Check Point の研究者によると、犯罪者らは金銭目的のフィッシング活動で Google カレンダーのメールを偽装しており、すでに約 300 の組織に影響を及ぼし、4 週間で 4,000 件を超えるメールが送信されています。
犯罪者は送信者の電子メール ヘッダーを変更し、メッセージが被害者の知人から送信された正規の Google カレンダーの招待であるかのように見せかけます。 Google カレンダーは 5 億人以上の人が使用しているため、詐欺師の観点からすると、これは格好の誘惑になります。
通常、フィッシングメールには、Google フォームまたは Google Drawings へのリンクを含む (.)ics カレンダー ファイルが含まれています。受信者がリンクをクリックすると、別のリンクをクリックするよう求められますが、チェック・ポイントによると、通常、このリンクは reCAPTCHA またはサポート ボタンに偽装されています。
ネタバレ注意：これは偽物です。被害者が悪意のあるリンクをクリックすると、仮想通貨マイニングまたはビットコインのサポート ページのように見えるページが表示されます。
「これらのページは実際には金融詐欺を行うことを目的としている」と脅威ハンターは言う 説明した フィッシングキャンペーンに関するブログで。 「ユーザーが上記のページにアクセスすると、偽の認証プロセスを完了し、個人情報を入力し、最終的には支払いの詳細を提供するよう求められます。」
Check Point はフィッシングメールについて Google に連絡し、テクノロジー大手が提案したのは次のとおりです。
セキュリティ ショップは、このフィッシング キャンペーンや他のフィッシング キャンペーンの被害者にならないように独自のアドバイスを提供しています。これには、「予期しない」または「異常なステップ」を含むイベントへの招待や、CAPTCHA パズルを完了するなどのリクエストを受け取ったときに特別な予防措置を講じることが含まれます。
また、「クリックする前によく考えてください」。リンクの上にマウスを移動し、単にクリックするのではなく、Google に URL を入力します。ほとんどのフィッシングの目的は、ユーザーを騙して悪意のあるリンクや添付ファイルをクリックさせることで、犯罪者が資格情報を盗み、それを使用して機密文書、個人情報、または金融口座にアクセスできるようにすることです。
さらに、Google アカウント、または機密情報を含むリポジトリに対して 2 要素認証を有効にすることは常に良い考えです。
昨年だけでも、FBIは 受け取った (PDF) フィッシングおよび/またはなりすましの被害者からの苦情は 298,878 件あり、被害者は総額 18,728,550 ドルの損失を被りました。
肝心なのは、この種のソーシャル エンジニアリング攻撃は機能するということです。犯罪者にとってこれらは比較的簡単に成功し、投資から多額の利益をもたらします。
Google カレンダーは最新のおとりの 1 つであるかもしれませんが、攻撃者は新たな被害者を狙う場所に応じて攻撃手段を変更する可能性があり、実際に変更します。餌に騙されないでください。 ®
