【iPhone】NHKの佐川急便を騙るフィッシング詐欺報道が波紋

NHKが佐川急便を騙るフィッシング詐欺の注意喚起をした記事「本物そっくり！？「偽・佐川」に厳重注意を！」を公開してていますが、本来はAndroidスマートフォンを狙ったフィッシング詐欺にも関わらず、記事中でiPhoneのスクリーンショットが多用されている為に、iPhoneユーザーから不安の声が挙がっています。

iPhoneでも危険性があるように読み取れる報道

多方面から問題が指摘されているNHKの報道記事は、佐川急便を騙るフィッシング詐欺を注意喚起するもので、ざっくりと要所を書き出すと次の内容。

1. 佐川急便を騙り、悪質なフィッシングサイトに誘導するSMSが届いた
2. SMS内のリンクを開くと、佐川急便の公式サイトに成りすましたフィッシングサイトだった
3. 偽の佐川急便公式サイトでアプリをインストールするとウイルスに感染する
4. 感染すると画面がロック、操作権限の乗っ取り、不正アプリのダウンロード、ファイルの削除、電話番号やメールアドレス抜き取りの危険性（トレンドマイクロ広報担当者談）
5. 対策として疑わしいアプリの削除、ウイルス対策ソフトをダウンロード（購入）、アプリは公式ストアでダウンロード（App Store、Google Play）

一見何ら普通の注意喚起記事に思えますが、ブログメディア「すまほん！」など、多方面から次の問題が指摘されています。

• 本来はAndroidを狙った悪質なフィッシング詐欺にも関わらず、iPhoneのスクリーンショットを多用しており誤解を招く内容。
• セキュリティソフトの購入以前に、大切な対処法の説明が丸々欠落している。
• トレンドマイクロのステルスマーケティングに加担しているようにも思える宣伝記事。

問題のアプリにはトロイの木馬、iPhoneではインストール不可

今回の佐川急便を騙る悪質なフィッシングサイトは、荷物追跡サービスを称した悪質なアプリケーションのインストールに誘導するページになっています。

問題の悪質なアプリケーションはAndroid向けに作られたアプリケーション（.apk）ファイルになっており、トロイの木馬の一種“Android:Wroba-L”が仕込まれていることが確認できました。

NHKの記事ではiPhoneのスクリーンショットが多用されていますが、今回の悪質なアプリはiPhoneにインストールできないので、iPhoneでダウンロードボタンをタップしても何ら問題は無く、全く心配する必要はありません。

「設定マニュアル」と称してセキュリティを下げる文面

佐川急便を騙る悪質なフィッシングサイトを実際に見てみると、設定マニュアルと称してAndroidスマートフォンのセキュリティレベルを下げる説明が掲載されています。

設定マニュアルに騙されて“提供元不明のアプリ”を許可してしまうと、今回のような”ウイルスが仕組まれたアプリ”を誤ってインストールしてしまう危険性が増すので、特別な理由が無い限りは提供不明のアプリは許可しないでください。

※ 今回のフィッシング詐欺は”提供元不明のアプリ”を拒否するだけで防げます。

iPhoneで”提供元不明のアプリ”の代わりになり得るるもの

iPhoneの場合は原則App Store以外からアプリのダウンロードはできませんが、例外として社内利用など限られた範囲での利用を目的としたアプリ「エンタープライズ App」というものがあります。

エンタープライズAppの場合、Appleの審査無しでアプリを配布することができますが、インストールして起動しても「信頼されていないエンタープライズ開発元」と警告が表示され、設定→一般→プロファイルから設定を変更しない限りは起動できません。

もしフィッシングサイトを含むウェブサイト全般で、エンタープライズAppのインストールやプロファイルの設定変更を要求された場合は、信頼できる相手を除き絶対にインストール、プロファイル設定の変更はしないようにしてください。

※ 仮に悪質なエンタープライズAppを起動した場合でも、多くの場合はセキュリティが強固なサンドボックス構造によって拒まれるものの、過去にサンドボックス構造による制限をプライベートAPIで回避したマルウェア”YiSpecter(IOS.Specter)”話題になりました。（iOS 8.4で対策済み）

今回の佐川急便を騙るフィッシング詐欺はURLでわかる

今回のフィッシングサイトは、URLを見るだけでも簡単に見極めることができ、佐川急便の公式サイトのURLは「http://www.sagawa-exp.co.jp/」ですが、悪質なフィッシングサイトのURLは「http://sagawa-●●●.com/」になっています。

メール経由のフィッシング詐欺は、メールの文章などから「正規のメール」か「不正なメール」判断できることが一番ですが、最近ではメールのフォーマットを忠実に再現したもの、送信元を成りすましたものなど、メールを見ただけでは判断が難しい場合があります。

そういった場合は、メール文中のリンク遷移先のURLが公式サイトのURLと一致しているか確認することが大切です。