【実践】Googleのフィッシング詐欺対策で、直前に悟る能力の習得

コメント

1. ねとふり より:

   2021-06-27

   やりすぎセキュリティのぷっぷ様
   いつもブログ拝見しています。
   ねとふりと申します。

   このブログで紹介されているBitwardenと、Authyを様々なアプリ等で有効活用させていただいてます。
   よって、今回の被害が極小化できております。心から感謝申し上げます。m(_ _)m
   今年の1月に、Authyの質問時にも丁寧に回答して頂き、その際もありがとうございました。

   このフィッシング対策の記事も見ていたのに、、、。
   実は、昨日朝一番、Amazonを騙るフィッシング詐欺に引っかかってしまいました。そこで質問があります。
   よろしくお願いします。

   ■漏洩した情報（送信済み）
   ①AmazonのID（メールアドレス）
   ②Amazonのログインパスワード
   ③氏名、住所、郵便番号、携帯電話番号、生年月日

   ※尚、クレジットカード情報は入力もしていませんし、送信もしていません（流石にオカシイとこの時点で気づいたので、途中で離脱しました）

   ■フィッシング当日に対処したこと
   ①Amazonのログインパスワードの変更
   　→フィッシングに気づいた後で、直ぐに正規のAmazonアプリにログインできたので、直ちにパスワード変更を完了しました。

   ②Amazonカスタマーセンターへの問い合わせ
   　→正式にパスワード変更完了していること、フィッシング後に僕の端末以外からログインされた形跡がないこと、当然に変な注文履歴等がないことを確認しました。

   ③クレジットカード会社への問い合わせ
   　→フィッシングサイトにて、クレジットカード番号等を全く入力していないので、クレジットカードに関しては停止（再発行）する必要がないことを確認しました。
   　→また、現状不審なクレジットカード決済はないことを確認しました。

   ■質問
   ①AmazonのID（Gメールアドレス）は変更すべきですか？
   　→Amazonカスタマーセンター的には、パスワード変更済みですし、2段階認証設定もされているし、僕の端末以外からのログイン履歴もないことから、現状のIDのままでも問題ないと伺ってます。

   ②漏れたGメールアドレス（様々なアプリのログインIDとなっています）は、廃止した方が良いですか？
   　→尚、やりすぎセキュリティさんのファイヤーフォックスのデータ侵害検索で、僕のGメールをしましたが、データ侵害形跡はゼロ（ありません）でした。
   　→尚、様々なアプリのIDとなっていますが、当然にパスワードはアプリごとに別々の強固なパスワードを設定しています。

   ③漏れた氏名、住所、郵便番号、携帯電話番号、生年月日は、もうどうしようもないと思われますが、悪用されるとしたら、どんな被害が考えられますか？また、現状被害は無いのですが、警察のフィッシング110番に通報した方が良いですか？

   ■最後に
   上記の数多くの質問かつ答えにくい質問もあるかと存じます。すみません。
   お時間のある時に、ご回答いただけると幸いです。
   よろしくお願い致します。
   m(_ _)m
   • ぷっぷ より:

     2021-06-27

     お久しぶりです！

     ①AmazonのID（Gメールアドレス）は変更すべきですか？

     フィッシング未遂？というか片足を突っ込んでしまった、悪い意味で前科持ちのような感じなので（言い方）、迷惑メールが来る可能性のある流出したメールアドレスは使わない方が、将来的に良いのは確かです。
     ただ、とにかく変更に時間がかかるため、Amazonや住所を入力しそうなショッピング系だけ新メールアドレス、その他は面倒なのでそのままにするのが落とし所としておすすめ。
     実際大昔の漏洩済みメールアドレス、私はどうでもいいサービスで未だに使ってます∩(・∀・∩
     ※すっごい迷惑メールが来るYahooメール。
     ※どうでもいいサービス＝メール内容が来ても全く困らない、突然のアカウント閉鎖申請でも動じないサービスのこと。

     ②漏れたGメールアドレス（様々なアプリのログインIDとなっています）は、廃止した方が良いですか？
     　→尚、やりすぎセキュリティさんのファイヤーフォックスのデータ侵害検索で、僕のGメールをしましたが、データ侵害形跡はゼロ（ありません）でした。
     　→尚、様々なアプリのIDとなっていますが、当然にパスワードはアプリごとに別々の強固なパスワードを設定しています。

     通常であれば変更する必要はないです！
     が、今回はフィッシング未遂ということなので、上記の回答を推奨します。

     ③漏れた氏名、住所、郵便番号、携帯電話番号、生年月日は、もうどうしようもないと思われますが、悪用されるとしたら、どんな被害が考えられますか？また、現状被害は無いのですが、警察のフィッシング110番に通報した方が良いですか？

     本当は処したほうがいいんでしょうけど（処さないと悪人が野放し → ずっと未対策ということになる）、時間と余裕とお金のどれか一つすらないなら断念しちゃってOKだと思います。
     「適当に考えたありそうな被害一覧」

     • 氏名・住所・郵便番号・生年月日：多分どうでもいい、何かあるとしたらなりすましやピザが届く的ないたずらで、氏名と住所って隣の家のひとを調べれば簡単に入手できるし、基本何も起きないはず
     • 謎：一番の懸念は上記の情報で本人確認ができてしまい、サービス側が本人だと判断してしまうこと（基本的には電話番号必須のはず、だから銀行とかは電話しながらそれらの情報で本人確認をしている？）
     • 携帯電話番号：SMSからフィッシング・勧誘。SMSを普段セキュリティ以外で使っていないのなら、すべて悪と判断しましょう

     基本はこれで乗り切れます。
     これらはお金持ちになると抜群にフットワークが軽くなるので、私はお金持ちを目指しています。

     補足：Gmailはすべてのアカウントをくっつけて管理することが可能です。そのため、新アカウントに旧アカウントに届くメールを同じ管理画面で閲覧できます。
2. Raymond・Debian より:

   2021-01-29

   ぷっぷさんこんにちは!

   少し前に友人からフィッシングサイトへのURLがSMSに来た と報告してきたので、私自身が調査してみたんです…(ブラウザはプライバシー重視のBromite)

   そうしたらAmazonらしいページに来たので、嘘情報(自分のアカウントでもない偽物のもの）をいれてみたら、見事に反応(笑)
   そして、生年月日名前、住所、国など細かな情報を書けとありましたので、偽名(ヨシフ・スターリン)と入れて、国はソ連と入れてみたらまたもや反応しましてww
   その後クレジットカードの入力画面になり、またもや嘘情報を入れましたがそこだけ反応せず()

   フィッシングサイトって面白い()ですねwww
   • ぷっぷ より:

     2021-01-30

     クレジットカード入力画面で嘘情報が使えないの知らなかった！ あとで収集したものを確認するのかと思ってた。

     ところで、フィッシングURLに識別みたいなのが付いてたら、「友人の電話番号は生きているからいっぱいフィッシング送ろう」ってなって、増えちゃうなんてことはないですか？(ﾟ～ﾟo)
3. 匿名希望 より:

   2021-01-29

   こんにちは。お世話になります。

   最近シャープのマスクの当選通知のメールが届いたのですが、送信元が「cocorostore-info@sharp.co.jp crmstyle.com 経由」と表示されていました。
   「cocorostore-info@sharp.co.jp crmstyle.com 経由」をネットで検索すると、フィッシングメールである旨の記述がいくつか出てくるため、シャープのマスクの問い合わせ窓口をネット検索して「mask-order-question@sharp.co.jp」というアドレスに質問メールをしました。
   結果、返信は翌日にあり「crmstyle.comは当選メールを送信する際の委託先」とのことだったのですが、メールの発送をわざわざ他社に委託するようなことはあるのでしょうか？

   どうぞよろしくお願いいたします。
   • ぷっぷ より:

     2021-01-30

     私のメールを5個位確認してみたら、2個位あったので普通っぽいですね(ﾟ～ﾟo)
     文字通り委託先なだけだと思います。

     多分内容一緒の大量送信系でよく使われる模様。
     ただのメールサーバーっぽいですね。
     シャープ委託先仕様メール配信機能 Synergy! 日本でのメール配信に最適な機能を網羅｜シナジーマーケティング株式会社

     ところで、メールの送信元とかっていくらでも偽装できたような……
     基本はURL判別だけで乗り切れると思います。
4. 匿名 より:

   2019-04-18

   AndroidもChromeOSみたいな基本的にブラウザを使うような感じになってほしいですね〜
   日本製アプリは出来悪いからネットバンクのアプリとか入れようと思わないし
   • ぷっぷ より:

     2019-04-18

     日本製アプリを入れる気になれないのはホント同意です！ ChromeOS仕様はどっちでもいいかな～(ﾟ～ﾟo)
     多分適応しちゃう……というより、ChromeOS仕様にした際のメリットを私がわかってなーい(*ﾟ▽ﾟ)

     ネットバンクアプリの独自なのは、困るを通り越して迷惑かも。
     現に住信SBIネット銀行の「ログインする前にこのアプリでロック解除してね！じゃないとログインできないよ！」アプリを使ってるけど、
     久しぶりにログインする際独自アプリの存在を忘れるし、「2段階認証ってGoogleのじゃダメなの？」という感じだし、選択肢がほしいー(ﾟ´Д｀ﾟ)ﾟ。
     住信の愚痴になっちゃってるけど、ログイン失敗した際に「アプリのロック解除忘れてない？」的な表示を入れればまだマシなのにー(´ε｀；)ﾌﾞ-
     • 匿名 より:

       2019-04-19

       ネットバンクとか証券会社の仕様は謎ですよね〜
       2要素認証でわざわざ出来の悪い自社アプリ入れさせられるという（笑）
       むしろセキュリティホール作ってる感しかないですね
     • 匿名 より:

       2019-04-19

       ああ、あとSMS認証ですね。
       音声通話契約してない人も増えてるんだから汎用の認証システム使わせろ！
       • ぷっぷ より:

         2019-04-19

         そうだそうだ(;｀O´)o
         優れたツールがあるのに自社にこだわるのはんたーい！
         優れたツールのベンダーロックイン歓迎(屮･∀･)屮
5. シャル より:

   2019-01-19

   お世話になります。

   ちょっとお聞きしますが、パソコンやスマホにセキュリティソフトを入れようかと思っているのですが、何かオススメはありますでしょうか？

   そちらがパソコンやスマホに使ってらっしゃるセキュリティソフトは何でしょうか？
   • ぷっぷ より:

     2019-01-19

     つ、ついに来てしまった……セキュリティサイトなのにセキュリティソフト（アンチウイルスソフト）紹介していない問題(´・ω・｀)
     現在調査中で後回しにしていますが（まだ貧乏なの）、「軽さで決めるのが正義」だと悟りました。
     事実、昔と違いフリーソフトをあれもこれもと入れていたときと比べるとマルウェア（ウイルス）と一切出会わないし、最近でいうWindows10標準についているWindows Defenderでおそらく十分です。

     というわけで、私が「現状」オススメするなら

     1. ESET
     2. Kaspersky
     3. Bitdefender

     という、一般常識として検知率を重要視していない、邪道な順位になります。
     私自身はCOMODOを使用してひもじく利用していますが、お金持ちになり次第PCmaticにする予定です。
     やっぱり有料による不安払拭効果・プロ厳選安心感がほしい(*´ω｀*)
     PCMaticはいわゆるホワイトリスト方式で、事実上最強になる可能性を秘めていますが、アフィリエイトが抹殺されてさらに無名に……
     上記順位に加わっていないのは、上記はメジャーなブラックリスト方式で、別枠のような存在だからです。

     次にスマホ（Android）ですが、適当にAvastを入れています。こちらはおそらく不要（検出したことがない）。
     Googleは以前要らないといっていたし（結構昔なので状況が違うかも）、だいたい「ちょっとの利便性に対してアプリをインストールした方」が狙われているだけであって、その程度を我慢する私には関係がないようです。
     とりあえずGoogleアプリだけとは言わず、「大手のアプリしか使わない」状態なだけでもまず遭遇しません。
     が、ホイホイ入れてしまう癖があるならば絶対に必要。
     というわけで、スマホだと

     1. Bitdefender
     2. AvastやAVGなど、PCで実績があるもの適当

     という感じかな～(ﾟ～ﾟo)スマホのみの実績は、「必然的に歴史が浅いのではないか」というひどい憶測で避けています。
     ちなみに、PC版セキュリティソフト次第でスマホも使えるようですので、購入の際は確認してね！