RedditやDiscordを悪用した虚偽報告詐欺によるアカウント乗っ取りの手口 |Malwarebytes

Redditで見知らぬ人からメッセージが届きました。その人は、誰かに通報されたそうで、通報したアカウントはあなたのものとよく似ているそうです。もしかして、あなたですか？

そうじゃなかった。そのメッセージの真意は、実はそこじゃないんだ。

この手口は、完全にソーシャルエンジニアリングに依存しています。マルウェアも悪意のあるリンクも一切使用されていません。最初は会話から始まりますが、その目的は、あなたを騙してログイン情報や認証コードを教えさせ、詐欺師があなたのRedditアカウントにアクセスできるようにすることにあります。

この詐欺の手口

この手口には、主に2つのバリエーションがあります：

「誰かが私を通報したんだけど、どうやら君みたいだね。」
「うっかりあなたのアカウントを通報してしまいました。」

ある人物が、通報に関する間違いがあったと主張しています。ある説では、誰かから通報されたそうで、その相手はあなたらしいとのことです。別の説では、誤ってあなたのアカウントを通報してしまったため、修正するためにあなたの助けが必要だとしています。いずれにせよ、通報などはありません。これは、DiscordやRedditなどのプラットフォームでよく見られるようになったソーシャルエンジニアリング詐欺の手口です。

最終的な目的はさまざまです。ある手口では、ログイン情報や認証コードをだまし取ろうとし、詐欺師があなたのアカウントにログインしてパスワードを変更し、あなたをアカウントから締め出そうとします。また、アカウントに登録されているメールアドレスを、詐欺師が管理するアドレスに変更するよう説得する手口もあります。その後、問題を「解決」するとしてギフトカードやその他の支払いを要求し、支払わなければアカウントを削除したり、そのアカウントを使って他の人を騙したりすると脅迫してきます。

もしまだその相手と連絡を取り合っている場合は、すぐに連絡を止め、コードを教えたり、アカウント情報を変更したりしないでください。すでにそのいずれかを行ってしまい、アカウントにアクセスできなくなってしまった場合は、以下の「身を守る方法」の項目に進んでください。

その展開

その会話は、たいてい次の2つの主張のいずれかから始まります。相手が「誰かが自分のアカウントを通報したらしいが、どうやらあなただったようだ」と言うか、あるいは「うっかり間違えてあなたのアカウントを通報してしまった」と主張するかのどちらかです。

もしそれを否定しても、詐欺師は反論してきません。おそらく単なるうっかりミスだったのだろうと言い、会話を続けようとします。誰が通報したか知っているかと尋ねたり、あなたが事態の解明に協力できると示唆したりすることもあります。その目的は、単にあなたとの会話を続けさせることにあるのです。

そして、彼らは「証拠」として、Redditからのメールのように見せかけたスクリーンショットを送ってきます。そのメールには、堅苦しい口調やチケット番号が記載されており、「正式な調査」が進行中であるとの主張や、「アカウントの一時停止、機能制限、または利用禁止」に至るまでのカウントダウン（通常は12時間）が示されています。場合によっては、Redditの従業員やモデレーターを名乗るDiscord上の誰かに連絡するよう指示されることもあります。また、状況とは無関係な法律や規制を引用した偽の法的警告が含まれていることもあります。これらはすべて偽物です。

なぜRedditはそうは機能しないのか

Redditは、通報に関与した人同士に連絡を取り合うよう求めたり、ダイレクトメッセージで見知らぬ人を介してアカウントの確認を行うよう求めたりすることはありません。また、Discordを通じて異議申し立てを受け付けたり、スタッフの個人用Discordアカウントへ誘導したりすることもありません。通報、モデレーション、異議申し立てはすべてReddit自体を通じて行われます。

カウントダウンは、切迫感を生み出すためのものです。アカウントの一時停止、機能の制限、あるいは利用停止といった曖昧な脅しと相まって、ユーザーが「何が起きているのか」と疑問を抱く暇もなく、すぐに行動を起こさせるよう仕組まれているのです。

彼らが実際に狙っているもの

その報告と偽のメールは、あくまで仕掛けに過ぎません。詐欺師は、あなたが関与していないことを証明するために、Redditの従業員または「上司」があなたのアカウントを確認する必要があると告げてきます。その確認を行うには、Redditから送られてくるコードを復唱する必要がある、と彼らは言います。

あなたがその会話に参加している間に、詐欺師はあなたの本物のアカウントにログインしようとしたり、アカウントの復旧手続きを開始させようとしたりします。それに対してRedditは、本物のログインコードや認証コードをあなたに送信して対応します。

このタイミングは偶然ではありません。コードは、あなたが「届くはずだ」と告げられた直後に届きます。もしそのコードを読み上げてしまうと、詐欺師はそれを使ってあなたのアカウントにログインし、パスワードを変更して、あなたをアカウントから締め出してしまう可能性があります。コード自体は本物ですが、その背景にある話こそが詐欺なのです。

なぜ人々はそれに騙されるのか

誰かを通報したと非難された場合でも、誤ってアカウントが通報されたと言われた場合でも、この詐欺の手口は、被害者を「問題を解決したい」という状況に追い込みます。そのため、アカウントの「確認」を求められたとき、それはセキュリティ上のリスクというよりは、問題解決の一環のように感じられてしまうのです。

この偽のメールは、特に連絡方法や手順がRedditの実際の仕組みと一致しているかどうかを深く考えない限り、その話をより信憑性のあるものに見せてしまいます。カウントダウンは切迫感を高め、じっくり考える暇もないうちに、行動を起こすよう促してしまうのです。

これは単に騙されやすいということではありません。これは、妥当な要求を正当なものに見せかけるよう巧妙に練り上げられたソーシャルエンジニアリングの手口なのです。

ダイレクトメッセージだけではありません

虚偽の通報を装った詐欺は通常、ダイレクトメッセージから始まりますが、詐欺師たちはRedditを装い、アカウントがロックされたり、対応が必要だと主張するフィッシングメールを送ってくることもあります。予期しないセキュリティ関連のメールを受け取った場合は、その中のリンクをクリックしないでください。代わりに、公式ウェブサイトまたはアプリから直接Redditにログインしてください。

アカウントが不正アクセスを受けた場合、自分が作成していない投稿、コメント、メッセージが表示されることがあります。これは、他人があなたのアカウントにアクセスしていることを示す兆候です。そのような場合は、パスワードを変更し、まだ有効にしていない場合は二段階認証を有効にして、Redditのアカウント復旧手順に従ってください。

身を守る方法

Redditのログイン情報や認証コードは、たとえRedditのスタッフやサポートを名乗る人物であっても、決して誰にも教えないでください。
たとえ報告された問題を「解決」するためだとしても、見知らぬ人からの依頼でアカウントに登録されているメールアドレスを変更してはいけません。
報告を解決するために、ギフトカードの購入や送金を求められた場合は、それは詐欺です。
Redditは、報告の対象となったユーザーに対し、互いに連絡を取り合ったり、ダイレクトメッセージを通じてアカウントを確認したり、Discordを通じて異議申し立てを行ったりするよう求めることはありません。
予期せぬRedditのセキュリティに関するメールを受け取った場合は、そのメール内のリンクは絶対にクリックしないでください。代わりに、reddit.com または公式アプリから直接アカウントにログインしてください。
認証アプリを使用して二要素認証を有効にし、予期しないログインや認証コードの要求があった場合は、誰かがあなたのアカウントにアクセスしようとしている可能性があると見なしてください。
自分が投稿した覚えのない投稿、コメント、メッセージを見つけた場合は、直ちにパスワードを変更してアカウントのセキュリティを確保してください。アカウントにアクセスできなくなった場合は、reddit.com で Reddit の公式アカウント復旧手続きを行ってください。
Redditに組み込まれている通報機能を使って、詐欺師とそのメッセージを通報してください。