フィッシングメールを気づかずに開き、載っている偽サイトを訪れ、パスワード入力までやってしまいました。とても焦りました。

起きたこと

以下のメールが GMail のスパムフォルダに入っていました。「以前にスパムと判定されたメールと似ています」あたりのラベルがついていました。安全のため行き先 URL は消しています。

えきねっとのフィッシングメール

よく見ると送り主と URL はおかしいです。あとはこのメールが15日に来たにしてはお手続き期限が早すぎです。本物でもままあることかもしれませんが。

ウェブページはえきねっとの正しいウェブサイトとほとんど同じでした。ここでパスワードを入力した途端に Chrome から以下のような赤い警告メッセージが出てきて、偽サイトであることに気づきました。 Chrome が賢すぎる。

You just entered your password on a deceptive site. (お前はたった今偽サイトにパスワードを入力した)

「ログイン」まではやってないものの、入力した時点でその内容が偽サイトの管理者に渡った可能性はあります。この時点でもうアウトです。

対策したこと

まず速攻で正しいえきねっとのサイトへ行き、パスワードを更新しました。

ただ、パスワードを更新したものの、再ログインは要求されませんでした。そのため、既存のセッションが有効な可能性があります。つまり、パスワード更新前に古いパスワードで即ログインした場合はそのままログインされている可能性があります。偽サイトの管理者がパスワード更新前にログインしていた場合、ここからゆっくりと私のアカウントで新幹線切符を買うことができます。

調べたところ、 えきねっとをかたる偽メール(フィッシングメール)偽サイト(フィッシングサイト)にご注意ください！というページに以下の記述がありました。

「えきねっとに関する情報」を入力してしまった場合
未来日の予約がない場合
ご自身でログインのうえ、「えきねっと」サイトから「パスワード変更」または「アカウントの退会手続き」を行ってください。退会後は新たなID・パスワードで再入会することができます。

アカウント退会手続きを取るのが安全そうです。さくっと「偽サイトにパスワードを入れてしまったので退会します」と書いて退会してきました。

追加でやったこと

  • GMail で「フィッシングを報告」しておきました。
  • フィッシング対策協議会のフォームにも報告しました。
  • Google Safe Browsing に報告しました。報告が溜まっていれば、サイトを開こうとしただけで警告が出るはずです。
  • メールヘッダを見る限り myvps.jp というサイトから来ているので、管理元の GMO に連絡をしようと思いました。ただ、 GMOインターネットグループ 迷惑メール通報窓口 のウェブフォームに入力したところ、最後の送信のところで何も起きませんでした。謎です。開発者コンソールで見たところ、送信のたびに “Mail Fail” というメッセージが出ていました。

気づくべきだった点

1.メールは GMail に迷惑メール判定されていました。

メールが迷惑メールなのだから、もう少し注意すべきでした。しかし一方で、フィッシング判定はされておらずリンクが有効でした。

対策:

  • 迷惑メールフォルダを開けている場合は迷惑メールフォルダであることを理解すべきでした。
  • 迷惑メールフォルダに入っている謎のメールマガジンをちゃんと対策すべきです。迷惑メールフォルダをきれいにして、明白なゴミしかいないようにしましょう。銀のさらのメールマガジン、Chealsea with IFTTT, そして Yahoo Shopping でしか使えない Paypayポイントのメールが来ていました。前2つは今登録解除しておきました。Paypay は面倒そうなので後で。

2.偽サイトではアカウントの自動入力が効きませんでした。

アカウントの自動入力が効かないのは正しいサイトに入力してない証拠なので、これで気づくべきでした。

ただ、しばらく入力していないサイトのアカウント自動入力が無効になるのはまれによくあるという印象だったので、特に気にしていませんでした。

しばしば自動入力が効かないのはなんででしょう。思い返すに、いくつかのサイトではそもそも自動入力が効かない気がします。今思い出したのだとタイムズカーシェア。

3.メール受取アドレスが危険でした。このアドレスを使っていたサービスは個人情報流出事故を起こしており、ここに来るメールはフィッシングの可能性が高かったです。

メール受取アドレスは子供のイベント写真販売サイトスナップスナップのものでした。弊社サーバーへの不正アクセスにつきましてご報告 のとおり、不正アクセスで個人情報が流出しています。流出したアドレスへ来るメールは警戒すべきでした。

登録しているメールアドレスを変更したうえで、流出したアドレスへ来たメールには警告ラベルを出すようにしました。

よくできた点

  1. Chrome がすごい早さで警告を出してきました。「お前はたった今偽サイトにパスワードを入力したぞ」みたいな警告を出してきました。凄すぎです。
  2. パスワードは使いまわしていない。自前の生成器( gusmachine/genpass の一世代前。←はそれを更新しようと思って更新停止したやつ) を使って、サイトごとに別々のパスワードを使うようにしていました。
  3. えきねっとのアカウントは指示に従い速攻で消しました。
  4. えきねっとのクレジットカードはそもそも期限切れでした。
  5. もっと重要なサイト、例えば銀行や証券会社のサイトではなくて良かったです。

感想

とても焦りました。焦りすぎてSNSポストの分量じゃなくなり、日記になってしまいました。

今までフィッシングの話を聞きつつ「しかしURLは確認するだろう」「URLが読めなくても、パスワード自動入力が働かない時点で偽サイトだとわかるだろう」と考えていました。まさか自分がその二点をスルーして引っかかるとは思いませんでした。特に、パスワード自動入力が働かなくても、常用していないサイトの場合は疑問に思わなくなるというのは発見でした。

さらに、これを再度やらないようにする自信があまりありません。採った対策もちゃんと再発防止策にはなってないと思います。物理セキュリティーキーで認証する、パスキー対応にしてパスワードログインを止めるなど、サイト側でのみできる対策しか思いつきません。こちらでできることが少なすぎます。