スキミングの手口公開

先日自分が引っかかりかけた、スキミングの手口をご紹介しておきましょう。皆さんの自衛のお手伝いになれば幸いです。

よく、eBayなど、海外のオークションなどにも手を出しているのですが、そういう場合の決済をPayPalというところに任せています。これはカード番号やら口座やらの情報を登録しておいて、取引相手の口座に振込を代行してくれる業者です。PayPalのサイトには、自分のIＤやらパスワードやらを登録しておくのですが、今回狙われたのは、この、IＤとパスワードでした。確かに、これを盗られてしまうと、間接的に自分のクレジットカードの情報をまるまる盗られたのと同じ事になってしまうのです。要注意。

ことの発端は、１通のメールです。

１）「あなたの口座の残高が足りなくなっているので、このページをリンクしてログインしてください」と、PayPalからメールが届きます。「あれ、今月そんなにオークションで使ったかなぁ」とか疑問に思いながらも、このメールにあるリンクをクリックしてしまいました。

２）ブラウザーが立ち上がり、PayPalのサイトにアクセスしているようです。いつものPayPalの画面が表示され、IDとパスワードを要求するメッセージが出てきます。ここまで疑問を抱いていなかった僕は、ここで要求されるままに、IＤとパスワードを入れてしまいました。

これで、すでにスキミングは成功してしまった事になります。

さいわい、この直後に本能的に「ちょっとおかしい」と思った僕は、カード会社に連絡をとり、カードの停止手続きをとり、PayPalのログイン用のパスワードを変更しました。おかしいと思った状況証拠はいくつかあります。

１）ブラウザーのアドレスバーを見ていると、公式のPayPalサイトの見慣れたアドレスとはちがうもの（数字だけだったり、どっか海外っぽかったりする）が表示されていた。本家のアドレスはかならずwww.paypal.comが頭に来ていたはずです。
２）疑惑を深めた僕は、ちょっと実験をしてみる事にしました。メールのリンクをたどっていったページに、全く無関係なIＤとパスワードを入れてみたのです。すると、結果は正しいものを入れたのと同じ画面に飛びました！つまりこのサイトは僕の正しいIＤ・パスワードをチェックする機能がなかったことを表しています。
３）その後は、PayPalのオフィシャルサイトに行って、事情を説明するメールを打ち、自分宛に送られてきたメールも転送して、事実関係を確認しました。３時間ほどで、返事のメールがきて、このメールが偽物である事が確認されました。

本当ならば、一番最初のメールが着いた時点で気づければ一番いいのですが、これを難しくしているのが、発信元のメールアドレスを偽装できる、という現実です。メールソフトに表示されているのは、いつも　PayPalから送られてくるのと同じメールアドレスでした。

便利だと思って使えば使うほど、人につけ込む隙を与えてしまうのが、ネットバンキングの恐ろしさでもあります。今回も、そもそもなぜ自分のメールアドレスがこの詐欺業者に漏れたのかはわからず仕舞いでした。完璧な自衛策というのはなく、ふだんからまめに気をつける、ぐらいしか出来ないのですね。