「迷惑メールを見分けるには、送信元のアドレスを確認しましょう」。ドメインが怪しければ詐欺を疑い、公式ドメインなら本物とみなす。多くの方がこの基準でメールやドメインの真偽を判断してきたと思います。
ところが今、GoogleフォームやOneDrive、Googleカレンダーといった正規サービスのメール通知機能を使い、正真正銘の「google.com」や「microsoft.com」から詐欺のメッセージが届くという事例が増えてきています。攻撃者は文章だけ作成し、それを配達するのはGoogleやMicrosoftなので、送信元をいくら確認しても偽物だと見抜くことができないのです。
ここでは、公式ドメインが詐欺の踏み台にされる仕組みと、実際に報告されている3つの手口を紹介したうえで、「送信元の確認」に代わる新しい判断基準を3つの習慣にまとめます。
公式ドメインから詐欺メールが送られる仕組み
迷惑メールを振り分けるフィルターも、実は人間と同じ基準で動いています。送信元のドメインや送信サーバーの信頼度を見て、怪しければ弾き、信頼できれば通すというものです。
GoogleやMicrosoftのサーバーから届くメールは信頼度が高いと判定されるため、この検査をほぼ素通りできます。
攻撃者が目を付けたのは、正規サービスの「ユーザーに代わってメールを送る機能」です。フォームの回答通知、ファイルの共有通知、カレンダーの招待など、いずれも自由に書いたメッセージを任意の宛先へ届けることができます。
これらの通知はGoogleやMicrosoftのサーバーから送られるため、このフィルターを難なく通過し、受信トレイにまで届いてしまいます。サービス側も不正検出や詐欺ページの削除を進めているものの、作っては消されるいたちごっこが続いており、すり抜けてくるものをゼロにはできません。
実際に報告されている巧妙な手口
では、具体的にどのような形で届くのでしょうか。代表的な3つの事例を紹介します。
1）Googleフォーム：本物のURLで届く偽ログイン画面
攻撃者はGoogleフォームのメール送信機能を使って、標的にメールを送り付けます。そこに記載されたフォームのリンクも「docs.google.com」で始まる本物のURLなので、ブラウザもセキュリティソフトも危険を検知できません。
リンクの先のフォームは、銀行やECサイトのログイン画面を模倣しており、ログインのつもりで入力したアカウント情報が、そのまま攻撃者に窃取されてしまうのです。
なお、Googleフォームの画面下部には「Google フォームでパスワードを送信しないでください」という注意書きが常に表示されています。それでも、本物そっくりのログイン画面を前にすると、この一文は見過ごされてしまいがちです。
2）OneDrive・SharePoint：ファイル共有通知を装う
攻撃者は自分のOneDriveやSharePointにファイルを置き、標的のメールアドレスへ共有すると、正規のMicrosoftドメインから「ファイルが共有されました」という通知が届きます。
ファイルを開くと偽のログイン画面に誘導され、そこで入力した認証情報が盗まれるという仕組みです。共有通知そのものは本物なので、危険なのはリンクを開くことではなく、その先でパスワードを入力してしまうことです。
取引先のアカウントが乗っ取られ、本物のアカウントから偽の共有が届く事例もあるため、「知っている相手からだから安全」とも言い切れません。
カレンダーに「見知らぬ予定」「対処を促すリンク」
3）Googleカレンダー：勝手に予定表に入り込む偽の招待
Googleカレンダーの招待機能を悪用した事例も観測されています。Googleカレンダーの標準設定では、メールで届いた招待を自分の予定表へ自動的に追加します。
その招待の説明欄には「支払いが完了していません」「アカウントに異常が検知されました」といった不安をあおる文面と、対処を促すリンクが仕込まれています。
予定表に並んでいる情報は自分が登録したものだという思い込みもあるため、そのURLを開くと偽サイトへ誘導され、個人情報やアカウント情報を抜き取られてしまう、という流れです。
この手口がやっかいなのは、メールのように「開くかどうか」を自分で選べない点です。何も操作しなくても見知らぬ予定がいつの間にか入り込み、定刻になると通知やリマインダーまで表示されてしまいます。
「どこから来たか」より「何を求められているか」で判断する
送信元の確認が無意味になったわけではありませんが、それだけでは防ぎきれなくなっているのが実情です。ここで確認すべきは、ページやメールが本物かどうかではなく、そこで自分が何をさせられているかという視点です。これからは、どこから来たかではなく何を求められているかを判断基準として、次の3つを習慣にしましょう。
ログインが必要なら、いったん通知を閉じて、ブックマークや公式アプリからログインし直す。GoogleのログインページのURLは「accounts.google.com」なので、改めてリンクを確認する。
送り主を名乗る人に、電話やチャットなどメール以外の手段で「送りましたか」と一言聞く。確認が取れないものは開かない。
Googleカレンダーの設定で、招待の自動追加を「送信者が既知の場合のみ」に変更する。万能ではないが、見知らぬ相手からの招待が勝手に予定表へ入るのを防げる。
3つに共通するのは、相手の要求に乗る前に一呼吸置くことです。攻撃者は必ず私たちに何かをさせようとするため、その瞬間が見抜くチャンスです。
それでも、忙しいときにうっかり入力してしまうことはあると思います。もし入力してしまったら、すぐにそのサービスのパスワードを変更し、多要素認証（パスワードに加えてスマートフォンなどでも本人確認する仕組み）を有効にしてください。
仕事のアカウントなら、ためらわずにIT担当部門へ報告しましょう。報告が早いほど、被害は小さく抑えられます。
筆者もセキュリティの相談を受けるなかで、「Googleからのメールだったので疑いませんでした」という声を聞いてきました。送信元は正真正銘の本物なのですから無理もないと思います。そのため、「公式ドメインだから安全」という思い込みを改め、送信元ではなく何を求められているかで立ち止まれれば、被害の多くは防げるはずです。
