PayPal フィッシング キャンペーンでは本物のリンクを使用してアカウントを乗っ取る
巧妙なフィッシング攻撃が PayPal ユーザーをターゲットにしており、正規のリンクやメール アドレスを悪用して被害者を騙し、アカウントを乗っ取ろうとしています。サイバー セキュリティ企業 Fortinet が指摘したこの驚くべき攻撃は、攻撃者が従来のセキュリティ チェックを回避し、ユーザーの信頼を食い物にしていることを示しています。
Table of Contents
フィッシング攻撃の仕組み
被害者に送信されるフィッシング メールは、正当な PayPal の通信を模倣しています。取引 ID、支払額、さらには本物の PayPal 通知に似た警告などの詳細が含まれています。最も欺瞞的なのは、メールが本物の PayPal アドレスから送信され、正当な URL が含まれていることです。これにより、SPF、DKIM、DMARC などの重要なセキュリティ チェックを通過できます。
詐欺の展開は次のようになります。
- フィッシングメールの送信:被害者は、PayPal から送信されたように見える、支払い要求を通知するメールを受信します。
- 正当に見える詳細:電子メールには、パニックや好奇心を誘発するように設計された現実的な取引の詳細が含まれています。
- ログイン ページへの正当なリンク:リンクをクリックすると、被害者は本物の PayPal ログイン ページに移動し、電子メールの正当性をさらに確信します。
- アカウント乗っ取り:被害者が自分のアカウントにログインすると、攻撃者のメール アドレスが密かに被害者の PayPal アカウントにリンクされます。これにより、攻撃者はアカウントを制御できるようになります。
Microsoft 365 と PayPal の機能の巧妙な悪用
Fortinet によると、攻撃者は Microsoft 365 の送信者書き換えスキーム (SRS) を利用して送信者のアドレスを変更し、メールがセキュリティ チェックを回避できるようにしたとのことです。攻撃者は Microsoft 365 に無料のテスト ドメインを登録し、被害者のメール アドレスを含む配布リストを作成し、PayPal の Web ポータルを使用して支払い要求を送信しました。
正当なサービスと巧妙に設計された手順の組み合わせにより、このキャンペーンは特に危険になっています。PayPal の内部フィッシング検出対策でさえ、これらのメールを悪意のあるメールとして検出することはできません。
この攻撃がなぜ効果的なのか
このフィッシング キャンペーンは、合法的な要素に依存している点で際立っています。
- 本物の PayPal リンク:本物の URL を使用すると信頼が構築されます。
- 本物の送信者アドレス:メールは PayPal から送信されたように見え、受信者とセキュリティ システムの両方を騙します。
- 正当なログイン ページ:被害者は PayPal の実際の Web サイトに誘導され、実際のセッション中にフィッシングが行われます。
- マルウェアや偽のページなし:この攻撃は、偽の Web サイトやマルウェアを含んだ添付ファイルなどの従来のフィッシング マーカーを回避し、検出可能性を低下させます。
巧妙なフィッシング攻撃から身を守る方法
このキャンペーンは、ますます巧妙化するフィッシング攻撃から身を守るために、警戒を強化し、積極的な対策を講じる必要があることを強調しています。安全を保つために、次のヒントに従ってください。
- 迷惑メールには注意してください:メールが正当な送信元から送信されたように見えても、予期しないメッセージには注意してください。
- 支払いリクエストの確認:メール内のリンクをクリックするのではなく、PayPal の Web サイトまたはアプリから直接 PayPal に連絡して、支払いリクエストを確認してください。
- アカウントを監視する: PayPal アカウントを定期的に確認して異常なアクティビティがないか確認し、不明なメール アドレスのリンクを解除します。
- 従業員の教育:フィッシング攻撃を認識できるように従業員をトレーニングすることは、個人と組織の両方のセキュリティにとって重要です。
- 2 要素認証 (2FA) を有効にする: PayPal アカウントに 2FA を追加すると、不正アクセスに対する保護が強化されます。
結論
この PayPal フィッシング キャンペーンは、攻撃者がいかにして最も安全なシステムさえも悪用する戦術を進化させているかを思い起こさせる恐ろしい事例です。正規のリンクを使用し、従来のフィッシング インジケーターを回避することで、攻撃者はユーザーと自動化されたセキュリティ対策の両方が詐欺を検出することを困難にしています。
自分自身とアカウントを保護するには、常に情報を入手し、用心深く、積極的に行動することが不可欠です。特に金融取引に関するメールは必ず二重チェックし、サイバーセキュリティのトレーニングを優先してリスクを軽減してください。フィッシング攻撃はますます巧妙化しているため、慎重なアプローチが安全と被害者の違いを意味する場合があります。
