今年注意すべき3つのブラックフライデー詐欺

フィッシング攻撃は一年中発生していますが、特に11月末、クリスマスが近づきブラックフライデーやサイバーマンデーで多くの人が買い物をする時期に顕著になります。

今年、英国のサイバーセキュリティ企業Darktraceは、ブラックフライデーをテーマにしたフィッシングキャンペーンが両方のセール日の数週間前に620%急増したと観測しました。

このセキュリティ企業はまた、ブラックフライデー週間（感謝祭を含み、米国ではその後に連休が続く）にはフィッシングがさらに20%から30%増加すると予想しています。

11月27日に発表されたレポートで、Darktraceは消費者に対し、ブランドなりすまし、偽マーケティングドメイン、生成AIによる偽広告という3つの典型的なブラックフライデーフィッシング詐欺の手口について警告しました。

ブランドなりすましメール

ブランドなりすましは2025年にDarktraceのアナリストが注目した手法の一つで、感謝祭とブラックフライデー前の1週間（11月15日〜21日）には、米国小売業者を模倣したフィッシング試行が前年10月の同週と比べて201%増加しました。

Amazonは最もなりすましに使われたブランドで、Darktraceのグローバル消費者ブランド分析では、Apple、Alibaba、Netflixなども含まれる中、フィッシング試行の80%を占めていました。

さらに、Macy’s、Walmart、Targetなど米国の有名小売業者からのように見せかけた偽メールも、同じ週に54%増加しました。

Darktraceが観測したもう一つの顕著なブラックフライデーフィッシングキャンペーンは、「Pal.PetPlatz.com」や「Epicbrandmarketing.com」などのマーケティングサイトを装った偽ドメインを利用していました。

これらの悪質なメールの中には、ロレックスの時計やルイ・ヴィトンのハンドバッグなど高級品の「お得情報」が含まれており、読者をクリックさせるよう仕向けています。

また、Deal Watchdogsという架空ブランドを使い、「見逃せない」Amazonブラックフライデーオファーを宣伝し、読者に本物の期間限定セールを急いで確保させようと誘導しています。

リンクをクリックしたユーザーは偽のAmazonサイトにリダイレクトされ、機密情報や支払い情報を入力させられてしまいます。

最後に、生成AIによるフィッシングメールは「近年のフィッシングで見られる最大の変化」だとDarktraceは述べており、2024年に観測されたフィッシングメールの27%が1000文字以上を含み、LLM（大規模言語モデル）の利用が示唆されています。

ある概念実証（PoC）の例では、技術的な知識のないDarktraceのアナリストが、一般的なチャットボットに2つのプロンプトを与えただけで、本物のブラックフライデーオファーのように見えるメールを作成しました。

「今や誰でも説得力のあるブランドの偽装メールを大量に作成できます。だからこそ、メール利用者は一度立ち止まり、送信者を確認し、クリックする前によく考えることがより重要になっています」とDarktraceのブログは指摘しています。