スミッシング・トライアド：中国拠点の詐欺ネットワークが露見

「スミッシング・トライアド」と呼ばれる中国語話者のサイバー犯罪グループが、米国市民を標的にした大規模なスミッシング（SMSフィッシング）キャンペーンを実施していることが確認されました。

このキャンペーンは、Royal Mail（英国）、ニュージーランド郵便、Correos（スペイン）、PostNord（スウェーデン）、Poste Italiane、イタリア歳入庁、USPS、Poczta Polska（ポーランド）、J&T Express（インドネシア）、New Zealand Postなど、さまざまな郵便・配送サービスになりすます手口を巧妙に用いています。

同グループはiMessageを使って荷物追跡を装ったテキスト詐欺を送信し、個人を特定できる情報（PII）や支払い認証情報を収集して、なりすまし（ID）盗用やクレジットカード詐欺を狙っています。

水曜日にResecurityが公開した新たな注意喚起によると、スミッシング・トライアドのキャンペーンは、従来のSMSや通話ではなく、侵害されたApple iCloudアカウントからのiMessageのみを主要な配信手段として排他的に利用している点で、これまでのスミッシング攻撃と異なります。

iCloudのセキュリティについて詳しく読む：Apple、クラウドセキュリティを強化する新たなデータ保護を導入

同グループが使用するスミッシングキットはTelegramのIMグループで販売されており、活発な「詐欺のサービス化（FaaS）」ネットワークを形成しています。Resecurityはそのようなキットの一つを入手してリバースエンジニアリングを行い、SQLインジェクションの脆弱性を発見しました。これにより、10万8000人超の被害者のデータを取得し、潜在的ななりすまし被害について警告することができました。

さらに調査を進めたところ、スミッシング・トライアドは他のサイバー犯罪者と協力し、サイバー犯罪のサービス化インフラを提供していることが判明しました。同グループのスミッシングキットのサブスクリプションは月額200ドルからで、顧客に対して有効化コードや展開用スクリプトを提供し、さまざまなフレームワークが用いられることも多いとされています。

同グループは世界中の複数の郵便・配送サービスを標的にしてきました。また、悪意あるコードを注入して顧客データを傍受することで、オンラインショッピングプラットフォームも攻撃しています。

スミッシング攻撃は進化を続け、SMSやiMessageといった通信チャネルに対するユーザーの信頼を悪用しています。Resecurityは注意喚起の中で、消費者の認知向上の必要性を強調し、組織に対して顧客をより適切に保護するよう助言しました。

技術レポートには、「適切な規制の調和と海外での相互法的支援がなければ、中国のような外国の法域に所在する主体によって行われるサイバー犯罪活動を妨害するのは複雑である」と記されています。

「そのためResecurityは、組織が顧客をより適切に保護できるよう支援するため、認知向上を目的として『スミッシング・トライアド』に関する情報をサイバーセキュリティコミュニティおよび一般の人々と共有している」としています。