FBIは、犯罪者がソーシャルメディアや個人アカウントに侵入し、本人の同意なく親密な画像・動画を盗み出して拡散しているとして、Public Service Announcement(PSA)を発表し、注意を呼びかけました。FBIはこの種のコンテンツを「非同意性的画像(NCII)」と呼んでいます。
盗まれた素材は、被害者の氏名、電話番号、メールアドレス、ソーシャルメディアのハンドル名とともに犯罪者向けマーケットプレイスに投稿・販売されることがあり、これがハラスメントやストーキング、性的脅迫(セクストーション)につながる恐れがあります。
FBIによると、犯罪者はアカウント乗っ取りとソーシャルエンジニアリングの手口を組み合わせて使用しています。
- パスワード・PINの推測: 犯罪者は、データ漏えいや公開されているソーシャルメディアのプロフィール、リークサイト、その他一般に入手可能な情報源からのデータを使い、大量のログイン試行を行います。既知の被害者については、名前のバリエーションや生年月日など、推測可能な個人情報を使って狙われることもあります。
- 偽のカスタマーサポートを装ったテキストメッセージ: 被害者は、ソーシャルメディアアカウントがロックまたは無効化されるという内容のメッセージを受け取ります。犯罪者は正規のパスワードリセット要求を発生させたうえで、被害者を説得して届いた認証コードを聞き出します。
- フィッシングメール: 本物に似せたサポート用ドメインやメールアドレスから「新しいログイン」を警告するメールが届き、認証情報を盗み取るために作られた偽のパスワード変更ページへ被害者を誘導します。
これは、よく知られている「あなたを録画した」というセクストーション詐欺メールとは異なるものです。あの手の詐欺は通常、実際にアカウントが侵害されているわけではなく、脅しに頼るものです。とはいえ、そうしたメールに自分がまだ使っているパスワードが記載されていた場合は、そのパスワードを使っているすべての箇所で直ちに変更してください。
安全を守るために
被害者になるリスクを減らす方法はいくつかあります。
- 可能な限り、機微な画像をソーシャルメディアプラットフォームやその他のインターネット接続サービスに保存しないようにしましょう。データ漏えいや流出は起こり得るものであり、そうした画像が悪意ある第三者の手に渡ってしまうことがあります。
- パスワードマネージャーを使い、アカウントごとに一意で長いパスワードを作成しましょう。パスワードやPINを名前や誕生日など、公開されている情報に基づいて設定してはいけません。
- 可能であればパスキーやハードウェアセキュリティキーを使った多要素認証(MFA)を有効にしましょう。MFAは有用ですが、犯罪者は依然としてワンタイムコードやセッションクッキーをフィッシングで盗み取ることができるため、身に覚えのない認証プロンプトを承認したり、認証コードを他人と共有したりしないでください。
- テキストメッセージやメールに記載された、身に覚えのない「アカウント警告」リンクは疑ってかかりましょう。リンクをクリックする代わりに、そのサービスの公式アプリを開くか、既知のWebアドレスを自分で入力してください。検索結果の広告(スポンサーリンク)を信用して正しいWebサイトにたどり着けると思い込まないようにしましょう。
親密なコンテンツが盗まれた、あるいは拡散されたことが判明した場合は、関連するリンクや証拠を保存し、影響を受けたアカウントを保護したうえで、FBIのNCII報告ポータルncii.ic3.govから報告してください。
詐欺師はあなたをハッキングする必要すらありません。あなたに一度クリックさせるだけでいいのです。
Malwarebytes Identity Theft Protectionは、問題が起きる前に不審な活動を検知します。
ソース: malwarebytes.com
