米国IC3とFBIが最近時の３種類のサイバー詐欺手口情報を開示

　6月19日、FBIとIC3は3種類のサイバー詐欺の手口に関する警告を発した。
(1)電信送金(筆者注1)会社のテクニカル・サポートと称する電信送金アカウント情報の詐取手口、(2)未成年の時期に犯しかつ封印がなされたといった不正確な大量の逮捕歴のある被害者の顔写真(mug shot)情報をウェブ上に掲示、その削除の代替として正しい運転免許証、裁判歴等を求める個人情報の詐欺手口、(3)スカイプの短縮URL(筆者注2)やIM プラットホーム(筆者注3)を受け取るユーザーは“Liftoh”(筆者注4)と呼ぶ新しいトロイの木馬に要注意、という内容である。

　今回のブログは、各手口の概要を仮訳するとともに補足説明を行う。

１．電信送金会社のテクニカル・サポートを名乗る電話による被害者のPCをリモートで操作すべく偽ウェブサイトへ誘導

・IC3に電信送金会社(wire transfer company)のテクニカル・サポートと名乗る個人から詐欺的電話が事業会社にかかってきた旨の苦情の届出があった。1社の苦情例では被害会社の「発信者ID(caller ID)」が電信送金会社の画面上に表示された。電話をかけてきた者(callers)は被害者に対し、callerがリモートで被害者のPCにアクセスすべくアプリーケーションを起動させるため特定にウェブサイトの接続するよう指示した。

・一度、リモートのアクセスが可能となると、犠牲者は自身の電信送金プログラムを開き、アカウントにログインするよう指示した。その結果、callersは犠牲者のシステムをアップデートできた。
　さらに、被害者はアップデートによる干渉を回避するためモニター画面を切るように指示された。

・その後に犠牲者は、プリペイド・デビット・カード会社“NetSpend”アカウントへのアクセスであることが判明した。

・また、その他の被害者の場合、callerがいったん遠隔アクセス権を得ると自身のコンピュータに何かがダウンロードされていることに気がついた。疑わしく感じた被害者は直ちにPCをオフにした。しかし、後日、被害者は自分の口座からcallersがプリペイド・クレジット・カードで950ドル(約9万円)を運び出したことが判明した。

・さらに、別の被害者は詐欺的電信送金が各州や個人宛に行われたとIC3に報告したが、callerは実際にはいかなる電信送金も行われていないと被害者を意図的に安心させたという。

２．ウェブサイトにいい加減な逮捕歴のある被害者の顔写真(mug shot)情報を掲示のうえ脅迫

・20の異なるウェブサイトが同じ手口で未成年時の前科者等にいい加減な写真等をサイト上に公開のうえ個人ID情報や運転免許証のコピーの提示を脅迫する手口に関する数百の苦情申立がIC3に出された。

・何人かの被害者は、逮捕時に未成年(18歳未満)であり、その記録は封印(筆者注5)されたものであった。したがって、この情報は広く一般人が利用すべきでないものであると主張した。またその他のものはサイト上に掲示された情報は不正確であるか、露骨な内容であったと述べた。

・顔写真(mug shot)の削除を要求する被害者は運転免許証、裁判記録よその他個人識別情報のコピーを提供せねばならなかった。しか氏それらの情報の提供は成りすまし詐欺のリスクをもたらす。

・被害者の中には顔写真をウェブ上から削除するために費用を負担した者もあったが、実際には削除はおこなわれなかった。仮に削除されても再び被害者の顔写真が類似のウェブ上に掲示された。

・仮に、被害者が違法な行為としてウェブサイトを法執行機関等に報告するというと、ウェブサイトの所有者は犠牲者に対しより被害者にとってダメージの大きな情報を徐々に広げるといって脅した。

３．攻撃者はスカイプやその他のＩＭアプリを使用してトロイの木馬“Liftoh”を感染

・スカイプのインスタントメッセージや同種のIMプラットフォームで短縮URLを受け取るユーザーは“Liftoh”と呼ばれるとロイの木馬に用心深くあるべきである。シマンテック研究員のドリゴ・カルボ(Rodrigo Calvo)はシマンテックレポート(筆者注6)で“Liftoh”ラテンアメリカで感染していると述べている。

・被害者がいったん標的になるとURLを含むスペイン語のメッセージを受け取る。このメッセージはまるでスカイプのコンタクトリストの写真にリンクする誰かから受信しているがごとくに見える。もし、クリックするとユーザを“Liftoh”を含む武器化した圧縮ファイルを起動させる“4shared.com”に再度仕向ける。その結果、木馬は追加してマルウェアをダウンロードできる。

・シマンテックは、違法なURLは、17万回以上クリックされていると指摘している。

  *********************************************************************::::::****

(筆者注1) 電信送金（ wire transfer/funds transfer ）とは、一定の資金を受取人（ beneficiary person〔自然人および法人〕）が別の金融機関で利用しうることを目的とする、送金人（originator person〔自然人および法人〕）のために、金融機関を通じて電子的手段で行われるあらゆる取引を指す。送金人と受取人は同一人である場合も含む。 (筆者ブログ参照)

(筆者注2) 「短縮URL(shortended URL)」とは正規の長いURLを短縮して送信するもので、各検索サイトなどが変換サービスを提供している。例えば、長いURL "http://en.wikipedia.org/wiki/URL_shortening" を次のように短縮する "http://bit.ly/urlwiki", "http://tinyurl.com/urlwiki", "http://is.gd/urlwiki" or "http://goo.gl/Gmzqv". This is especially convenient for messaging technologies such as Twitter and Identi.ca which severely limit the number of characters that may be used in a message.(Wikipedia解説 から一部抜粋)

(筆者注3) インスタント・メッセンジャー（Instant Messenger ：IM、IMクライアント）とは、コンピュータネットワークを通じてリアルタイムコミュニケーションを実現するアプリケーション。接続中のユーザーを確認し、ユーザー間でリアルタイムに短いメッセージをやりとりすることができる。近年ではファイル送受信機能や音声通話機能、さらにはビデオチャット機能などの搭載が進んでいる。(Wikipedia 解説から一部抜粋)

(筆者注4) 「Downloader.Liftoh は、侵入先のコンピュータに脅威をダウンロードするトロイの木馬です。」発見日: 2013 年 5 月 3 日　シマンテックのリリースから引用

(筆者注5) カリフォルニア州オレンジ郡最高裁判所の青少年の前科記録の抹消手続き、およびローファームのkatiewalshlaw.com の解説文を仮訳する。

○青少年の犯罪記録の抹消手続き
　あなたの18歳未満に犯した青少年時代の犯罪記録はあなたの前科として記録に残る。 あなたは18回目の誕生日現在、あなたはあなたの少年時期の犯罪記録の封印をさせると青少年裁判所に申請するのが的確である。あなたの犯罪記録がいったん封印されるといかなる者もそれらへのアクセスを行うことは不可となる。さらに、犯罪記録は封印の日付から5年後に完全に抹消される。記録の封印に関する情報と様式文書はオレンジ郡保護観察部のサイトから利用可能である。
ただし、一定の重大犯罪(謀殺(murder)、放火(arson)、強盗(robbery)、凶器を用いた暴行(assault with a deadly weapon)、一定の銃使用(certain gun charges,)、カージャック)は一般的に封印できない。多くの州では、後日の成年となった後の逮捕や有罪判決が出たときは抹消申請は拒否される。

　なお、より各州共通で専門的な「青少年裁判記録の封印」の説明は“NOLO”グループのブログを参照されたい。

(筆者注6)シマンテックレポート「Downloader.Liftoh は W32.Phopifas の類縁か(Downloader.Liftoh Cousin to W32.Phopifas?)」は日本語で詳しく解説されている。

********************************************************
Copyright © 2006-2013 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only.
You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.

英国、豪州等の詐欺対策組織が取組むロンドン・オリンピックやパラリンピック対策の最新動向

　筆者の手元に届いたオーストラリアの「連邦競争・消費者委員会(Australian Competition & Consumer Commission：ACCC)」が運営する詐欺阻止専門サイト(SCAM watch)からのニュースを改めて読み直した。
　その言わんとする内容は、ロンドン・オリンピックやパラリンピックの宿泊予約詐欺に遭わないよう具体的な詐欺手口の説明を含む警告である。
　わが国でも円高等を背景に多くのオリンピック観光客が英国に向かうことは言うまでもなく、この機会に英国の詐欺阻止強化体制と英国の関係機関等が発したオリンピック関連の警告内容を概観すべくまとめてみた。

１．ACCCの詐欺阻止の具体策

(1)詐欺の手口
・詐欺師は詐欺ゲームの間、偽の予約用のウェブサイトを用意し、そこで偽の宿泊ルームや本物のウェブサイトの貸し部屋広告を掲げたり、あるいは偽の宿泊施設や予約チケットのパッケージ・サービスを提供する。
　そこに掲げられた宿泊施設は、実際に存在しないものやあるいは利用不可のものである。
　以前に見られた貸し部屋や宿泊施設予約詐欺では、詐欺師は施設の所有者、予約業者、旅行代理店あるいは施設の経営者等を装い、また宿泊施設や旅行用のウェブサイトに区分された本物の貸し部屋広告を載せた。
・あなたが偽の広告に応じ申し込むと、詐欺師は前もっての「貸し部屋の敷金(bond)」「賃貸料や預け金(deposits)」の支払を要求してくる。
・詐欺師の中には、なりすまし詐欺に使うため申込者の個人識別(ID)証やその他の証明文書のコピーを求める者もいた。
・被害者は正当な宿泊施設の鍵を受け取ることはなく、詐欺師はお金と共に失せるのである。
・また、詐欺師が競技観覧チケットの販売をも売り込むことに注意すべきである。唯一安全な競技観覧チケットの購入は、「2012年ロンドンオリンピック・チケット販売ウェブサイト(London 2012 ticketing website)」そのものや、あるいは同サイトで確認できる自国のオリンピック委員会やパラリンピック委員会で行うべきである。

(2)詐欺被害に遭わない方法
・公式な照会手続を有する知名度の高いホテルや評判が高い旅行会社に直接予約する。
・インターネットの検索機能や地図検索を使い、あなたが泊まろうとするホテルや宿泊施設が実際にそこに実在するか調査する。
・旅行代理店等に対し、多くの宿泊施設の写真を要求すべきである。もし相手が拒否する時は相手は本物の広告サイト等から写真を盗んでいる場合で、その他の多くの写真は持たないのである。
・あなたが旅行代理店やウェブサイトを通じて予約を行おうと考えたときは、まず初めにオンラインで詐欺業者でないか調査すべきである。このことで知られている詐欺を特定すべくレビューやブログを調べる。
・評判の良いウェブサイトに載っているからといって、宿泊施設の正当性(本物)を信じてはならない。詐欺師はこれらのサイトにも偽の広告を掲げている。
・可能であれば、知らない相手に対し為替(money order)、電信送金(wire transfer)や国際資金送金(international funds transfer)による前払いの契約は避けるべきである。このルートで支払われた資金を取り戻せるのは極めてまれである。(筆者注)
・宿泊施設の広告について正確な施設名を入力して、インターネット上でチェックすべきである。詐欺サイトでは多くの類似名の施設がある。
・宿泊施設の賃貸については当、該物件について調査すると主張すべきである。車で近くを走るだけでは調査としては不十分である。事実その施設は存在するかも知れないが、別の者が所有している可能性があるからである。

(3) 英国ロンドン警視庁のオリンピック詐欺警告リリース「Olympic and Paralympic Games Policing Accommodation Fraud 」の宿泊施設詐欺に関するアドバイスも参考になる内容である。

２．英国内務省の詐欺取締庁(National Fraud Authority：NFA)と詐欺報告センターの報告・支援センター(UK’s National Fraud Reporting Centre )」の役割

(1) 詐欺取締庁(NFA)の説明サイトにもとづく概要
次のとおり説明している。政府による「2006年11月詐欺調査(2006 Fraud Review)」の直接の成果としてNFAが生まれた。同調査において政府はイングランドとウェールズの市民に対し直接、経済的損失にかかる莫大なコスト・損害および詐欺の原因を調査した。その解決策として2008年10月1日、正式な着手作業をもとに“National Fraud Strategic Authority”を創設した。さらに2009年には“National Fraud Authority”と改称した。
　2010年/2011年の主な業績は「年次報告(Annual Report)」および「年次会計報告書(Annual Accounts)」で詳しく記している。

(2)“Action Fraud” サイトの概要
　NFAが監督・運営する「詐欺報告・支援センター(UK’s National Fraud Reporting Centre )」は１日24時間電話受付(0300 123 2040)する窓口“Online Fraud Report Service”を開設し、具体的な詐欺問題の阻止に対処している。なお、“Action Fraud”では一般的な詐欺予防のためのアドバイスや手口別詐欺の解説等を行っている。
***********************************************************************************
(筆者注) では、どのような決済方法が安全といえるかについては同サイトでは説明がない。筆者なりに補足すると、安全性が高く信頼度が得られるクレジット・カードによる決済ということになろう。なお、筆者のブログではかつて詐欺警告として次のような解説を述べている。
　「詐欺師は通常“Western Union”や“MoneyGram”を通じた電信送金を要求するが、それは「赤旗(red flag)」が立ったものとみなすべきである。これら電信送金で送られた資金は詐欺師によりいったん受け取られるとその追跡は極めて困難で法執行機関や銀行でも取り戻しは不可である。」

********************************************************
Copyright © 2006-2011 芦田勝(Masaru Ashida)．All Rights Reserved．You may reproduce materials available at this site for your own personal use and for non-commercial distribution.

米国連邦司法省、FBI、SEC、郵政監察局、連邦内国歳入庁等が全米「投資詐欺撲滅強化活動」の成果を発表

　2010年12月6日、米国連邦司法省(DOJ)、FBI、SEC、郵政監察局、連邦内国歳入庁犯罪捜査局およびCFT等はこの3ヶ月半の間にオバマ政権が指示し、初めて全米で展開した「投資詐欺撲滅強化活動(Operational Broken Trust：Operational Targeting Investment Fraud　)特別作業部会」の具体的成果を発表した。
　全米での被害者数は約12万381人、うち刑事事件の推定損失額は83億8,450万54ドル(約6,889億円)、起訴被告数は343人、また民事事件の推定損害額は21億3,468万1,524ドル(約1,743億円)、民事裁判被告数は189人である。

　今回の撲滅強化活動の中心となる関係省庁間金融詐欺法執行特別作業部会(The interagency Financial Fraud Enforcement Task Force)が2010年夏にオバマ大統領の強いリーダーシップの下で設置された。同活動は、2010年8月16日から始まり、12月1日までの約3ヶ月半の間に231件の刑事事件、60件の民事事件に取組み、その結果87人の被告が20年以上の拘禁刑を含む有罪判決を受けた(起訴件数158件、有罪104件)。

　連邦司法長官を初め関係機関のトップがおしなべてこれら金融詐欺の被害予防のためのメッセージを送っている。その詳しい内容については本特別作業部会も含め詐欺阻止に関する連邦専用サイト“Stop Fraud .gov.” を参照されたい。

　今回のブログは撲滅活動で取り上げられた米国の長引く不況下で増え続ける「金融詐欺事件」の手口の傾向を解析することにある。(筆者注1)
　なお、米国における詐欺の現状や”Ponzi scheme”の由来等は2009年4月17日の筆者ブログ(筆者注7)でまとめている。
　
１．移民など少数民族の強い団結力等に基づく「ねずみ講(Ponzi scheme)」の被害が圧倒的に多い
　今回取上げた事件17件中、明らかに手口が“Ponzi scheme”といっているのが9件である。確かにねずみ講の手口は被害者たる投資家を信用させるには最も容易な手段であり納得できるが、被害者側を一方的に攻められない点でもある。
　わが国の「振り込め詐欺」と同様にターゲットとされるろう高齢者や社会的に恵まれない人々への早期の相談やメディア等を利用した警告を優先すべきであろう。

2.詐欺撲滅強化活動の対象を長期的かつ複雑な法人詐欺より一般投資家を直接とした背景（FBIや司法省のコメント）
　多くの事例では犯罪者は比較的近くの人―近所、仕事仲間、礼拝参加仲間(fellow church goers)―である。そして被害者は貯蓄、家や暮らしを失った。
今回の詐欺一掃作業に含まれた各事例において完全に架空または広告されているとおりのビジネスとして構造化されていない「投資機会」の提案で騙したのである。大多数の事例は「超高利回り」と「ねずみ講」である。
　その他は「商品先物詐欺(commodities fraud)」、「外国為替証拠金取引詐欺(foreign exchange fraud)」、「違法な株式売り逃げ詐欺(pump-and-dump scheme)」 (筆者注2) 、 「不動産投資詐欺」、「ビジネスチャンス詐欺」、「親近感詐欺(affinity fraud)」(筆者注3)等である。

　FBIは、投資詐欺とりわけ「ねずみ講」と「株式市場操作詐欺(market manipulation schemes)の確固たる増加傾向に注目した。2009年1月以来、われわれは200件以上のねずみ講事件、その多くは2千万ドル以上の損害を生じている。現在の取扱件数に基づき、われわれは米国内のねずみ講の多発地域(hot spot)がロスアンゼルス、ニューヨーク、ダラス、ソルトレイクシティおよびサンフランシスコであると見ているが、これ以外どこでも起こりうることを記憶しておいて欲しい。

**********************************************************************
(筆者注1)今回作業部会が取上げた事件はある意味では氷山の一角である。
例えば筆者がブログ原稿執筆中であるイスラム金融の柱を逆手に取った次の“Ponzi scheme”は今回の事例には含まれていない
「FBIおよびイリノイ北部地区司法省の共同リリースは、11月17日にイスラム法を厳格に遵守すると称し、シカゴ地区ならびに全米の3百人以上の個人から不動産投資資金(約4,000万ドル(約32億8,000万円))を「ねずみ講詐欺(Ponzi scheme)」の手口により詐欺的に集めた、またシカゴ地域の3銀行から詐欺的な手法で融資（約2,900万ドル(約23億7,800万円）を受けた不動産開発会社(サンライズ・エクイティ・INC)の経営者3人(サルマン・イブラヒム(Salman Obrahim,37歳(パキスタン国籍)、モハマド・アクバル・ザヒッド(Mohammad Akbar Zahid,59歳(米国籍)、アムジェド・マハムッド(Amjed Mahmood、47歳,イリノイ州のデスプレーンズ住)を起訴した旨報じた。

　個人投資家の被害額は約3千万ドル(約24億6,000万円)、銀行の損失は約1,370万ドル(約11億2,300万円)であった。

　イスラム教・イスラム金融の柱(pillar of Islamic Finance)では「利息」は禁止されており、被告は不動産開発のみから生じる年間15%～30%の「利益(profit)」を受け取ることで被害者に働きかけ約束手を振り出させた。

　11月17日、連邦大陪審は検察側の証拠にもとづき審理の結果、起訴を相当とし、イリノイ連邦判事に対し計14の訴因に基づく正式起訴状発布の答申を行った。

　この事件はシカゴのパキスタン人の極めて強力なコミュティ社会とイスラム教の柱を悪用した投資資金詐欺事件であり、この種のものとしては初めてであるとFBIは述べている。
　被告であるサンライズ・エクイティの所有者・CEOであるサルマン・イブラヒムおよびモハマド・アクバル・ザヒッドは、サンライズが破綻し債権者による破産手続後は国外に逃亡中で現居場所は不明でありFBIはその情報提供を奨励している。(以下略)

(筆者注2)違法な株の売り逃げ詐欺(“Pump-and-Dump”" Schemes(“Pump and Dump” とは、投資機会詐欺(Investment Opportunities)の1つである。
　仕手筋が特定企業に関する虚偽情報を流して株価を操作し、その際に生じる利ざやを稼ぐ証券(株価操作)詐欺をいう。例えば特定銘柄を株価が安い時期期に仕込んでおき、ある段階でスパムメール等を利用して当該企業の偽の新製品情報やプラス材料を不特定多数の人物へと大量にばらまく。もし、この偽情報に投資家が反応すれば株価は急騰するため、そこで仕込んだ株を売り抜ける。情報は偽物であるため、一時的に上昇した株価はすぐに急落し、元の水準、あるいはそれより下の水準へと落ち込むことになる)(筆者ブログの解説参照)。なお、より詳しくは、米国証券取引委員会サイトの“Pump and Dump Schemes”参照。

(筆者注3) 親近感を利用した詐欺（affinity fraud）」とは、特定の人種や宗教の教義に基づき意図的に当該グループの人々を騙すものである。(筆者注1)で取上げた例もそれに該当する。詳しくはSECの解説“affinity fraud”を参照されたい。

**************************************************************
Copyright © 2006-2010 芦田勝(Masaru Ashida)．All Rights Reserved．No reduction or republication without permission．

オーストラリアの連邦ブロードバンド・通信・デジタル経済省(DBCDE)サイトに見る詐欺電話被害の急増

　　

Last Updated: Feburary 20,2021

　筆者は本ブログで「スケアウェア詐欺」や「トロイの木馬：ゼウス型」を取上げる一方で、10月6日には北米における「高齢者を対象とする振込め詐欺」について紹介した。

　筆者の手元にオーストラリアの連邦通信監督機関である「ブロードバンド・通信・デジタル経済省(Department of Broadband,Communications and Digital Economy：DBCDE)」大臣スティーブン・コンロィ(Stephen Conroy)からのリリース・メールが届いた。(筆者注0)

　最近数ヶ月だけ見てもDBCDEや同国の競争規制機関である「競争・消費者委員会(Australian Competition and Commission：ACCC)」に対する消費者からの1ヶ月あたりの「電話詐欺」苦情件数が200件から2000件に急増しているという。

　また、今回のブログでは主要国の“Don’t Call Registry”の実施状況について簡単にまとめておく。この種の基本的なデータが審議会等ごく限られた場でしか公開されていないわが国の実態を踏まえて、このような作業を行う趣旨を理解して欲しい。

　筆者の自宅にも、ひっきりなしにワンギリ電話や時間を問わないセールス電話が絶えない。
　わが国でも“Don’t Call Registry”による規制強化論議が喫緊の課題となりつつある状況なのではないか。

１．詐欺電話の内容
　ACCCや「連邦通信メディア庁(Australian Communications and Media Authority：ACMA)」が公表した詐欺師からの通話内容は次のような内容である。

(1)「あなたのPCはコンピュータ・ウィルスが感染しています。直ちに問題を解決するため、検索用ソフトウェアをダウンロードするので、あなたのクレジットカード情報を送ってください」といって金融取引情報を入手する。
(2)政府からの給付(grant)と称して偽の製品、サービスや現金の給付を受け取るための手続に必要であるとして、資金の提供を求めたり金融取引情報の提出を求める。
(3)銀行手数料や税金の還付が受けられることになったので、その手続のためにあなたの金融取引情報を提供してくださいと呼びかける。
(4)“Do Not Call Registry”(筆者注1)(筆者注2)の登録を有料で代行しますと呼びかける。
(5)録音ガイドで「あなた×××からの休日の無料パッケージ・サービスをうける権利が当りました。すぐに「ダイヤル9××」に電話してください。」と呼びかける。
　この手口はわが国であまり聞かないものなのでACCCサイトの説明で補足する。
①あなたはこのたび×××休日無料パッケージ・サービスに当選されました。
ついてはすぐに「ダイヤル9で始まる」または「1900等19で始まる番号」(筆者注3)に電話してください。
②「ダイヤル9××」等に電話すると今度はオペレータが出てホリデイ・パッケージのセールスを始める。そこではオペレーターはこの権利を生かすには税金分と関連諸手数料として598ドル(約46,000円)を請求する。その際、オペレータはこのお金は一定期間内は全額払い戻される旨説明する。
⑤被害者はクレジットカード情報や金融取引情報を提供して後日、この権利は偽もので詐欺に遭ったことを知る。

２．米国を除く主要国における“Do Not Call Registry”の実施機関とポータル概要
(1)オーストラリア
　連邦通信メディア庁(ACMA)が運営する「Do Not Call Register」
(2) ニュージーランド　
　ニュージーランド・マーケティング協会が運用する任意登録制度“Do Not Mail and Do Not Call Service”
(3)英国
　“Telephone Preference Service(TPS)” は、個人や法人が求められていない営業通話を受けないという彼らの要求を登録できるオプト・アウト制度である。 TPSに番号が登録された会社は登録者に電話をかけないという法的義務が発生する。もともとの根拠法は1999年5月に成立した“Telecommunications (Data Protection and Privacy) Regulations 1999”である。法執行機関は「情報保護委員」である。最新の根拠法は“Privacy and Electronic Communications (EC Directive) (Amendment) Regulations 2004” である。
(4)カナダ
　カナダのラジオ・テレビ・通信委員会が運営する“National Do Not Call List”
(5)オランダ
　オランダが2009年10月1日施行開始した“Do-not-call register”
　なお、オランダの英文ニュースリリースは概要を理解する上で参考になる。

**************************************************************************
(筆者注0)“DBCDE”は2007年に設立され、2013年に解散、その機能は、新しく設立された「コミュニケーション・芸術省(Department of Communications and the Arts)」によって引き継がれた。さらにこの部門は、2020年1月31日に、コミュニケーション・芸術省およびインフラ、運輸、都市および地域開発省が合併し、通信、放送分野の政策立案のほか、ブロードバンドの普及や地上デジタル放送への移行等、情報通信の普及・振興に関する施策を実施する「インフラ・運輸・地方開発・通信省(DITRDC)」が発足した。

(筆者注1) 現在、主要国で “Do Not Call Registry”を導入しているのは米国、オーストラリア、ニュージーランド、カナダ、英国、およびオランダである。
　米国の“Do Not Call Registry”制度については筆者ブログで詳しく説明している。

(筆者注2)  国民生活審議会消費者契約法評価検討委員会〔不招請勧誘］等で次のような論議されている。しかし、これらの議論を踏まえた今後の明確な見通しはいまだに見えないし、被害は広がるばかりである。
「不招請勧誘については、今回の調査対象とした諸国では、「不招請勧誘」という一般的な形で取り上げて民事ルールを論じる国は見出されなかった。むしろ、郵便、ファックス、電子メールといったような個別媒体を用いた勧誘についての禁止規範をどのように設計するかという、個別問題対応型での処理をする傾向が強い。いずれの諸国においても、契約法や消費者法にかかる一般的な教科書・体系書においても、「不招請勧誘」という一般的な観点から項目を立てて論じるものは、まれである。さらに、とりわけ、アメリカでは、不招請勧誘に関する個別問題対応型のルールは、民事ルールというよりも、事業規制の観点から、業法ルールとして整備されるという傾向にある。・・・、既に不招請勧誘禁止の個別ルールがほぼ確立している領域（なかでも、ＥＵ指令において不招請勧誘制度が導入されている電話勧誘、ファックスによる勧誘、Ｅメールによる勧誘の場面）については、わが国でも早急にこれに対応する制度を準備するに値するものと思われる。」
　なお、わが国のこの種の審議会資料の公平性、専門性は疑わしい。

(筆者注3) 9や 19で始まる電話番号は「プレミアム・レート・電話番号」である。海外では一般的に手数料稼ぎビジネスとなっているものである。プレミアム・レート・電話番号は、ある一定のサービスが提供されるときに適用されるもので、標準より高い通話料が請求される通話のための電話番号をさす。通常の呼び出し電話と異なり、通話料の一部をサービス・プロバイダーに支払うため、呼び出しそのものでサービス企業は収入が得られることが可能となっている。

******************************************************************

Copyright © 2006-2010 芦田勝(Masaru Ashida)．All Rights Reserved．No reduction or republication without permission

 

偽のスパム架電による正当な金融機関の確認電話を阻止する電話利用型DOS攻撃の最新動向

　Last Updated：February 25,021

　筆者は手元に届くFBIからの情報で、2010年5月11日リリースで変わったサイバー犯罪(ホワイトカラー犯罪にも該当)の情報を読んでいた。
　わが国でこのような犯罪は考えられるのか良く分からない点もあり、そのままにしていたが約1ヶ月半後の6月21日にもFBIサイトで再度取り上げられていた。

　IT詐欺の多様化はとどまることを知らないのであり、犯罪手口を提供するというマイナス面は承知しつつもあえて正確な情報提供し、あわせて捜査関係機関の認識をあらたにしたいとの目的からまとめた。

　なお、FBIが述べている通り、このような犯罪行為が行われる背景にはまさにSNSの安易な利用と個人情報(とりわけ口座情報等)の提供があることは間違いない。また、わが国では自動ダイアリング・プログラムによるマーケティング活動といった迷惑電話の規制法制がないこともあり(筆者注1)、一方、振り込め詐欺もそうであるが「電話番号の非開示」も重要な安全対策の対象であり、またこれらを扱う事業者の認識も変えなくてはならない時代になったといえる。

１．犯罪の手口
　この手口は電話型DOS攻撃(telephony denial-of-service：TDOS)として知られており、この数週間FBIと協同調査を行った電話会社によると、これらのDOS攻撃の急増が見られた。
　加害者は、自動ダイアリング・プログラムと複数の口座を対象として、被害者に向け数千回の電話により固定電話や携帯電話の利用を遮断、通話不可とする

　被害者が電話口に出ると、通話の中断(dead air:無言電話 )あったり無害な録音メッセージ(innocuous recorded message)や広告さらにはテレフォン・セックス・メニュー等多様である。このスパム電話の呼出し時間は通常短いが非常に頻繁であり、被害者はこの妨害電話に対処するため電話番号の変更を行わざるを得なかった。

　FBIは、この違法な呼出しが牽制的な機能を持つと判断した。すなわち、TDOSを行っている間、加害者は銀行とのオンライン取引や他の取引口座につき同口座から資金を引き出すためアクセスしているのである。

　加害者は何らかの方法で犠牲者の金融取引情報を入手すると、次にEメールアドレス、電話番号や銀行口座番号等被害者の個人識別情報を入手したり、取引内容の変更を行うため金融機関に連絡を取るため金融機関にコンタクトをとる。

　わが国でも同様であるが、このような場合、金融機関は預金者である被害者に確認電話する。その電話確認行為を阻止するため、加害者は口座を正式に管理している金融機関が直接本人に取引内容や口座内容の変更について電話確認しようとしても、その電話は話し中となり確認が出来ず、後日、金融機関や被害者が被害に気がついたときはすでに遅しである。

　FBIはこの犯罪手口について民間調査会社のサイトから同犯罪が行われていることを知っていた。2009年フロリダ州のセイント・オーガスティン(St.Augustine)に住む非常勤歯科はTDOSにより年金口座から40万ドル(約3,640万円)を失うという被害に遭った。

　連邦捜査機関は1分間に大量の架電呼出しを行うコンピュータで作成する自動ダイアリング・ツールと組合わせた1人のユーザーにより作られたVOIPアカウントを発見した。そのVOIPアカウントは廃止されたが、その手口の加害者は特定できなかった。FBIの捜査パートナーであるAT&TはニューアークのFBIサイバー犯罪チームの支援を得て調査を行った。

　AT&Tの世界的詐欺対策管理部副部長(Associate Director of Global Fraud Management)のアダム・パナギーア氏(Adam Panagia)は、2009年11月のこの手口が行われた後、最近米国全般にこの種の犯罪が増加していると述べている。

　5月に電気通信詐欺対策協議会(the Communication Fraud Control Association：CFCA) (筆者注2)はFBIに公式の法執行グループの連絡調整機関となるよう要請を行った。FBIとCFCAはTDOSを防御するためその傾向やパターンを分析し、他方で一般利用者を教育、また加害者を特定して司法の場に持ち込むことの協同作業を行っている。

２．本質的な問題
　頻繁に電話がかかってくること自体、通信事業会社の技術的な問題で犯罪の脅威ではないと考え、被害者は直ちに法執行機関に連絡しようとしない。米国PAETECのCIOであるロバート・ムーア氏はVOIPや電話サービスの最新技術の出現でこれらのプラットフォームを利用するビジネスをターゲットとする犯罪はますます専門化してきたと述べている。FBIは、この悪意ある電話呼出しに見る1つの傾向は受け手が電話口に出たとき被害者の多くが予め録音されたアジア訛りの米国の自動車広告を聞いている。また、もう1つの際立った特徴は受け手が電話口に出たとき「電話セックスメニュー」について聞かれることである。

３．被害者とならないための方法
　TDOS攻撃から自身を守るため消費者は詐欺師の行動の先回りすることである。
　FBIニューアークの特別捜査官のミシェル・B.ウォード氏(Michael B.Ward)は
「受け手が欲しない(unsolicited)電話は常に詐欺の現われであり、FBIはこの手口を広く一般に通知・助言することが重要であると信じる。」と述べている。「消費者は仮に自分がTDOS攻撃や類似の詐欺の目標となったと信じるときは、金融取引口座や主要な信用情報機関に対し注意を促すという強固な安全手続を引続き取るべきである。定期的かつ頻繁にオンラインバンキングやテレフォンバンキングのパスワードを変更すべきであり、また毎年送付される自らの信用情報を入手するとともに詐欺的な犯罪が行われていないかなどを検証すべきである。

　AT&T社のアダム・パナギーア氏は「我々はTDOSが行われていると疑わしいときは金融機関に通知した後、直ちに電話通信プロバイダーにも通知する。」と述べている。
　この通知は犠牲者が保有するオンライントレードのブローカーに対しても行うべきである。最近の事件で犠牲者が金融機関への通知を迅速に行った結果、口座の資金が盗まれる試みが阻止できた例がある。

　FBIは米国インターネット犯罪苦情センター(Internet Crime Complaint Center:IC3 に通知された苦情や申立について直ちに行動を起こすものではなく、これらの情報は犯罪の傾向とパターンの分析に利用されるものであるが、もしパターンが特定されると更なる詳細な犯罪捜査のため、犠牲者は詳細情報が聴取されることになるであろう。
*********************************************************************************************
(筆者注1) 2010年3月23日、英国ビジネス・イノベーション・職業技能省( Department for Business, Innovation and Skills ：BIS)の 閣外大臣であるケビン・ブレナン議員(Kevin Brennan MP)はマーケティング会社等による自動化された呼出装置(ACS)を使用する電話呼出しのままで無言の状態が続き、オペレータが直ちに通話口に出ない呼出しによる消費者の迷惑と精神的苦悩対策として最高額(200万ポンド：約2億6,400万円)の罰金刑の引上げに関する省令改正を公表した。この件に電話セールスに関する法規制問題として別途本ブログを作成する予定である。

(筆者注2) わが国で「 電気通信詐欺対策協議会(the Communication Fraud Control Association)について紹介したサイトは見ない。その理由の1つは人権問題と微妙にかかわる問題であることかも知れない。同協会のHPで由来について解説しているので簡単に紹介する。なお、CFCAは2008年5月、中華人民共和国の北京で開催された世界通信会議(International Conference on Communication)のセキュリテイ・フォーラムの協同スポンサーである。CFACの設立の構想は1985年2月、長距離電気通信事業者の通信の安全性に関する専門家グループにより始まった。その中心となる目的は増加しつつあるコミュケーション詐欺と効果的に戦う方法・手段を見出すことであり、AT&T、ITT、MCI、Network One、Satellite Business System、Sprintの代表がCFACの土台を作るため会合を重ねた。数年間にわたり会員の資格はワールド・ワイドのネットワークに広がり、構内換機(PBX/PABX)所有者、ISP、ケーブル・衛星放送事業者(cable and satellite providers)、詐欺対策システム開発事業者(fraud system developers)、検察官、警察等法執行機関、通信分野のコンサルタント等にまで拡大した。
　CFCAの本部は米国ニュージャージー州ローズランド(Roseland)に置く。CFCAが支援する教育プログラムでは通信システムがいかなるかたちで詐欺師により用意される、それとどのように戦い、企業の資産をどのように守るか等について集中的に扱う。

［参照URL］

https://archives.fbi.gov/archives/newark/press-releases/2010/nk051110.htm

http://www.fbi.gov/page2/june10/phone_062110.html

*****************************************************************
Copyright © 2006-2010 芦田勝(Masaru Ashida)．All Rights Reserved．No reduction or republication without permission．

 

「トークン型パスワード」システムの脆弱性を狙った「Phishing」がシティ・バンクの顧客に対し発生

　

Last Updated: October 8,2022

　本ブログの読者であれば「Man-in-the-middle attack(MITM)」の言葉はご存知であろう。Wikipediaでもすでに解説されているので、防御方法も含め初めての方はそちらで再度内容を確認していただきたい（そもそも筆者には解説できるほどの専門知識がないのが本音）。簡単にいうと、この攻撃者は2当事者間の通信メッセージに対し当事者が気が付かないままに即座にリンクをはり、通信内容を①読み取る、②一定のデータを挿入させる、③改ざん等により通信内容の閲覧や遮断が可能となる。MITM攻撃は特に初期の「Diffie-Hellman 鍵交換プロトコル」(筆者注1)において強度な認証なし利用された場合リスクにさらされるとWikipediaでは説明されている。（筆者注2）

　この攻撃の副次的な形態としてWikipediaでも紹介されている通り、フィッシング攻撃が可能となる。その例として2006年7月10日付のワシントンポストの記事が引用されている。今回はその記事の内容を中心に紹介する。
　なお、公的機関のウェブのセキュリティ強化に関しては米国中央情報局（CIA）が7月17日付でSSLまたはデジタル署名の採用を行った旨発表している(筆者注3)。今頃と思うかも知れないが、今後このような動きは早まろう。

１．攻撃者の手口とワシントンポスト紙の記者の分析
①シティ・バンクの「シティ・ビジネスサービス」（名前の通りビジネスユースに合ったものである）サイトでは、顧客に対しログイン時にユーザー名、パスワードに加え約1分間しか有効でないパスワード作成器「トークン」(筆者注4)の使用を行う。
②まず、犯人は今回極めて巧妙にできた偽サイトを作り、「CitiBusiness E-mail & Security Banking Alerts」と題する電子メールを送りつけてくる。その内容は「当社のシステムが調査したところ、6月27日に顧客が入力したIPアドレス（＊＊＊．＊＊＊．＊＊＊＊(犯人が作った仮想アドレス）が正当なものでないため、取引口座へのアクセスに失敗しました。現在の正当なアドレスの入力をすぐに行ってください。」というものである。
③クリックすると、ビジネス・コードの入力画面にかわる。ここで同紙の記者が注目しているのは画面上部のCitiBusinessのURLである。最後にロシアのウェブサイトの最後につく「Tufel-Club.ru」がついている（実際、ワシントンポストの記事で見れるので確認されたい。犯人も結構ぬけている？）。
④仮にあなたがセキュリティの専門家で、サイトが正当なものか否かをテストするため任意のビジネス・コードを入力したとすれば、読者自身が“あほ”である。すなわち、その場合つながるのは「man-in-the-middle」のサイトであり、同サイトは実際、本物のCitiBusinessのログイン・サイトとリンクしているからである。読者が意図的にエラーを発生させた場合、サイン・インに失敗した旨のメッセージがこのフィッシング画面上に表示されるのである。
⑤記者の更新情報によると、7月3日に始まる週中見ることができたこのフィッシングサイトは、7月10日東部時間午後4時41分に閉鎖されたとのことである。

２．今後の課題
　100%の安全対策はない。一方、ATM取引きにおける生体認証も使い勝手から見て課題も多い。金融界のセキュリティ研究の取組み課題は増える一方、インターネット・バンキングにおける犯罪防止と被害の補償問題は、2006年2月10日に施行された「偽造カード等及び盗難カード等を用いて行われる不正な機械式預貯金 払戻し等からの預貯金者の保護等に関する法律（「預金者保護法」）」成立時の国会の付帯決議において、速やかに実態の把握と必要な措置を講じることとある。金融庁や日本銀行等もこの点に注目しており、今後技術面、法制面の検討が待たれる。
　なお、インターネット・バンキングにおける被害者への補償問題については英国系銀行であるBarclay、HSBC、Loyds TSB等が研究を進めている。別途紹介するつもりである。

*************************************************************************

(筆者注1)「Diffie-Helman鍵交換方式」
　DiffieとHelmanは公開鍵暗号の理論をはじめて提唱した研究者。DiffieとHelmanが理論化した公開鍵暗号は、リベスト、シャミア、アーデルマンによってRSA公開鍵暗号として実装された。
一方、DiffieとHelmanは「鍵交換」に特化したアルゴリズムを考案した。
これは公開鍵暗号の一種とされるが、RSAのような方式とはまったく異なり、また「共通鍵を不思議な数学的方法で交換する」ということに特化したものである。Diffie-Helman鍵交換法（DH法）とは、互いに自分だけが知っている秘密の乱数を作り、その乱数を使って計算した余りを、お互い交換する。すると、相手の乱数を知らなくても、自分の乱数と相手の乱数を組み合わせた計算の答えを導き出せる。しかも、盗聴者が交換される余りを手に入れても、互いが持っている秘密の乱数を推測するのは困難、という不思議なアルゴリズム。
(http://motologue.cocolog-nifty.com/memo/2005/08/post_4f2e.htmlから引用)。

（筆者注2）2要素認証の脆弱性に関しては、2005年3月に世界的セキュリティアナリストのブルース・シュナイアー(Bruce Schneier)氏が問題指摘している。そこでは、①MITM、②トロイの木馬によるあらたな攻撃対象として挙げられている。http://www.schneier.com/crypto-gram-0503.html#2

（筆者注3）次の新URLで見るとおり、httpからhttpsに変わっている。
https://www.cia.gov/cia/public_affairs/press_release/2006/pr04252006.htm

(筆者注4)例えば、ゆうちょ銀行の「トークン（ワンタイムパスワード生成機）」について」等を参照。

〔参照URL〕
http://blog.washingtonpost.com/securityfix/2006/07/citibank_phish_spoofs_2factor_1.html
http://www.computerworld.com/action/article.do?command=viewArticleBasic&articleId=9001798&source=NLT_FIN&nlid=56
*****************************************************************************

Copyright (c)2006 芦田勝(Masaru Ashida ).　All rights reserved.You may display or print the content for your use only. You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.

　-

オーストラリアで無料電話利用型phishingが現わる

　

　「詐欺は進化する」現在世界中のインターネット・ユーザーやベンダー企業に被害を与えているphishingのフリーダイヤル版がオーストリア（同国では、toll free電話の場合、頭に1800がつく。）で現われた。インターネットを介するphishing対策（疑わしいURLの見つけ方など）にユーザーが慣れてきたとたんに、新たな手口が出てきた。ただし、基本的な手口は金融機関の顧客を対象とし、機微性の高い個人情報を盗むことや、銀行との接続状態を信じる顧客心理を悪用している点に共通性がある。この手口を発見したのはセキュリティ専門会社の「SurfControl」であり、被害者はチェイス銀行の顧客である。以下、その手口を紹介する。

１．詐欺師は、まず偽の氏名や連絡先を使って無料電話番号を入手する。この番号は正規のチェイス銀行の無料電話番号と同じである。
２．顧客がこの電話に掛けるとチェイス銀行の録音メッセージの挨拶が始まる。SurfControlは手口を調べるため詐欺師に次のような偽の情報を提供した。両者のやり取りは以下の通りである。

詐欺師：チェイス銀行口座確認サービスをご利用いただきありがとうございます。
はじめに16桁のクレジットカード番号を入力してください。
顧客（SurfControl）：「無効」な16桁のクレジットカード番号を入力する。
詐欺師：16桁のクレジットカード番号を入力してください。
顧客：「有効」な16桁のカード番号を入力する。
詐欺師：カードの有効期限を月年の順に入力してください。
顧客：4桁の有効期限を入力する。
詐欺師：カードの第一次保有者の社会保障番号を入力してください。
顧客：4桁を入力。
詐欺師：ただいま処理中です。少々お待ちください。
ありがとうございます。お客様の口座確認は終わりました。

　以上のやり取りを読んで直ちにおかしいと思うであろう。銀行が顧客機微情報をemailや電話で確認することは行わないとことが徹底されて入れば、被害は広がらないと思うのであるが。

****************************************************************************

Copyright ＠2006 芦田勝(Masaru Ashida ).　All rights reserved.No reduction or republication without permission.