巧妙なGoogleのフィッシング詐欺に注意

フィッシング詐欺師がGoogleを装い、「[email protected]」から緊急メールを送信し、受信者のGoogleアカウントに関する「法執行機関」からの召喚状があると主張しています。*Bleeping Computer*によると、これらの詐欺師はGoogleの「Sites」プラットフォームを利用して、ユーザーを怖がらせてログイン情報を渡させるような説得力のあるフィッシングメールやウェブサイトを作成しています。

メール認証の専門家であるEasyDMARCによると、これらの詐欺メールはGoogleのDomainKeys Identified Mail（DKIM）チェックを回避しています。どうやって？ Googleのツールを巧妙に利用することで。詐欺師は偽のアプリにメール全体のテキストを名付け、Googleがそのシステムから自動的に送信するため、正当なものに見えるのです。

Gmailセキュリティコミュニケーションのスポークスパーソン、Ross RichendrferはGoogleの対応を共有しました：「我々はこの脅威アクターによる標的型攻撃を認識しており、この悪用の経路を閉鎖する保護策を展開しました。その間、ユーザーに2要素認証とパスキーを採用することを推奨します。これらはこの種のフィッシングキャンペーンに対して強力な保護を提供します。」

関連

• パスキー：パスワードレスサインインに関するすべてのニュースとアップデート

関連

• YouTubeがクリエイターに警告：AI生成のCEOビデオがフィッシング詐欺に使用されています
• 今、Gmailにも青い認証済みチェックマークアイコンがあります

これらの詐欺メールがユーザーのGmailに転送されると、DKIMは元のメッセージとヘッダーのみを検証するため、署名されたまま有効に見えます。この同じDKIMリレートリックは先月、PayPalユーザーを標的にするために使用されました。フィッシングメールは、ユーザーが違いに気付かないことを期待して、本物のaccounts.google.comではなく、見た目が公式のsites.google.comのサポートページに誘導します。

Ethereum Name Serviceの開発者、Nick Johnsonは、このGoogleフィッシング詐欺の被害に遭いました。彼はこれをGoogle OAuthアプリケーションの誤用として報告しましたが、当初Googleは「意図した通りに動作している」と却下しました。しかし、再検討の後、Googleは現在この問題に対処しています。

更新、4月21日：Googleからの声明を追加。