サイバー犯罪の例

サンドラ | スティーブ | コビー | ミッシェル

サンドラの例

サンドラはフロリダ州マイアミ市の小さな町に住む人事の専門家です。 彼女は仕事で 10 年以上コンピュータを使用しています。 彼女の仕事用のコンピュータは勤め先の IT 部門によって管理されており、これまで彼女が職場でコンピュータのセキュリティに関する問題に遭遇したことはありませんでした。

サンドラにはコンピュータに詳しいという自負があり、次のような理由から自分がオンライン詐欺に遭う可能性は低いと考えています。

• クレジットカード情報を公開する危険を避けるため、また購入履歴が保存され自分の嗜好の予測に使用されたりしないように、オンラインショッピングはしないことにしています。
• 自宅のコンピュータは、友人や家族との個人的な電子メールのやり取りと、Web で自分の専門分野における新しい動向を調べることと、毎月 1 回だけ銀行のオンライン口座を利用することにのみ使用しています。
• Web でそれ以外のことを調べることも時々ありますが、あまり頻繁ではありません。

サンドラの使用状況は十分安全なように見えます。

しかし残念ながら、見かけはあてになりません。 昨夏のある日、彼女は仕事場で Internet Explorer の新しい脆弱性について知らされました。それは致命的な脆弱性だったため、その日のうちに IT 部門から社内のすべてのコンピュータに緊急パッチが配布されました。 彼女は自宅のコンピュータも保護しようと考え、帰宅後にその脆弱性についてインターネットで調べて自宅のコンピュータが保護されているかどうかを確認しました。

一般的な検索エンジンで見つけた Web サイトには、その脆弱性の説明に加え、必要なパッチをコンピュータに自動的にダウンロードするオプションが表示されました。 しかし、信頼できるサイト以外からはデータをダウンロードしないように以前教わっていたので、説明だけを読みパッチはダウンロードしませんでした。 その後、Microsoft の公式サイトにアクセスしてパッチをダウンロードしました。

さて、以上の何が問題だったのでしょうか。

不運にもサンドラは、最初のサイトで脆弱性に関する説明を読んでしまったため、彼女のコンピュータが実際に脆弱性を持っていることがサイトを作成した犯罪者に知られ、その脆弱性に付け入られてしまったのです。 実際、彼女はダウンロードを求めるメッセージが表示されたときに ［いいえ］ をクリックしたのですが、知らないうちに小型の (しかし強力な) クライムウェアプログラムの自動インストールがすでにコンピュータ上で実行されていました。

そのプログラムはキーロガーでした。 その時点で Web サイトの所有者には、キーロガーが秘密裏にサンドラのコンピュータに正常にインストールされたことがすでに通知されていました。 このプログラムはそれ以降彼女が入力したあらゆる情報を記録するとともに、その情報をすべて Web サイトの所有者に送信するように作られていました。 このプログラムは完璧に機能しました。つまりサンドラが入力した情報、訪れた Web サイト、送信した電子メールはすべて記録され、そのサイバー犯罪者にテキストが送信されました。

その日の夜、サンドラは毎月利用しているオンライン銀行口座にアクセスしました。 口座にログインするときに彼女が入力した機密情報 (銀行名、ユーザー ID、パスワード、社会保障番号の下 4 桁、母親の旧姓など) は、キーロガーによって記録されました。 この銀行のシステムではセキュリティが確保されており、入力データはすべて暗号化され通信途中で誰も解読できないようになっていました。 しかし彼女が入力したデータは、暗号化される前にリアルタイムでキーロガーに記録されていたため、 セキュリティをかいくぐることができました。

彼女の取引銀行名、ユーザー ID、パスワード、母親の旧姓がサイバー犯罪者の手に渡るのは、もはや時間の問題でした。 その犯罪者は彼女の名前と付随するすべての情報をこれまでに盗聴した大量の個人情報のリストに追加し、それをインターネット上で出会った別の犯罪者 (他人の口座情報を悪用して現金を不正に引き出すことを専門とする犯罪者) に売却しました。 数週間後、入金のために銀行を訪れた時、サンドラは口座の残高がほとんどゼロになっていることに気付き大変なショックを受けました。 サンドラはこのようにしてサイバー犯罪の被害者になりました。 この例は多くの人々が思い描く典型的なサイバー犯罪であり、この種の被害例はよく知られています。 他のサイバー犯罪の例もご覧ください。

スティーブの例

スティーブはミズーリ州 Kansas City の郊外で退職後の生活を送っている元官公庁職員です。 彼のコンピュータにはウイルス対策ソフトウェアとファイアウォールが組み込まれており、それらは常に最新の状態に保たれていました。 彼は電子メールの送信元が友人であるか未知のユーザーであるかにかかわらず、不明な添付ファイルをクリックしてはならないことを知っていました。

昨年 9 月のある日、スティーブはあたかも取引先銀行から送信されたような電子メールを受け取りました。そこには、預金および投資口座にログインして個人情報を更新するよう書かれていました。 そこで彼はメール内の URL をクリックしてその銀行の Web サイトと思われるサイトに直接アクセスしました。 しかしメールに記載されていた URL は、実際には「偽装」 Web サイトの URL でした。 そのサイトはその銀行の本来のサイトとまったく同じ外観だったので、 彼は自然に口座番号、ユーザー名、パスワードを入力し始めました。 しかしその最中に、地元のロータリークラブで 2 カ月ほど前に開催された講演で聞いた話を思い出しました。

それはフィッシング詐欺に関するもので、講師は特に偽装 Web サイトに注意を促していました。 話では、リンクをクリックして口座にログインするように求める電子メールを銀行が顧客に送信することは絶対になく、それが偽装サイトを見分ける鍵になるとのことでした。 「もしそのような電子メールを受け取ったら、何もせずに破棄するように」と講師は話していました。 そこで彼はそうすることにしました。

スティーブは、まさに彼が最近聞いたばかりのフィッシング詐欺の被害者になるところでした。 しかし彼は、銀行が電子メール内のリンクで個人情報の入力を求めることは決してない、という簡単な判断基準を直前で思い出しました。 もし求められるままに個人情報を入力していたら、口座の不正利用に必要なすべての情報がサイバー犯罪者の手に渡ってしまっていたでしょう。

コビーの例

フィッシングの手口には、極めて巧妙なものもあります。 中学教師のコビーは、最近そのような手口の被害者となりました。 コビーは最近、所有する自動車の 1 台を eBay で売りに出しました。 買い手は数日で見つかり、代金受領後に彼はその出品物を eBay から削除しました。

しかしその後に eBay にログインした彼は当惑しました。「出品中の商品が 1 点あります」と表示されるのです。 ページを表示してみると、なんと先日売り払った自動車とまったく同じものが売りに出されていました。 さらに彼は非常に不穏なことに気付きました。 連絡先に示されている電子メールが彼のものとは違っているのです。 それは本当の電子メールアドレスと非常に似ており、彼以外は決して気付かないような違いしかありませんでしたが、彼には何か異変が起きていることがわかりました。

彼はその「出品者」に電子メールを送り、その自動車を購入したいと申し出て代金を支払う段取りを付けました。 その際に「出品者」がシカゴ在住であることがわかりました。 コビーは FBI にこの情報を伝え、詐欺犯は FBI に逮捕されました。 この詐欺犯は、そもそもコビーのアカウントをどのように入手したのでしょうか。 その手口はフィッシング電子メールでした。そのメールには、彼のアカウントが最近危険にさらされたため、リンクをクリックして彼の eBay アカウントにアクセスするように書かれていました。 彼はこのメールに記載されていたリンクをクリックして eBay のログインページそっくりのページをにアクセスし、アカウント情報を入力してしまいました。 その後、詐欺犯はコビーの正式なアカウントにログインして連絡先の電話番号などを書き換えていました。

ミッシェルの例

ミッシェルはカンザス州出身のエステティシャンです。彼女は 3 年前に初めてコンピュータを購入し、大学時代の友人と電子メールのやり取りを楽しんでいました。 またインターネット上で最新の美容製品の閲覧も楽しんでいましたが、製品を購入することはありませんでした。 彼女は 2 人の息子を持つ未婚の母で、コンピュータは主に息子たちの宿題の調べものに利用していました。

しかし、去年からそのコンピュータの動作が非常に遅くなったように感じられました。 実際、彼女に取材した時点で、あまりに遅くて使いものにならないので、彼女と 2 人の息子はコンピュータを一切使用しなくなっていました。

クリスマスに、彼女は職場の同僚の何人かにささやかな贈り物をすることにしました。 特に同僚のある女性には、生きたてんとう虫の贈り物を探してプレゼントすることにしました。 しかし自宅に使えるコンピュータがなかったので、その贈り物をインターネットで探して購入するために祖母からコンピュータを借りました。 ところが祖母のコンピュータを使い始めて間もなく、そのコンピュータの動作も遅いことに気付きました。結局彼女は、自分にはコンピュータは向かないのだと思うことにしました。

コンピュータ工学専攻のミッシェルの新しい恋人は、彼女からこの話を聞いて、原因はスパイウェアであることを即座に見抜きました。 そこで彼はスパイウェア検出プログラムをダウンロードし、彼の判断が正しいことを確認しました。 問題の解決には数日かかりましたが、最終的にスパイウェアを除去するとコンピュータは正常に動作するようになりました。 彼がウイルス対策ソフトウェアとセキュリティソフトウェアをミッシェルのコンピュータと彼女の祖母のコンピュータにインストールし、どちらのコンピュータもすぐにネットの利用を再開しました。 しかし、話はこれで終わりません。

ミッシェルが祖母のコンピュータを使っていると、500 ドルの懸賞に当選したというポップアップメッセージが表示されました。 いくつかの質問に答えるだけで地元デパートの 500 ドル分の商品券が贈られるとのことでした。 そこでミッシェルがそれらの質問に答えると、次に、商品券を受け取るには小額の商品を 2 つ購入する必要があるというメッセージが表示されました。 彼女はギフト一覧から最も安価な商品を 2 つ選んで注文し、要求されたクレジットカード情報を入力しました。さらに、500 ドル分の商品券を受け取るために必要とされるその他の情報も入力しようとしました。

しかし入力した情報は Web サイトに受け付けられませんでした。数回試した後、彼女は情報を入力することをあきらめ、そのサイトの所有者に電子メールでこの問題について問い合わせることにしました。 メールは 2 回送りましたが、返信は一切ありませんでした。 彼女のクレジットカードには購入に同意した 2 つの「小額の商品」の代金が請求されましたが、500 ドルの商品券は結局届きませんでした。 これらのサイバー犯罪の例から、サイバー犯罪者は技術面 (サンドラのブラウザの脆弱性やミッシェルのコンピュータにセキュリティソフトウェアがインストールされていないこと) だけでなく、人々の心理面にも巧妙に付け入ることがわかります。 ユーザーには、オンライン表示されたメッセージを信頼し、情報の入力を求められるとそれに従ってしまうという傾向があります。

サイバー犯罪の被害者となるリスクを軽減するために必要なユーザー側の役割を理解することによって、自分自身だけでなく自分のまわりのユーザーも犯罪の被害を被らないようにするにはどのように判断すればよいかを知ることができます。