突如届いた認証コード。Apple Accountの乗っ取り詐欺を防ぐには？

米国の半導体企業・ブロードコムのエリック・モレットさんが、すんでのところでApple Account（旧Apple ID）を乗っ取られ、詐欺被害に遭いそうになった。そして、その経験をブログで公開している。

モレットさんによると、経験した中でもっとも洗練された手口だという。なぜなら、乗っ取り手口の中に、Apple公式からの本物の通知が巧妙に織り交ぜられているからだ。事件を時系列に沿って解説するので、あなたも騙されないよう、注意しながら読んでいただきたい。

Appleデバイスのセキュリティ機能では、防ぎきれないフィッシング詐欺の被害

Appleデバイスはセキュリティが非常に堅固だ。しかし、だからといって安心はしていられない。近年はアカウント情報の流出や盗聴より、フィッシング詐欺が主流だからだ。

フィッシングサイトとは公式サイトそっくりにつくられた偽サイトのこと。そこにユーザ自らパスワードやクレジットカード情報を入力してしまうと、詐欺被害につながる。この「ユーザ自ら入力してしまう」という点がポイントだ。逆に言えば、ネット上でアカウント情報やカード情報を入力しなければいい。そうすればほとんどの詐欺から逃れられる。

サインインするときはパスキーを使う。決済するときはApple Payを使う。これで自ら重要情報を手入力することがなくなり、フィッシング詐欺の被害に遭うこともほぼなくなる。

ところが、モレットさんはもう少しのところでApple Accountを乗っ取られそうになった。その手口は非常に巧妙で、詳細を知らなければ多くの人が騙されるではないかと思う。

モレットさんは、その経験をMediumというブログサイトで共有してくれた。その詳細を解説していくので、手口を知り、あなたは騙されないように注意してほしい。

エリック・モレットさんが巻き込まれた、劇場型のフィッシング詐欺

モレットさんが書いたブログのタイトルは「I Almost Lost My Apple Account to the Most Sophisticated Phishing Attack I’ve Ever Seen」（私が知る中でもっとも洗練されたフィッシング攻撃で、もう少しでApple Accountを乗っ取られるところだった）。

エリック・モレットさんのブログ — ブロードコムのPMであるエリック・モレットさんが公開したブログ。「私が知る中でもっとも洗練されたフィッシング攻撃で、もう少しでApple Accountを乗っ取られるところだった」というもの。非常に貴重な情報だ。ブログURL

注意したいのは、モレットさんはブロードコムのプロダクトマネージャーだということ。つまり、それ相応のリテラシーを持っているであろう人物なのだ。

以降、時系列に沿って詐欺の手口を解説していく。モレットさんの気持ちになって、どこでおかしいと気づけるかを考えながら読んでいただきたい。

午後3時17分／突然。第三者からのサインイン

突然、iMessageにサインインの認証コードを告げるメッセージが届く。同時にモレットさんのiPhone、iPad、Macにはサインインを告げるダイアログが表示された。もちろん、モレットさんはサインインなどしていない。

サインインのダイアログ — サインインを告げるダイアログ（macOSの例）。誰かが新しいデバイスからサインインしようとすると、登録済みの自分のすべてのデバイスに表示される。身に覚えがない場合、絶対に［許可する］をクリックしてはならない。ちなみに、表示される場所はプライバシーの観点から大まかな位置だ。なお、［許可する］をクリックすると認証コードが表示され、それを新しいデバイスに入力するとサインインが完了する。

つまり、誰かにApple Accountのアカウント名とパスワードを把握されているということだ。しかも、その誰かがApple Accountへのサインインを試みている。

ただし、サインインには認証コードが必要で、それはモレットさんの登録済みデバイスにしか届かない。そのため、まだApple Accountへの侵入は防げている。しかし、非常に危険な状況にあることは間違いなかった。

午後3時18分／着信。Appleから届いた認証コード

Appleの自動システムから着信があり、音声で認証コードを告げられた。

2ファクタ認証では、最後に認証コードを入力しないとサインインが完了できない。その認証コードは、一般的には登録済みのデバイスのダイアログに表示される。しかし、SMSで送る方法、電話の音声で送る方法も選択可能だ。

サインイン画面で「デバイスにアクセスできない場合」を選ぶと、SMSや電話を選択できる。視覚に問題を抱える人に対する配慮でもあるが、Appleデバイスが手元にないがApple Accountにサインインしたい、という場合にも有用だ。ただし、SMSや電話は、あらかじめ登録した番号しか選べない。

認証コードの受け取り — 新たなデバイスからApple Accountにサインインするときは、登録済みのAppleデバイスがないと認証コードを受け取れない。

認証コードを受け取るオプション — そんな環境で認証コードを受け取りたい場合は、［デバイスにアクセスできない場合］をタップしよう。自分の電話番号に送信する（SMS）、電話番号に音声通話を受ける（音声でコードを読み上げてくれる）といったオプションが用意されている。

午後3時21分／公式？Appleサポートからの電話

再び電話が鳴った。発信元は(404)926-3085。モレットさんはこのとき気がつかなかったが、これは米国・アトランタのレノックススクエアにあるApple Storeの代表電話番号だ。おそらく、発信者番号を偽造したのだろう。仮にこのApple Storeの番号を連絡先に登録していたら、iPhoneの画面に「Apple Store」と表示される。そうなったら、Apple公式からの電話だと信じ込んでしまいかねない。

電話に出てみると、相手はAppleのサポート担当だと言う。「あなたのアカウントは攻撃を受けています。この問題に対応するため、サポートチケットを開きました。別の者がすぐに連絡をいたします」という内容だった。

Appleはサポートを受け付けると、サポートチケットを付与して進行などを管理する。つまり、Appleが正式にサポートに乗り出したことを意味している。

午後3時31分①／警戒。Appleからの正式なサポートメール

同じくApple Storeの代表番号から電話がきた。サポートの担当者を名乗る相手は、「今は攻撃に対応している最中だ。あなたのApple Accountを保護するため、アカウントをリセットしてほしい。そして、正式なサポートだと証明するメールが届いているはずなので確認してほしい」と言う。

モレットさんが確認すると、Appleからサポート開始を示すメールが届いていた。

モレットさんは過去何回かAppleのサポートを受けており、同様のメールを受け取った経験がある。今回のメールも、送信者が「AppleSupport@email.apple.com」であり、Appleからの正式なメールであると思えた。あとでわかることだが、これはまさしくAppleからのメールだったのだ。

モレットさんは、ここで電話の向こうの担当者を信頼した。しかし、それでも警戒は怠らなかった。リセットの過程で、新しいパスワードや認証コードを聞かれるのでは、と考えたからだ。もし相手がそのような要望をしてきたら、電話を切ってしまえばいい。いずれにせよ、Apple Accountのリセットでトラブルは避けられると考えた。

手順に従ってApple Accountをリセットし、パスワードを変更。その間、担当者はパスワードや認証コードを聞き出すようなそぶりはなかった。

午後3時31分②／終結？サポートのクローズ作業へ

これで安心したモレットさんに、担当者はこう言った。

「これでもう攻撃を受けることはありません。最後にサポートケースをクローズしていただく必要があります」。

案内されたのは、iMessageで送るリンクから手続きするというものだった。

iMessageに届いたリンクにアクセスすると、Appleのページが現れた。そのページで新しいパスワードを入力。続いて、iMessageに送られてきた認証コードを入力。そうしてサポートケースのクローズ作業を終えた。

これで、すべては終了し、もうトラブルに悩まされることはないはずだった。

午後3時47分／恐怖。知らないMac miniからのサインイン

しかしその後、モレットさんの背筋を凍りつかせるメールがAppleから送られてきた。まったく知らないMac miniが、Apple Accountにサインインしたことを告げるものだった。

なぜ、さっき変えたばかりのパスワードがすでに漏れているのか。モレットさんは驚き、もう一度Apple Accountをリセット。パスワードも再度変更した。これでモレットさんは難を逃れることができた。知らないMac miniからサインインされた状態で放置していたとしたら…。パスワード変更で締め出されたり、Apple Payで買い物されたりしたことだろう。

「Appleからの本物のメール」を織り交ぜた巧妙な詐欺の手口

巧妙なのは、本物のAppleからのメールを織り交ぜた手口だ。本物のメールがあるので信用してしまい、フィッシングページに気づきづらくなる。

まず、3時17分の認証コードのメッセージやダイアログは本物だ。モレットさんのアカウント名とパスワードを知った第三者がサインインを試みたことで、送信された。ただし、認証コードはあらかじめ登録されたデバイスにしか送信されない。また、この認証コードが伝わらなければ第三者はサインインできない。そのため慌てる必要はないのだが、多くの人は「何が起きている⁉︎」と不安になってしまうだろう。

そして、3時18分のAppleの担当者からの電話は、発信者番号を偽装した偽物だ。しかし、同タイミングで届いたサポート開始の旨が記載されたメールは本物だ。Appleは、サインインしてからサポートを受けることを推奨している。しかし、実はサインインしなくてもサポートを受けられる仕組みが用意されている。たとえば、「Apple Accountにサインインできない」というトラブルに対応するためだ。

犯人はモレットさんのアカウント名を使い、本物のAppleのサポートを受けた。そのため、モレットさんにAppleから本物のサポートメールが届いたわけだ。

宅配サービスや銀行が実施する、フィッシング詐欺への対策

偽物だったのは、午後3時31分に届いた「サポートチケットをクローズしてほしい」と送られてきたリンクだ。これがフィッシングサイトへの入り口になっていた。見た目はAppleのページそっくり。だがモレットさんがあとで調べたところ、ドメイン名が「alelle-apple.com」となっていた。これは正式なAppleのサブドメインではない。

そのフィッシングサイトで、アカウント名、パスワード、認証コードを入力してしまった。犯人たちはそれらを使い、Mac miniからモレットさんのApple Accountにサインインしたわけだ。

最後の最後でうかつだった。しかし、本物のメールを織り交ぜた手口により、警戒心が薄れたのもうなずける。言ってみれば、正規のプレイガイドで偽造チケットが販売されていたような話だ。

このような巧妙なフィッシング詐欺は、ユーザが気をつけるだけでは防ぎきれない。サービス提供側の協力も必要だ。

たとえば、ヤマト運輸、佐川急便、日本郵便などの宅配サービスでは、届け先への連絡にSMSを使うことをやめている。利用されているのは、専用アプリ、あるいはLINEの公式アカウントだ。つまり、「持ち帰りました」といったSMSが届いた時点で詐欺ということだ。また一部の銀行は、SMSでの連絡時はWebリンクを非掲載としている。