Facebookのユーザーから、自分の名前が出品者として表示された偽のFacebook Marketplace出品メッセージが届いたとの報告が相次いでいます。
手口は次のとおりです。まず、「こちらはまだ購入できますか？」というメッセージが届きます（今回の事例ではiMessage）。メッセージには、でっち上げられたFacebook Marketplaceの出品情報が添付されています。
画像をタップすると、出品者の名前が自分の名前と同じであることに気づくかもしれません。これは会話のきっかけ作り（コンバセーション・ルアー）と呼ばれる手法です。メッセージにもっともらしさを与え、返信する理由をもう一つ上乗せします。
興味深いことに、今回確認した事例では、出品者の名前こそメッセージの受信者と一致していたものの、プロフィール写真は別人のものでした。調べたところ、その写真は同姓同名の別のFacebookユーザーのものだと判明しました。
おそらく攻撃者は、名前と紐づいた電話番号を入手しており、それを使って偽のMarketplace出品を作成したとみられます。このようなメッセージを受け取れば、「それは私ではない」と訂正したくなるのが自然な反応でしょう。多くの受信者が、Marketplace上で詐欺師に成りすまされていると考えるはずです。
この手口は、手間がかかるわりに成功率が低いように思えるかもしれません。数年前であれば、実際にそのとおりでした。しかし、AIエージェントと、情報漏えいで流出した名前と電話番号の対応リストがあれば、大規模に比較的簡単に実行できます。これにより、費やした時間に対するリターンは劇的に変わります。
名前と電話番号の組み合わせは、数多くあるデータ侵害のどれからでも入手できる可能性があります。ダークウェブでは、サイバー犯罪者がこうした目的で個人データを売買しています。
「コーヒー1杯分にも満たない金額で、サイバー犯罪者は他人の経済生活を破壊するのに十分な情報を買えてしまいます」
名前入りにパーソナライズされたスクリーンショットは、返信を誘うきっかけとして非常に効果的に機能します。好奇心、評判への不安、そして明らかな間違いを正したくなる衝動を組み合わせた、心理面でよく練られた仕掛けであり、高い効果が見込まれます。
しかし、フィッシングのテキストメッセージに返信すると、詐欺師に「この番号は使われている」と教えることになります。そうなると、あなたの電話番号は詐欺師にとっての価値が高まり、ほかの詐欺師に転売されかねません。ほかにも、マルウェアのダウンロード、詐欺につながる関係の構築、Facebookアカウントの乗っ取りなど、さまざまなサイバー犯罪に悪用される可能性があります。
身を守るために
返信しないかぎりこのメッセージの真の目的を特定するのは困難ですが、次のような対策が有効です。
- ソーシャルメディアで公開する情報を制限しましょう。詐欺師は、あなたに関する情報を使って手口の信憑性を高めます。
- 知らない相手からの一方的なメッセージには、どのような種類であっても返信しないでください。
- 送信者を知っていても、メッセージを信用できない場合は、別の連絡手段で本人が送ったものかどうかを確認してください。
- リンクのクリック、会話内に記載された番号への電話、QRコードのスキャン、ワンタイムコードやセキュリティ通知のスクリーンショットの共有は行わないでください。
- Facebookを自分で直接開き、Marketplaceのアクティビティ、最近のログイン、メッセージ、メールアドレス、電話番号、アカウント復旧の設定を確認してください。侵害の兆候が見つかった場合は、facebook.com/hackedを利用してください。
- 本当に自分に成りすましているプロフィールを見つけた場合は、そのURLを保存したうえで、プロフィールを報告してください。Facebookは、なりすましのプロフィールは同社の規定に違反するとしており、なりすまし報告の手続きを用意しています。
- メッセージが詐欺かどうか判断できない場合は、Malwarebytes Scam Guardを利用してください。本物か偽物かの判断を支援し、次に取るべき対応も案内します。
