FedExのおかげで、なぜ私たちはフィッシング詐欺に遭い続けるのか（2024年）

最近、私は「荷物が配達できませんでした」というフィッシング詐欺の攻撃を数多く受けており、もしあなたが電話を持っている人間なら、おそらくあなたもそうでしょう。簡単に思い出してもらうために、それらは以下のようになります。 これらの攻撃は、私の通信事業者が持つすべての技術的な制御をすり抜け、私のSMS受信トレイに直接届きます。しかし、私は詐欺に引っかかりません。なぜなら、緊急性、機会損失への恐れ、そして私が知っているどの宅配サービスとも似ていない奇妙なURLといった警告サインに注意するからです。彼らは「auspost」をリンクのどこかに含めることで、オーストラリア郵便局からのものであると私を説得しようとしますが、私は賢い人間なのでこれには引っかかりません（これはジョークです。人間がURLに弱い理由を読んでください）。 しかし…私は荷物を待っています。今は2020年代も後半で、COVID後なので、常に荷物を待っています。なぜなら、それが今日の私たちの買い物の仕方だからです。そして、今週初めに以下のSMSを受け取ったとき、私は荷物を待っており、フィッシング攻撃も予想していました。 では…これは何でしょう？荷物か、それともフィッシングか？人々がどう言っているか見てみましょう： 親ツイートを参照して、このメッセージは本物で、関税と税金を支払うべきでしょうか？— Troy Hunt (@troyhunt) 2024年2月20日 うわー、4,000人以上の回答者による「怪しいAF」の投票率は87%でした。これは非常に断定的です。なぜこれほど圧倒的に疑わしい群衆がいるのでしょうか？このメッセージを7つの「怪しいAF」のサインに分解してみましょう。 フィッシャーはメッセージにタイプミスをすることがよくありますが、私は「FedEx」が常に「E」を大文字にすることを知っています。そして「-Exp」は何ですか？怪しいAF！ 出荷番号がなぜこんなに短いのですか？そして、なぜそれが下の要求された支払いと同じなのですか？怪しいAF！ ああ、それで緊急なのですね？緊急性はソーシャルエンジニアリングの核となる原則です。なぜなら、それは人々が十分に考えずにに行動することを奨励するからです。怪しいAF！ なぜ「D」と「T」が大文字なのですか？怪しいAF！ これは米国に本社を置くグローバルな宅配便サービスですが、なぜ通貨を教えてくれないのですか？あるいはドル記号さえ使わないのですか？怪しいAF！ これは説明が必要でしょうか？この「bpoint.com.au」というサービスは何ですか？関税と税金の話をしているのであれば、それは明らかにFedExのドメインでもオーストラリア政府のドメインでもありません。怪しいAF！ それで…「クエリ」（「クエリ」ではなく、これも文法的な赤信号です）に関する連絡先情報を提供してくれるのですね。これは、私たちが単純な理由で避けようとしているやり方です。なぜなら、それは怪しいAFだからです！ そして、私は他の人々の87%と同じ考えでした。しかし…私は荷物を待っていました。FedExから。オーストラリア国外から来るので、関税と税金がかかる可能性があります。そして、私はこの荷物を本当に欲しかったのです。なぜなら、それはPrusaの新しい3Dプリンターで、彼らは素晴らしいからです！ このような場合に常に役立つ賢明なアドバイスがあります。それは非常にシンプルです：疑わしい場合は、問題のウェブサイトにアクセスして、要求を自分で確認してください。そこで、私はPrusaからの購入確認に行き、配送詳細を見つけ、FedExのウェブサイトへのリンクをたどりました。あとは税金について言及しているセクションを見つけるだけでしたが… 怪しい。A.F. 私はそのページ全体を調べましたが、関税や税金に関連する言及を一つも見つけることができませんでした。どんなに試しても、SMSの信憑性を（主張されている）ソースに直接アクセスして確認することはできませんでした。しかし、簡単に確認できたのは、SMSのリンクをたどると、追跡番号、顧客名、金額を好きなものに変更できるということでした！ これはすべてURLパラメータを変更するだけで行われます。ブラウザのDOMを変更したり、トラフィックを傍受したり、何か特別なことをしているわけではありません。文字通り、クエリ文字列パラメータの改変による反射型XSSスタイルです。これは、オーストラリア最大の銀行が運営する支払いサービスではなく、これまでのすべてのフィッシングサイトのように感じられます。真面目な話、BPOINTはCommonwealth Bankによって提供されており、上記の経験の後、私は彼らに連絡して開示を行う段階にあります。しかし、これは明らかにシステムが機能するように設計されており、フィッシング的なFedEx SMSとは全く別の問題です。そういえば、翌朝、同じ送信者から別のSMSが届きました。 これが良いのか悪いのか分かりません🤦‍♂️ ハイライトを、良い点も悪い点も見てみましょう。 私の出荷番号がテキストメッセージに表示されるようになりました - やった！ 「duty」と「taxes」という言葉が正しい大文字小文字で表示されるようになりました - やった！ 「PAY NOW」という言葉が大文字になっているのは…怪しいAF！ そして私が一番気に入っている点：リンクは実際にはリンクではありません。なぜなら、スキーム、ドメイン、パスが含まれておらず、クエリ文字列パラメータだけだからです！怪しいAF！ リンクで彼らが何をしたかは信じがたいです。なぜなら、SMS全体が操作不能になるからです。どこかをクリックしてお金を払うことは不可能です。そして、ついでに言うと、なぜクエリ文字列パラメータ名がすべて大文字になったのですか？どこかに全く異なる（壊れた）プロセスがあって、これらのリンクを生成しているかのようです。あるいは、詐欺師が一貫性がないだけかもしれません… 「怪しいAF」がテーマなので、もっと深く掘り下げる必要がありました。そこで、1800の番号を検索しました。最初に出てきた結果の一つは、その番号のReverse Australiaのページで、最初の3つのコメントを読むと、これまでの感情を完璧に要約していました。 そして、そのサイトや検索結果の他のトップリンクで読めば読むほど、多くの人がメッセージの正当性について完全に混乱していることがわかります。やるべきことは一つだけです - FedExに電話することです。SMS（まだフィッシングの可能性がある）の番号ではなく、ウェブサイトの番号から。そこで、「Support」メニュー項目をクリックし、「Customer Support」に進むと、ここにたどり着きます。 その後のやり取りを読む手間は省きますが、要するにメールでのやり取りにしか言及せず、送信者のドメインを読むように勧められました。しかし、私はシステムを電話番号に絞り込むことができましたが、ご覧の通り、SMSメッセージの番号とは全く異なります。 そこで、電話をかけ、音声プロンプトに従い、キーパッドでオプションを選択して関税と税金のセクションにルーティングします。しかし、最終的に、プロセスの数ステップ後、システムはキー入力に応答しなくなります。「1」も「2」も機能しないので、応答がないため、同じメッセージが繰り返されます。しかし、代替案が提示され、132610に電話するように勧められます。それが私が最初に電話してこの無限ループに陥った番号です！ もう一度試します。今回は異なる一連のプロンプトに従い、追跡番号を尋ねられ、ウェブサイトがすでに提供している情報と全く同じ情報が表示されます！しかし、カスタマーサービスオペレーターと話すオプションも提供されており、すぐに繋がりました。オペレーターは、私の出荷額が799米ドルで、これは1,215.97オーストラリアドルに換算され、そのため輸入手数料の対象となると説明しました。「素晴らしいですが、いくらですか？SMSの金額と一致しますか？」彼はすぐに折り返し電話すると約束しました… そして、最初のフィッシングSMSが届いてから3日後、突然、私の受信トレイにメールが届きました。 ドル額、BPOINTのアドレス、メッセージはSMSと一致していましたが、それは単なる相関関係に過ぎません。もし誰かが私の電話番号とメールアドレスの両方を持っていれば、同じ詳細で簡単に両方をフィッシングしようとすることができます。しかし、その後、メールの添付ファイルを見て、これを見つけました。 それが失われたリンクでした！！！ 私のPrusaの完全な請求書が、注文番号、価格、配送詳細とともに添付されていました。つまり、あなたたちの87%は間違っていたのです😲 もっと真面目な話、オーストラリアだけで年間30億オーストラリアドル以上が詐欺で失われており、これは明らかに世界の規模の問題のごく一部です。オーストラリア通信メディア庁（ACMA）は最近、3億3600万件の詐欺SMSをブロックしたと報告しており、このような技術的な制御は明らかに素晴らしいですが、報告から漏れているのは、ブロックされなかった詐欺メッセージの数です。この省略には簡単な説明があります：彼らは単にいくつ送信されたかを知りません。しかし、もし私が推測するとしたら、彼らは