突然届いた100通のメール、その正体は
先日、iPhoneでメールをチェックしていると、アプリが変な挙動をし始めた。しばらく様子を見ていると、突然100通ぐらいのメールを一気に受信したのだった。
慌ててメールを確認すると、100通すべてのタイトルに普段自分がネットサービスのログインで使っているパスワードが記載されていた。発信元は自分のメールアドレスだ。
「マジか」
慌ててメールの中身を見てみると、ドイツ語のメッセージだった。
実際に届いたのがこちらのメール。青い部分に筆者のパスワード、黄色の部分にメアドが記載されていた。
すぐにグーグルの「Gemini」に「日本語にして」とお願いしたら、以下が返ってきた。
単刀直入に言おう。お前のこのメールアカウントのパスワードは「（ここに筆者が実際に使っているパスワードが書いてあった）」だ。
私たちは実のところ、もう長い付き合いだ。少なくとも私はお前のことを知っている。私のことは「ビッグ・ブラザー」か「すべてを見通す目」とでも呼んでくれ。
私はハッカーであり、数カ月前にお前のブラウザ履歴やウェブカメラを含むデバイスへのアクセス権を手に入れた。そして、お前が非常に物議を醸すような「成人向け」ビデオを見ながら自慰行為をしている動画を撮影した。お前の家族、同僚、すべてのWhatsAppの連絡先、そしてすべてのメール連絡先（実際のメールアドレス@nifty.ne.jp）がお前のその映像を見たいと思っているとは思えない。
特にお前のお気に入りの「ジャンル」がいかに変態的であるかを考えればなおさらだ。私はこれらの動画をポルノサイトにも投稿するつもりだ。それらは拡散され、インターネット上から完全に削除することは事実上不可能になる。
どうやってやったのか？
お前がインターネットのセキュリティをあまりにも軽視しているため、お前のハードディスクにトロイの木馬をインストールするのは簡単なことだった。
これによって、私はお前のデバイスのすべてのデータにアクセスし、遠隔操作できるようになった。1つのデバイスを感染させることで、ほかのすべてのデバイスへのアクセス権も手に入れることができた。
私のスパイウェアはドライバーに組み込まれており、数時間ごとにシグネチャを更新するため、アンチウイルスソフトやファイアウォールで検出することはできない。
さて、お前に取引を提案したい。これまでの気楽な生活と引き換えに、少額の金を支払うというものだ。
私のビットコインウォレット（アカウント名）に250ドルを送金しろ。
支払いの確認が取れ次第、お前を脅かす動画をすべて削除する。
（中略）
猶予は5時間だ。お前がこのメールを開いた瞬間に私に通知が届き、その時点からカウントダウンが始まる。暗号資産（仮想通貨）を扱ったことがなくても簡単だ。検索エンジンで「暗号資産取引所」と入力すればすぐに始められる。
やってはいけないことは以下の通りだ。
• 私のメールに返信するな。これはお前自身のメールアカウントから送信されている。
• 警察を呼ぶな。私はお前のすべてのデバイスにアクセスできることを忘れるな。そのような動きを察知した瞬間、すべての動画が自動的に公開される。
• システムの再インストールやデバイスのリセットを試みるな。第1に、私はすでに動画を持っている。第2に、言ったように私はお前のすべてのデバイスに遠隔アクセスできる。そのような試みを察知した瞬間、どうなるかは分かっているはずだ。
暗号資産のアドレスは匿名であり、私の仮想ウォレットを追跡することはできないということを忘れるな。
手短に言えば、お互いの利益のためにこの問題を解決しようということだ。誰かが私を騙そうとしない限り、私は常に約束を守る。
最後に、将来のためのちょっとしたアドバイスだ。オンラインセキュリティをもっと真剣に捉えろ。定期的にパスワードを変更し、すべてのアカウントに多要素認証を設定するんだ。
敬具
AIが教えてくれた「これは詐欺です」に安堵
日本語訳を見た瞬間、グーグル「Gemini」に思わず「ありがとう」と言ってしまった。
なぜなら、日本語訳を見せてくれる前に
“このメールは**「セクストーション（性的脅迫）スパム」と呼ばれる典型的な詐欺メール**です。まずは翻訳を掲載しますが、絶対に要求に応じたり、お金（ビットコイン）を払ったりしないでください。”
と注意喚起してくれたのだ。さらに、日本語翻訳の後には
• 書いてある内容はすべて嘘です： あなたのカメラが乗っ取られたり、動画が撮影されたりした事実はありません。不安を煽ってパニックに陥れ、お金を振り込ませるための定型文です。
• パスワードについて： メール内に記載されているパスワードは、過去にどこかのウェブサイトやサービスから流出した古いデータの名残です。もし現在もこのパスワードをどこかで使っている場合は、念のためそのサイトのパスワードを変更してください。
• 「5時間」のカウントダウンも嘘です： メールを開いたことが相手に通知される仕組みもありません。
• 対処法： 何もせず、このメールは**ゴミ箱に入れて削除（または迷惑メール報告）**してください。返信や送金は絶対にしないでください。
とアドバイスしてくれた。
そもそも、仕事柄、iPhoneやパソコンの中身が見られているとは思わなかったが、Geminiのおかげでさらに冷静になることができた。
漏洩元は「@nifty」、186万人の中の1人か
日本語訳を読んで「ハッ」と思い出したことがあった。
このメールに記載されていたアドレスは「nifty」であり、つい最近niftyのメールサービス「@nifty」の基盤が不正アクセスに遭ったのだ。
実際のところ、niftyではKDDIが開発したISP事業者向けのメール基盤を利用しており、そのメール基盤が標的になったとされている。
「@nifty」では以下のように発表している。
・電子メールアドレスの漏洩
224万8708名
・メールパスワードの漏洩
186万2462名
今回受信したスパムメールが、KDDIのメールアドレス漏洩騒動と直接関係があるかどうか、現時点で確実な証拠はない。しかしタイミングを考えると、自分がその186万人に含まれている可能性が高い。
すでにハッカーは自分のメールアドレスとパスワードの組み合わせを入手している。
厄介なのは、ほかのネットサービスでこの組み合わせを使っていると、不正にログインされて乗っ取られることが予想される。
「ヤバイ」
しかし、ここで思い出したのが、iPhoneに標準搭載されている「パスワード」というアプリだ（Androidにも「Google パスワードマネージャー」というアプリがある）。
ここにはこれまで入力してきたIDとパスワードが登録されている。「nifty」と検索をかけると、niftyのアドレスとパスワードでログインしてきたサイトを一気に調べることができる。
そもそも、niftyのアカウントは、中学生の時ぐらいにパソコン通信デビューしたときに取得したものだ。その後、Gメールに乗り換えたこともあり、今ではほとんど使っていなかったサイトばかりであった。銀行や証券など、重要なサイトはほぼないため、慌てる必要はなさそうだった。
この件に関して、関係者に取材したところ、「漏洩にあったniftyやビッグローブは古くからプロバイダとしてサービスを提供していることもあり、システムが古く、セキュリティ対策が十分ではなかったようだ」という。
KDDIの発表によると、ISP事業者向けに提供しているメールシステムの不正アクセスにより、
・電子メールアドレスの漏洩
1223万3087名
・パスワードの漏洩
761万6173名
となっている。おそらく、筆者のように古くからインターネットを使っている人が影響を受けている可能性が高そうだ。
もうパスワードは「覚える」時代ではない
niftyやビッグローブを使っている人には筆者と同じようなメールがすでに届いているかもしれない。Geminiが言う通り、すべて嘘であり、慌てて対応するのは絶対に避けるべきだ。
niftyやビッグローブを使っている人だけでなく、すべての人にお伝えしたいのが、まず、普段使っているメールやSNS、銀行、証券など、あらゆるネットサービスはすべて多要素認証を導入しよう。
「パスワードの使い回しを避けるべき」というのは、非現実的かもしれない。
しかし今ではiPhoneの「パスワード」アプリや、Google パスワードマネージャーなどで、ネットサービスの新規登録時、パスワードを自動的に生成・記憶してくれる機能がある。パスワードの使い回しをするのではなく、iPhoneやGoogleにパスワードを作ってもらい、覚えてもらう方がよっぽど安全だ。
一度、iPhoneの「パスワード」アプリやGoogle パスワードマネージャーを開いてみるといい。自分がこれまでパスワードをいくつも使い回し、漏洩しているパスワードもあることがよくわかる。
IDとパスワードの漏洩は、もはや当たり前のように起きている。自分でパスワードを覚えて管理するのは諦めよう。パスワード生成アプリに作ってもらい、多要素認証を導入しよう。また最近では「パスキー」といった指紋認証や顔認証を組み合わせて、安全にログインできる仕組みを導入しているサイトも増えているので、積極的に活用すべきだろう。
