巧妙なGoogleのフィッシング詐欺に注意

フィッシング詐欺師たちは今、Googleを装って行動しており、「[email protected]」のような外見を持つ緊急メールを送信しています。そのメールには、受信者のGoogleアカウントに関連する「法執行機関」からの召喚状があると主張しています。「Bleeping Computer」によると、これらの詐欺師たちはGoogleの「Sites」プラットフォームを利用して説得力のあるフィッシングメールやウェブサイトを作成しています。その目的は、ユーザーにログイン情報を提供させることです。

EasyDMARCのメール認証の専門家によると、これらの詐欺メールはGoogleのDomainKeys Identified Mail（DKIM）チェックを回避しています。その方法は、Googleのツール自体を巧妙に活用することです。詐欺師たちは偽のアプリケーション名にメール本文全体を使用し、Googleがそれを自動的に送信することで、それが正当であるかのように見せかけます。

Gmailセキュリティコミュニケーションの広報担当者であるロス・リヒンドルファー氏は、Googleの対応について次のように述べています。「この脅威アクターによる標的型攻撃について認識しており、この攻撃経路を封じるために保護策を導入しました。その間、ユーザーには二要素認証とパスキーの採用を推奨します。これらはこうしたフィッシングキャンペーンに対する強力な保護手段となります。」

関連記事

• パスキー：パスワードレスサインインに関するニュースと最新情報

関連記事

• YouTubeは、CEOのAI生成動画がフィッシング詐欺に使われていることに警告
• 現在、Gmailにも青色の認証済みチェックマークアイコンが追加されました

これらの詐欺メールがユーザーのGmailに転送された場合、DKIMは元のメッセージとヘッダーのみを検証するため、署名付きで有効に見えます。このDKIMリレーのトリックは先月、PayPalのユーザーを狙うためにも使用されました。フィッシングメールは、実際のaccounts.google.comではなく、sites.google.com上の公式サポートページに誘導します。詐欺師たちは、ユーザーが違いに気づかないことを期待しています。

イーサリアムネームサービスの開発者であるニック・ジョンソン氏は、このGoogleのフィッシング詐欺に被害を受けました。彼はこれをGoogle OAuthアプリケーションの不正使用として報告しましたが、当初Googleからは「意図した動作」として却下されていました。しかし再考の結果、Googleはこの問題に対処することを決定しました。

更新、4月21日：Googleからの声明を追加しました。