- Huntressが、バンク・オブ・アメリカを装ったフィッシングメールを確認。被害者をWindowsとmacOSで異なる感染経路に誘導していることが判明
- Windowsユーザーは偽の「Account Guard」を通じてScreenConnect RMMをインストールさせられ、macOSユーザーは個人情報窃取を目的とした認証情報収集フォームに誘導される
- メールはバンク・オブ・アメリカのブランドを模倣していたが、送信元は無関係なドメインだった。詐欺を見分けるには送信者アドレスの確認が推奨される
バンク・オブ・アメリカの利用者は、より一層の注意が求められています。ハッカーが同社を装い、不要なソフトウェアをダウンロードさせてコンピューターへのアクセス権を奪おうとしていると専門家が警告しました。
セキュリティ研究者Huntressは、明らかにしました。同社が運用するハニーポット(主に詐欺師を捕捉するために設置されたアドレス)に、バンク・オブ・アメリカを名乗るフィッシングメールが届いたとのことです。
当然ながら、このメールは同社とは全く無関係のドメインから送信されていましたが、企業ロゴや配色などの細部が丹念に模倣されており、本物とほとんど見分けがつかない仕上がりでした。
よくあるScreenConnect詐欺の一種
メールの中では、一定の情報を「確認」しない限りアカウントが「制限」される、と警告されていました。
被害者がメールを閲覧するプラットフォームによって、感染経路も最終的な目的も異なります。Windowsユーザーの場合、「金融データの保護、不正取引やその他のサイバー脅威の防止を目的とした強力なツール」と説明される「Account Guard」のインストールを促されます。
これは実際には「ガード」などではなく、ScreenConnectというリモートモニタリング・管理(RMM)ツールのインストールにつながるVisual Basicスクリプトです。ScreenConnect自体は悪意のあるツールではなく、正規の製品です。しかし同時に、最も悪用されているソフトウェアの一つでもあり、攻撃者が警告を発することなく被害者のコンピューターへの継続的なアクセス権を得るために利用されています。
一方、macOSユーザーの場合は目的が異なります。マルウェアの展開を試みる代わりに、攻撃者は機密データの窃取を狙います。まず被害者は銀行口座へのログインを求められます(2回にわたって行われ、1回目の試行は必ず失敗するよう仕組まれています。これは被害者がわざと間違ったパスワードを入力するケースに対応するためです)。
そして「ログイン」が完了すると、2番目のウェブページで氏名、郵送先住所、政府発行IDの詳細、社会保障番号(SSN)、支払いカードの詳細といった情報の「確認」を求められます。これは個人情報窃取や、電信詐欺(ワイヤーフラウド)を行うのに十分な情報です。
Huntressは現在、バンク・オブ・アメリカを名乗るメールを受け取った利用者全員に対し、送信者アドレスを必ず二重確認するよう呼びかけています。これが、そのメールが正規のものか詐欺かを見分ける最も確実な方法だといいます。
