- Huntress、偽の注文とアプリ通知を使ったShopify返金詐欺を発見
- 攻撃者は配送先住所に連絡先情報を埋め込み、被害者を騙して支払わせる
- ユーザーには不審な情報を無視し、返金内容を確認し、偽の店舗を報告するよう推奨
Shopifyストアを運営する企業や個人を標的に、極めて巧妙な偽の返金詐欺が横行していると専門家が警告しています。
Huntressのセキュリティ研究者は、この偽返金詐欺の手口を解説しています。まず被害者は、返金を受け取ったという通知を受け取ります。返品されたiPhoneや、キャンセルされたサービス・注文に対する返金という体裁です。「返金」額は数百ドルから数千ドルまでさまざまです。その直後、詐欺師が被害者に電話をかけたり(あるいは郵送で)連絡し、誤って返金を行った会社の者だと名乗って、被害者に返金分を返すよう説得します。
被害者がこれに従ってしまうと、実際には「返金」自体が発生していないため、被害者は自分自身のお金を詐欺師に送金してしまうことになります。
Shopifyのインフラを悪用
この攻撃を成立させる方法はいくつかあります。詐欺師が実際に最初の取引を行い、その後キャンセルして資金を回収するケースもあれば、取引内容を示す偽のページを作成し、より騙されやすい相手を狙うケースもあります。
ほとんどの場合、偽の返金詐欺は比較的簡単に見抜けるため、近年はあまり流行していません。しかし今回の新たなキャンペーンには、手練れの担当者でも思わずたじろぐような不気味なひねりが加えられています。
Huntressのレポートによると、攻撃者はまず自分たちのShopifyストアを開設する(あるいは侵害済みのストアを利用する)ところから始めます。研究者が観測したストアは「My Store」という名前で、後に詳しく調査される前に削除されていました。次に攻撃者は自ら偽の注文を作成し、標的となる相手の電話番号やメールアドレスを受取人として設定します。
この種の情報を入手すること自体は、今日ではさほど難しくありません。ダークウェブには何百ものメールアドレス・電話番号のデータベースが流出しており、無料で(あるいはわずか数ドルで)入手できます。攻撃者が注文を送信すると、被害者のShopアプリに通知が表示されます。
そうです、Shopifyアプリそのものに、です。Shopifyのインフラを経由して届くため、本物の通知と容易に混同されてしまいます。スマートフォンでプッシュ通知を有効にしているユーザーにとっては事態はさらに深刻で、他の通知と並んでShopifyのロゴ付き通知がそのまま表示されることになります。
しかし攻撃者にとって最も難しいのは、被害者に金銭を「返金」させる部分です。今回のケースでは、電話やメッセージで直接連絡する代わりに、配送先住所欄に自分たちの連絡先情報を仕込み、パニックになった被害者が自ら連絡してくるのを狙っています。
共有された事例の一つでは、配送先住所が次のように記載されていました。「Owen Nolan『2856 If You Didnt Place This Order Call Us at 1_888_690_3420-』、Albany NY United States 1_888_690_3420」。
インターネットの荒野を慎重に歩いてきた人であれば、この配送先住所に含まれるメッセージは即座に危険信号だと気づくはずです。文法の誤り、全て大文字の表記、場違いな電話番号――これらは詐欺の試みを示す明白なサインと言えるでしょう。しかしこの種の詐欺は、被害者が急いでいたり、不注意だったり、多忙だったり、不安を抱えていたりすることに賭けているため、それでも通用してしまう可能性があります。
Huntressは、この詐欺がShopifyコミュニティにどの程度の実害をもたらしたか、あるいは特定のユーザー層を標的にしていたかについては明らかにしていません。
偽の返金詐欺への対策
こうした攻撃から身を守るため、研究者はユーザーに対し、注文に記載された見覚えのない電話番号やメールアドレス、リンクには絶対に反応しないよう助言しています。また、Shopアカウントや個人データのセキュリティに不安がある場合はサポートに連絡すべきだとし、実際に自分の銀行口座に変動があったかどうかを確認するよう強調しています。変動がなければ、Shopアプリ内で該当の注文を「自分の注文ではない(Not my order)」として報告することができます。
最後に、Shop上のストアから購入する際は一般的に、そのストアや商品レビューを確認し、他の顧客の体験を参考にすることが推奨されます。商品やストアが偽物である疑いがある場合は、簡単に報告することができます。今回の詐欺に関わったストアの多くは開設されたばかりで、中には「近日公開(coming soon)」という説明が付いたものもありました。
