クリスマスボーナスが楽しみですか？詐欺師も同じです ― だからこそメールを慎重に確認しましょう

(画像提供: Shutterstock)

年末ボーナスに関する会社からのメールを受け取った際は注意してください ― それは詐欺かもしれません。

企業が現在、ボーナスの配分や業績評価、福利厚生の登録手続きを検討している中、ハッカーたちは人々の職場のパスワードやログイン認証情報を盗もうとしています。

セキュリティ研究者のMimecastは、件名が「今年を締めくくろう ― ボーナスフォームを記入してください！」などのメールがすでに出回っていると警告しています。これらはビジネスメール詐欺（BEC）キャンペーンであり、被害組織の人事部（HR）の侵害されたメールアカウントから送信されています。

被害者をモバイルへ誘導

これらのメールは同じ組織の他の従業員に送信され、公式のブランドやロゴが付いています。

メールにはPDFファイルが添付されており、被害者はその中のQRコードをモバイル端末でスキャンするよう促されます。どうやらこのキャンペーンの第一の目的は、被害者をPCからモバイル環境へ移動させることのようです。なぜなら、モバイルのセキュリティはデスクトップほど強固ではないからです。

被害者がモバイル端末を使ってQRコードをスキャンすると、複数のサイトを経由して最終的に業務用アカウントへのログインを求めるページに誘導されます。

「このキャンペーンは、地理的に分散した侵害アカウントの利用、モバイル端末のフィルタリング、CAPTCHA回避技術などによる検出回避で運用の成熟度を示しています」とMimecastは説明しています。

サイバー犯罪者は、キャンペーンの信憑性を高めてより多くの認証情報を盗むため、イベントや重要な日付をよく利用します。確定申告シーズン、ホリデーシーズン、ブラックフライデー、そしてもちろん年末の業績評価などがその例です。

また、FIFAワールドカップやオリンピック、アメリカ大統領選挙などの大規模なイベントも悪用されます。