確定申告中ですか？フィッシング詐欺にご注意ください

内国歳入庁（IRS）は長年にわたり、オンラインフィッシングに注意するよう納税者に警告してきました。フィッシングとは、犯罪者が偽のメール、テキストメッセージ、またはウェブサイトを使ってIRSを装い、個人情報を盗むものです。先月、フィッシングはIRSの「ダーティ・ダズン」リストで最も蔓延している詐欺行為のトップにランクインしました。

しかし、オンライン詐欺師はIRSを装うだけではありません。QuickBooksなどのオンライン会計ツールの偽バージョンを作成したり、テクニカルサポート担当者を装ったりする者もいます。サイバーセキュリティ企業Lookoutは、ここ数ヶ月で登録された100以上のウェブサイトを発見しました。これらは、納税申告をしようとしている人々を騙すために作られたものと思われます。これらのドメインは、潜在的な被害者の大規模なプールを狙っています。IRSによると、昨年は1億3500万人以上のアメリカ人が電子申告で納税申告を行いました。

Lookoutは、脱税詐欺が早期に活動を開始していることを発見しました。こうしたウェブサイトは、人々がW-2フォームを受け取り始める時期である12月に数十件作成されていました。（一部のサイトは英国の被害者も標的にしていました。）これらのドメインの多くは、ログイン認証情報やパスポート番号などの個人情報を盗むことを目的としているようです。また、悪質なソフトウェアをダウンロードさせるようなものもありました。

Lookoutが発見した最も基本的な詐欺行為の一つは、QuickbooksやTurboTaxといった人気ソフトウェアを開発するIntuit社の会計ツールを偽装したサイトです。これらのサイトは、「quickbooksltd.com」や「accounts-quickbooks.com」など、実在のサイトに酷似したドメイン名を使用していることが多く、正規サイトのログイン情報を盗むように巧妙に設計されているケースが見られます。

Lookoutは、納税シーズンによくあるオンライン詐欺を改良したようなサイトも発見しました。それは、テクニカルサポートを装うものです。税務ソフトウェアはほとんどの人が日常的に使用するものではないため、多くのユーザーが使い方のヘルプを求めるのは当然のことです。しかし残念ながら、「quickebooksupport.com」や「quickbooks-helpline.com」のような詐欺サイトが彼らを待ち受けています。「この攻撃手法はSEO最適化を狙ったものです」とLookoutのセキュリティインテリジェンス研究者、ジェレミー・リチャーズ氏は述べています。つまり、これらの詐欺はGoogleやBingなどのサイトでヘルプを探しているユーザーを狙っているということです。

Image may contain Human Person Sylvie Meis Electronics Computer and Text

これらのサイトに掲載されているフリーダイヤル（1-800）では、「サポート」技術者を装った人物が、被害者のコンピュータへのリモートアクセスを要求し、機密性の高い個人情報を盗もうとするケースがよく見られます。また、偽造された不要なソフトウェアを販売する目的でこれらの番号が利用されるケースもあります。Appleのサポート技術者を装った同様のサイトも構築されており、ポッドキャスト「Reply All」では2017年に発生した同様のテクニカルサポート詐欺について詳細に分析しています。

リチャーズ氏は、同じ悪質な広告ネットワークの一部と思われる、50以上の税務関連ドメインを発見しました。詐欺の仕組みは正確には不明ですが、サイトにアクセスすると、ユーザーはソフトウェアアップデートなどを装ったマルウェアをダウンロードするよう誘導されます。これらのサイト群は、たとえログイン情報や個人情報を入手できなくても、フィッシング詐欺師がユーザーを騙すための巧妙な手段となっている可能性があります。

リチャーズ氏によると、一般的にフィッシングサイトは、適切なフィッシングトラップに引っかからなかった場合、Googleにリダイレクトするか、404エラーを表示するという。「しかし今では、収益化できる何らかの方法でリダイレクトしているのです」と彼は説明する。ログイン認証情報を渡していないのに？代わりに、悪意のあるFlashアップデートが送られてくる。

こうした脱税詐欺を発見するために、Lookoutは2017年に開発されたAIツールを活用しました。このツールは、無料ウェブホスティングを提供する企業などのインターネットインフラ組織において、疑わしいドメインを監視します。Lookoutは毎日数千もの新たなフィッシングサイトを発見し、詐欺師がウェブサイトを模倣しようとしている企業に定期的に警告を発しています。

しかし、このツールはウェブサイトのみを監視するため、あらゆる脱税詐欺の手口を完璧に把握することはできません。例えば、詐欺師が偽のIRSリンクをクリックするよう求めるメールを送信した場合、Lookoutはドメインは検出できますが、メール自体は検出できません。「床に血痕があるのに、ナイフがどこにあるかわからないようなものだ」とリチャーズ氏は言います。

Lookoutの調査は、今年発生した税金詐欺の総数のほんの一部に過ぎません。最近報告された他の詐欺では、ソーシャルメディアを利用して偽の税制優遇措置に関する偽情報でユーザーを標的にし、個人情報を詐取するケースが見られます。しかし、これらのウェブサイトは詐欺師の進化を示しており、フィッシングが依然として深刻な脅威であることを示しています。こうした詐欺の手口についてはまだ解明が進んでいませんが、当面は安全を確保するための簡単な方法があります。

IRSは通常、市民への連絡はまず郵便で行い、メールは使用しないと述べています。もし紙の手紙を受け取っていない場合は、IRSを名乗る電子通信が本物である可能性は低いでしょう。正規のテクニカルサポート担当者は、サポートを提供するために画面を見たりログイン情報を入手したりする必要はありません。また、複数のアカウントで同じパスワードを使い回すのではなく、パスワードマネージャーを使用することをお勧めします。

WIREDのその他の素晴らしい記事