見知らぬ人物からRedditでメッセージが届きます。誰かに通報されたが、その通報者のアカウントがあなたのものによく似ているというのです。本当にあなたが通報したのでしょうか。
実際には違います。しかし、それはこのメッセージの本当の狙いではありません。
この手口はソーシャルエンジニアリングのみに依存しています。マルウェアも悪意あるリンクも使われません。会話から始まりますが、目的はログイン情報や確認コードをだまし取り、詐欺師があなたのRedditアカウントに侵入できるようにすることです。
この詐欺の手口
この詐欺には主に2つのバリエーションがあります。
- 「誰かが私を通報したのですが、それはあなたのようです」
- 「誤ってあなたのアカウントを通報してしまいました」
相手は通報に関して何か誤りがあったと主張します。あるパターンでは、誰かに通報されたが、その通報者はあなたのようだと言います。別のパターンでは、誤ってあなたのアカウントを通報してしまったので、解決に協力してほしいと言います。いずれの場合も、実際には通報など存在しません。これはDiscord、Reddit、その他のプラットフォームで一般的になっているソーシャルエンジニアリング詐欺の入り口にすぎません。
最終的な狙いは手口によって異なります。ログイン情報や確認コードを共有させ、詐欺師がアカウントにサインインしてパスワードを変更し、被害者をアカウントから締め出そうとするパターンがあります。また、アカウントに紐づくメールアドレスを自分が管理するものに変更させようとするパターンもあります。その後、「問題を解決する」ためとしてギフトカードやその他の支払いを要求し、支払わなければアカウントを削除する、あるいは他人を騙すために悪用すると脅してきます。
もしまだ相手とやり取りをしている最中であれば、すぐにやめてください。コードを共有したり、アカウント情報を変更したりしてはいけません。すでにそのいずれかを行ってしまい、アカウントへのアクセスを失った場合は、下記の「自分を守るための対策」まで読み進めてください。
詐欺の実際の流れ
会話は通常、2つの主張のいずれかから始まります。相手は「誰かがあなたのアカウントを通報したようだ」と言うか、「誤ってあなたのアカウントを通報してしまった」と主張します。
否定しても、詐欺師は言い争いません。「おそらく単純な間違いだろう」と言って会話を続けようとします。誰が通報したか心当たりはないか尋ねたり、問題解決に協力できると示唆したりすることもあります。目的は単に会話を続けさせることです。
そして相手は「証拠」を送ってきます。それはRedditからのものに見せかけたメールのスクリーンショットです。かしこまった口調で、チケット番号が記載され、「正式な調査」が進行中だと主張し、通常12時間のカウントダウンとともに「アカウント停止、機能制限、またはBAN」を予告してきます。中には、Redditの従業員やモデレーターを名乗る人物とDiscordで連絡を取るよう指示するパターンもあります。また、状況とは無関係な法律や規制を引き合いに出す偽の法的警告が含まれることもあります。これらはすべて虚偽です。
これがRedditの実際の運用と異なる理由
Redditは通報に関わった人物同士を連絡させることはなく、見知らぬ人物とのダイレクトメッセージを通じてアカウントの確認を求めることもありません。異議申し立てをDiscord経由で処理したり、スタッフ個人のDiscordアカウントへの連絡を指示したりすることもありません。通報、モデレーション、異議申し立てはすべてReddit自体を通じて行われます。
カウントダウンは緊迫感を演出するためのものです。停止、機能制限、BANといった曖昧な脅し文句と組み合わせることで、状況をよく考える前に行動させようとしているのです。
詐欺師の本当の狙い
通報の話や偽のメールは、あくまで下準備にすぎません。詐欺師は、あなたが関与していないことを証明するためにRedditの従業員や「監督者」がアカウントの確認を必要としていると告げます。そのためには、これからRedditから届くコードを読み上げる必要があると言うのです。
会話を続けている間に、詐欺師はあなたの実際のアカウントにサインインを試みたり、アカウント復旧手続きを実行したりします。すると、Redditから本物のログインコードや確認コードがあなた宛てに届きます。
このタイミングは偶然ではありません。コードは「これから届く」と告げられた直後に届くよう仕組まれています。そのコードを読み上げてしまうと、詐欺師はそれを使ってあなたのアカウントにサインインし、パスワードを変更してあなたを締め出すことができます。コード自体は本物ですが、それにまつわる話は全くの作り話です。
なぜ人はこの詐欺に引っかかるのか
あなたが誰かを通報したと責められた場合でも、誤って通報されたと告げられた場合でも、この詐欺は「問題を解決したい」という気持ちにさせます。そのため、アカウントの「確認」を求められたとき、それがセキュリティ上のリスクではなく、問題解決の一環であるかのように感じてしまうのです。
偽のメールは話をより信憑性のあるものに見せます。特に、連絡方法や手続きが実際のRedditの運用と一致しているかどうかを疑わずにいると、なおさらです。カウントダウンは緊迫感を加え、じっくり考える前に行動するよう仕向けてきます。
これは単に「だまされやすい」という話ではありません。妥当な要求であるかのように見せかけるよう練り上げられた、ソーシャルエンジニアリングの台本なのです。
ダイレクトメッセージだけの話ではない
この誤通報詐欺は通常ダイレクトメッセージから始まりますが、詐欺師はアカウントがロックされた、あるいは対応が必要だと主張するフィッシングメールでRedditになりすますこともあります。予期しないセキュリティ関連のメールを受け取った場合は、その中のリンクをクリックしないでください。代わりに、公式のウェブサイトまたはアプリから直接Redditにサインインしてください。
アカウントが乗っ取られると、自分が作成していない投稿やコメント、メッセージに気づくことがあります。これは、他人があなたのアカウントにアクセスしている兆候です。その場合は、パスワードを変更し、まだ設定していなければ二段階認証を有効にした上で、Redditのアカウント復旧手続きに従ってください。
自分を守るための対策
- Redditのログイン情報や確認コードは、たとえRedditのスタッフやサポートを名乗る相手であっても、決して誰にも共有しないでください。
- 見知らぬ人物の求めに応じて、アカウントに紐づくメールアドレスを変更しないでください。「通報された問題を解決するため」という理由であっても同様です。
- 通報の解決のためにギフトカードの購入や送金を求められた場合、それは詐欺です。
- Redditが、通報に関わった利用者同士を連絡させたり、ダイレクトメッセージを通じてアカウントの確認を求めたり、Discordを通じて異議申し立てを処理したりすることはありません。
- 予期しないRedditのセキュリティ関連メールを受け取った場合は、その中のリンクを使わないでください。代わりに、reddit.comまたは公式アプリから直接アカウントにサインインしてください。
- 認証アプリを使った二段階認証を有効にし、予期しないログインコードや確認コードを受け取った場合は、誰かがあなたのアカウントに侵入を試みている兆候として扱ってください。
- 自分が作成していない投稿やコメント、メッセージに気づいた場合は、直ちにパスワードを変更してアカウントを保護してください。すでにアクセスを失っている場合は、reddit.comのRedditの公式アカウント復旧手続きを利用してください。
- Redditに組み込まれている通報ツールを使って、詐欺師とそのメッセージを通報してください。
覚えておくべきこと
誰かにログイン情報や確認コードの共有を求められたら、その時点で立ち止まってください。それこそが詐欺そのものです。それ以前のやり取りはすべて、その下準備にすぎません。
