FBIは本日、アカウント乗っ取り（ATO）詐欺スキームが大幅に急増していると警告し、金融機関を装ったサイバー犯罪者が、今年初めからATO攻撃によって2億6200万ドル以上を盗み取ったと発表しました。
2025年1月以降、FBIのインターネット犯罪苦情センター（IC3）には5100件以上の苦情が寄せられており、これらの攻撃は個人だけでなく、あらゆる業界セクターの企業や組織にも影響を及ぼしています。
これらの手口では、犯罪者はさまざまなソーシャルエンジニアリング手法や不正なウェブサイトを利用して、オンラインの銀行口座、給与口座、またはヘルスセービング口座に不正アクセスするとFBIは説明しています。
一度アカウントの支配権を握ると、犯罪者は資金を暗号資産ウォレットに送金し、資金の回収を非常に困難にします。多くの場合、アカウントのパスワードを変更し、正当な所有者を締め出します。
「なりすまし犯がアカウントへのアクセスと支配権を得ると、サイバー犯罪者はすぐに資金を他の犯罪者が管理する口座へ送金します。その多くは暗号資産ウォレットに紐づけられており、資金は迅速に分配され、追跡および回収が困難になります」と、法執行機関は本日発表されたIC3の公共サービスアナウンスメントで警告しました。
「一部のケース、特にほぼすべてのソーシャルエンジニアリングのケースでは、サイバー犯罪者はオンラインアカウントのパスワードを変更し、所有者を自分の金融アカウントから締め出します。」
FBIは、金融口座の監視、ユニークで複雑なパスワードの使用、多要素認証の有効化、そして銀行のウェブサイトにアクセスする際は検索結果ではなくブックマークを使用することを推奨しています。
被害者は、損失を軽減できる可能性のある送金の取り消し要請および免責証書／補償文書（Hold Harmless Letter/indemnification documents）を取得するため、直ちに金融機関へ連絡する必要があります。またFBIは、犯罪者が利用した金融口座やなりすましに使われた企業などの詳細情報を含めて、ic3.govで苦情を提出することも推奨しています。
フィッシングと法執行機関のなりすまし
詐欺師は通常、テキストメッセージ、電話、またはメールを通じて銀行職員やカスタマーサポート担当者になりすまし、潜在的な被害者を操作して、多要素認証（MFA）やワンタイムパスコード（OTP）を含むログイン認証情報を提供させます。
盗まれた認証情報は、その後、金融機関のウェブサイトへのログインとパスワードリセットの実行に利用され、被害者のアカウントの支配権を奪うために使われます。
被害者からの報告によると、一部の犯罪者は、被害者の情報が不正取引や銃器購入に使用されたと虚偽の主張を行い、被害者をフィッシングサイトに誘導したり、法執行機関になりすました別の犯罪者に機密情報を提供させたりしていました。
これらの攻撃で使用されるフィッシングサイトは、正規の金融機関や給与支払いサイトに見えるように設計されています。場合によっては、攻撃者は検索エンジン最適化（SEO）ポイズニングの手口も用い、広告を通じて不正サイトを検索結果の上位に押し上げます。
FBIは9月にも、サイバー犯罪者が金融詐欺や標的の個人情報窃取のために、インターネット犯罪苦情センター（IC3）のウェブサイトになりすましていると警告しました。
