本文に緊急性のある文言、「パスワード初期化」「不正ログイン」といったセキュリティの不安をあおる文言などが確認された。

図4　2018年のフィッシング詐欺が装ったキャンペーンの対象業種（出典：トレンドマイクロ）《クリックで拡大》

　攻撃者がフィッシングサイトで盗み取ろうとする情報は、Webサービスのログイン情報とクレジットカード情報のいずれかだったという。「クレジットカード情報は金銭に直結する情報として以前から狙われていたが、さまざまな情報を詐取する目的でログイン情報を盗み取るパターンが増えつつある」とトレンドマイクロは指摘する。

　AppleやGoogle、Microsoftなどが提供する法人向けのSaaS（Software as a Service）を採用する企業を狙い、SaaSのログイン画面に偽装したフィッシングサイトが増えているという。トレンドマイクロはMicrosoftのオフィススイート「Office 365」のツールを偽装したフィッシングサイトについて調査した。それによると全世界における該当フィッシングサイトの観測数は、2017年に1万5676件だったのに対し、2018年には約319％増の6万5702件だった。SaaSを利用する企業は注意が必要といえる。フィッシングサイトによる被害を防ぐには、悪質サイトを検出するフィッシング対策製品が役立つ。