新たなフィッシング攻撃により iPhone のセキュリティが無効化: 自分を守るには?

危険なスミッシング攻撃が Apple iMessage ユーザーをターゲットにしており、ソーシャル エンジニアリングを駆使してメッセージング サービスに組み込まれているフィッシング対策機能を無効にしています。この攻撃により、何百万ものユーザーが危険にさらされる可能性がありますが、セキュリティ機能を 1 つ変更するだけで安全を確保できます。

• インターネット史上最も有名な7つのDDoS攻撃

このスミッシング攻撃がiMessageのセキュリティを無効にする仕組み

Apple の組み込みセキュリティ保護機能により、メッセージが不明な送信者から送信された場合、iMessage 経由で送信されたリンクはブロックされます。これは、ユーザーを悪意のあるリンクから保護するためです。サイバー犯罪者は、ユーザーを騙してこのフィッシング対策を無効にさせることで、この機能を回避する抜け穴を見つけました。

攻撃者は、iMessage ユーザーに応答を求める偽のアラートを送信しています。これらの警告は、偽の配達通知や偽の未払い電話料金メッセージの形で届きます。メッセージでは、ユーザーに配信を承諾するか拒否するかを「Y」(はい) または「N」(いいえ) で応答するよう求めます。返信すると、この番号を知っていることが iMessage に伝わり、リンクが有効になります。

Bleeping Computer は、メッセージには、最新の配送状況を取得したり、通行料を支払ったりするために、「テキスト メッセージを終了し、テキスト メッセージのアクティベーション リンクを再度開くか、リンクを Safari ブラウザにコピーする」ようにという指示も含まれていると報告しています。このリンクをクリックすると、ユーザーはフィッシング サイトに移動し、そこで個人情報や金融情報が盗まれ、その後、個人情報の盗難、クレジットカード詐欺、その他の攻撃に使用されます。

ユーザーは、有効な予定やアラートをテキスト メッセージで確認またはキャンセルするために STOP、YES、NO と返信することに慣れているため、攻撃者はこれを利用して、返信が無害であるとユーザーに思わせます。リンクをクリックしない場合でも、返信すると攻撃者にスミッシングメッセージに返信していることが伝わり、将来の攻撃の標的になってしまいます。

自分を守る方法

知らない電話番号からのテキストメッセージには応答しないでください。特に予期しない荷物や知らない罰金に関するテキストメッセージを受け取った場合は、Apple の組み込みセキュリティ保護が無効になります。不明なソースから送信されたリンクは常に悪意のあるものとみなしてクリックしないでください。スミッシングメッセージを検出する他の方法もあります。

パッケージや罰金、手数料を支払う必要があるかどうかわからないが、確認したい場合は、iMessage を閉じて、ブラウザで会社の公式 Web サイトを開いてください。情報を確認するには、カスタマー サービスにお問い合わせください。ウェブサイトまたはアプリからアカウントにログインすることもできます。メッセージ内のリンクを使用して Web サイトにアクセスしないでください。

「すぐに」行動するようにプレッシャーをかけたり、「期間限定オファー」を提供したり、すぐに応答しないと悪影響が出ると脅したりするメッセージには注意してください。ほとんどのフィッシング詐欺は、考える前に行動を起こさせるように設計されています。これにより、詐欺に遭ったことに気づく前に、情報を提供してしまうことになります。

すでにフィードバックを送信してしまった場合はどうすればいいですか?

詐欺だと気付く前に応答したり、攻撃者の指示に従ったりした場合でも、これを軽減する方法はまだあります。

まず、今後メッセージが送られてこないように、すぐに電話番号をブロックしてください。次に、アカウントのパスワードを変更し、多要素認証 (MFA) を有効にします。

すでに財務情報を提供している場合は、すぐに銀行に電話してください。銀行はあなたの口座を凍結し、クレジットカードをキャンセルし、新しいカードを発行することができます。

個人情報の盗難に利用される可能性のあるハッカーに個人情報 (PII) を提供してしまった場合は、TransUnion、Equifax、Experian に連絡して信用を凍結することができます。そうすることで、詐欺師があなたの情報を利用してローンを組んだり、あなたの名前で新しいクレジットカードを申し込んだりすることを防ぐことができます。

クレジットカードや銀行の明細書を監視して、不審な取引がないか確認してください。クレジットや PII の監視を含む個人情報盗難防止サービスも使用できます。高度なサービスには、あなたの名前で作成されたプロフィールを見つけるためのソーシャル メディア追跡や、盗難されたデータの回復サポート、ID 回復プロセスなどのその他のサービスが含まれます。

また、セキュリティホールを修正し、将来の攻撃を防ぐのに役立つため、デバイスの最新のソフトウェア アップデートまたはパッチが利用可能になったらすぐにダウンロードしてください。