新たなPayPal詐欺、偽のサポート番号付きの認証済み請求書を送信

新たなフィッシング詐欺が、PayPalの正規の請求書システムを悪用し、無防備なユーザーをだましています。受信箱では憧れの「青いチェック」認証マーク付きで表示されることさえあり、この巧妙な攻撃は従来のメールセキュリティフィルターをすり抜け、技術に詳しい人でさえ混乱させています。

Hackread.comは、この拡大する脅威の直接的な証拠を入手し、攻撃者がPayPal自身のサービスを悪用して不正な送金リクエストを送信し、それらを完全に本物に見せかけていることを確認しました。

欺瞞：なぜ青いチェックは嘘なのか

あなたは危険信号を見抜くよう教えられてきました。スペルミス、不審なリンク、未認証の送信者などです。しかしこの詐欺は「信頼」を悪用します。本日早く、Hackread.comのチームメンバーの1人が、PayPalの青いチェック付きで、まったく見覚えのないメールアドレス [email protected] 宛ての請求書メールを受け取りました。」送信元は [email protected] からのもので、完全に正規に見えましたが、内容は明らかに悪意あるものでした。

この「ノーフィッシュ」なフィッシングの仕組みは次のとおりです：

• 正規の送信元： 詐欺師はPayPal上に正規（ただし不正目的）のビジネスアカウントを作成します。

• 本物の請求書： PayPalの実際の「送金リクエスト」または「請求書」機能を使用します。PayPal自体がメールを送信するため、すべての認証チェック（SPF、DKIM、DMARC）を通過し、受信箱で「青いチェック」（Brand Indicators for Message Identification – BIMI）を獲得します。このケースでは、メールはGoogle Workspaceが提供するセキュリティフィルターを回避しました。

• 隠された罠：実際の詐欺は悪意あるリンクにあるのではありません（正規のPayPal請求書へのリンクは存在します）。代わりに、請求書の「顧客へのメモ」欄にあります。ここに詐欺師は「あなたのアカウントに$843.29が請求されました。承認していない場合はサポートに連絡してください +1-805-400-3162。」といった文言を挿入します。

• 誤った宛先トリック： 目立たない、またはグループ用のメールアドレス（例：[email protected]）宛てにすることで、攻撃者は受信者を混乱させようとします。ユーザーはしばしば「これは自分宛てではないのに、PayPalから…何かおかしい！」と思ってしまいます。この混乱が、偽の電話番号に電話させるために仕組まれています。

本当の危険：コールバック・フィッシング

これは典型的なコールバック・フィッシング攻撃です。FBIはこの手口について複数の警告を発しています。請求書のメモに記載された電話番号はPayPalのものではありません。詐欺のコールセンターに直接つながります。電話がつながると、詐欺師はソーシャルエンジニアリングの手口を使って次のことを狙います：

• あなたのコンピューターへのリモートアクセスを得る（例：「AnyDesk」や「TeamViewer」をインストールするよう求める）。

• 銀行口座やその他の機密性の高い金融プラットフォームにログインするようだまして誘導する。

• 不正請求を取り消すのを「手伝う」と称し、誤って多額の送金をしてしまったと信じ込ませ、返金として金銭を送るよう要求する。

安全を保つために必ず行うべきこと：

• メール内のどの番号にも電話しない： これが最大の罠です。PayPalが請求書のメモに記載された番号へ電話するよう求めることは決してありません。

• メール内のリンクはクリックしない（本物に見えても）： リンクが実際のPayPal請求書に飛ぶ場合でも、関わることで混乱を招く可能性があります。

• PayPalへ直接アクセスする： このようなメールを受け取ったら、すぐにWebブラウザを開き、www.paypal.com を手入力してアカウントにログインしてください。

• 保留中のリクエストを確認する： PayPalのアクティビティで、予期しない「送金リクエスト」や「請求書」がないか確認してください。不正なものが見つかった場合は支払わないでください。

• 不正を報告する： 正規のPayPalサイト上で、通常は請求書を直接「キャンセル」または「報告」できます。また、詐欺メールを（可能であれば添付ファイルとして）PayPalのフィッシング対策チーム [email protected] に転送してください。

• 周囲に周知する： この進化する脅威について、友人、家族、同僚に注意喚起してください。「青いチェック」はもはや安全の保証ではありません。

PayPalは迅速に対応

Hackread.comがこの事案をPayPalに報告したところ、PayPalは数時間以内に請求書を削除し、その内容を詐欺警告に差し替えて対応しました。「この請求書は詐欺の可能性があるため削除しました。当社の不正検知ツールは、すべての人にとってオンライン商取引を安全に保つため、24時間体制で稼働しています。」

それでもこの詐欺は、攻撃者が正規のプラットフォームやサービスを利用して悪意あるペイロードを届ける方法を見つけているという、増加傾向を示しています。したがって、自分の直感を信じ、常に公式チャネルを通じて情報を確認してください。予期しないメールのリンクをクリックしたり、記載された番号に電話したりして確認してはいけません。