「お荷物のお届けについて」のSMS いまだに通用する詐欺の解剖学。

詐欺の背後にあるインフラ

こうしたSMSは、ガレージで使い捨て携帯を握った10代の若者から送られてくるわけではありません。プロによるSMSフィッシングのキャンペーンの背後には、産業レベルのインフラが存在します。

大量送信用のサーバーは、一般に欧州連合の外ウクライナ、モルドバ、一部の東南アジア諸国にホスティングされており、司法協力を難しくしています。送信元の番号は、ブラックリストを逃れるために1時間ごとに切り替えられる使い捨て番号です。不正なWebページは、キャンペーンの24〜48時間前に登録されたドメイン上に、多くの場合、良心のないレジストラを通じてホスティングされています。

サーバー、番号、ドメイン、複製ページを含む、すぐに使えるキャンペーン一式の総費用は、150〜300ユーロと見積もられています。10万通の送信に対してクリック率が2%、そしてコンバージョン率（銀行情報の入力）が10%だとすると、その投資利益率は莫大なものになります。

フィッシングページ

偽ページは、DHL、La Poste、Colissimo、Chronopostを不気味なほど正確になりすまします。ロゴもブランドカラーも本物そっくりで、時には配送状況を示すプログレスバーや、ランダムに生成されながらもいかにも本物らしい形式の追跡番号まで備えています。

請求されるのは、「通関手数料」や「再配達料」として1.99ユーロ。金額はわざと低く設定されており、高額な取引につきものの心理的な警戒心を呼び起こしません。

狙いはその2ユーロではありません。16桁のカード番号、有効期限、そして裏面のCVVです。この3つの情報があれば、あらゆるオンライン決済サービスで請求が可能になります。

その後に起きること

入力から数時間のうちに、あなたのカードは「テスト」されます。強力な認証なしで支払いを受け付けるプラットフォーム（一部のサブスクリプションサービス、チップ、寄付など）で、0.01〜0.50ユーロの少額決済が行われるのです。

カードが有効だと確認されると、より高額な買い物が続きます。好んで使われる手口は、Steam、Amazon、Google Playのギフトカードの購入です。これらは数分のうちに二次市場で現金化でき、銀行に直接結びつく痕跡を残しません。

チャージバックによってお金を取り戻すには、平均して3〜6か月かかります。銀行はほぼ確実に返金してくれますが、それは期限内（フランスでの支払いの場合は最長13か月）に取引に異議を申し立てた場合に限られます。

引っかからないためには

リスクの95%を取り除く、4つのシンプルなルールです。

→配達のSMSに含まれるリンクは決してクリックしないこと。運送業者の公式サイト（laposte.fr、dhl.fr）に直接アクセスし、販売者から受け取った追跡番号を手入力しましょう。
→何かを入力する前にURLを確認すること。「laposte-colis-paiement.com」や「colissimo-fr.net」はLa Posteではありません。正規のURLは常にlaposte.frです。
→本物の運送業者が、配達のためにSMSで銀行カードの情報を求めることは決してありませんこれは間違いなく詐欺の目印です。
→そのSMSを33700（GSMAが運営するフランスの国家的なスミッシング対策プラットフォーム）に報告しましょう不正な番号をより早く停止させる助けになります。

Trasimèneは、URLをリアルタイムで分析します。不正なリンクをタップしたり開いたりしても、ページが読み込まれる前にアクセスがブロックされます。

こうした詐欺がなくならないのは、きわめてありふれた状況を突いてくるからです。誰もが荷物を注文しますし、複数の荷物が同時に配送中であることも珍しくありません。SMSで届くすべてのリンクに対して、例外なく徹底して警戒することそれが唯一の本当の防御策です。配達のメッセージに含まれるリンクは、決して直接クリックしないでください。

参考資料

Trasimène：モバイルセキュリティ

フィッシング対策を有効にする

Trasimène をダウンロード →