昨日、筆者のアドレス宛に「【PayPay】ご利用のお知らせ」とのタイトルでメールが届きました。

本文を見てみると「ご利用日時：2021年09月18日1＊:＊＊ご利用場所：丸＊・＊＊＊利用（通販・ネットショッピングを含む）ご利用金額：8,041円」となっています。

普段、よく使う決済サービスですが、この時間は家にいましたので、まったく身に覚えがありません。

これは、詐欺メールの可能性が非常に高いと判断しました。

まずは、決済サービス会社の正規の問い合わせフォームから「kb＊＊＊@payp**-co**.co.jp」で身に覚えのない料金のメールが来たことを書いて、送信すると、カスタマーサポートから自動返信があります。

ややこしいことに、サポートセンターから送られてきたメールアドレスも、＠マーク以降が同じなのです。しかし連絡して間髪入れずに送られてきたので、こちらは本物であることは間違いありません。

最初に送られてきたのは、偽装されてのメールアドレス表示だと思われますが、実に巧妙です。パっと見ただけでは、偽物なのかの判別ができず、正式な決済サービス会社からメールが来たと思ってしまう人もいるかもしれません。

さて、送られてきたアドレスに送信すると、返事はあるのでしょうか？もしかすると、この後、次々に詐欺メールが送られてくるかもしれないという恐れも感じながらも、あえて送ってみました。

しかし「配送できませんでした。」と、メールは戻ってきました。どうやら、詐欺メールを送信する専用アドレスのようです。

メールのURLをタップして先に進むと

「ご利用の覚えがない場合はこちらをご参照ください。自動チャットで確認する。（スマートフォンのみ対応）https://payp＊＊-ne＊.＊n/」とありますので、URLをタップしてみると、次の画面が出てきました。

サイトアドレスには、indexの文字もあり、なかなかサイトも精巧にできています。この画面のいろんなところをタップしてみました。

しかし巧妙なのは、「パスワードを忘れた場合」です。

ここをタップすると、なんと正規HPのパスワード再設定の画面に飛び、メールアドレスか電話番号を入れるようになりました。

偽物のサイトでありながら、本物のサイトにも飛ぶように作られています。

さらに先に進むと、どうなるのか？

そこで登録済の電話番号と、パスワードに適当な数字を打って、先に進みました。

次に出てきた画面です。

「SMSで届いた認証コードを入力してください」の画面になりました。

アドレスを見ても、正規サイトのものと違っていますので、偽サイトです。

もしここで筆者のもとにSMS（ショートメッセージ）で届いた本当の数字を入れてしまうと、決済サービスが乗っ取られて、不正利用されることになるかと思います。

さて、適当に４桁の番号を入力してみます。

すると、「認証コードが違います」と出ます。

もちろん、適当な数字を入れているので、当然とはいえますが。

もう一度、別な数字でやりました。また、同じ言葉が出ます。

実は、「認証コードが違います」にて、すべてのフィッシング詐欺の工程が完了することになると思われます。

もしかすると、この言葉に「おや？」と思い、この画面の「認証コードが届かない場合」をタップする人もいるかもしれません。どうなるのでしょうか？すると、正規HPの「SMS認証コードが届かない」という、ヘルプ画面に飛びます。

裏に誰かいるのでは？

ここでもう一度考えました。もしかして、裏に誰かいるのでは？

メールから最初にタップした偽サイト画面で、筆者は適当な数字で、電話番号とパスワードを入力しました。これにより、この情報は詐欺犯に盗み見られていたと思います。

すると、裏から手を出した詐欺犯が、正式の決済サイトのページにその情報を入力して、筆者の電話番号に認証コードを送るカラクリになっているのではないのでしょうか。

もし私のもとに送られてきたSMSの認証コードを偽サイトに入力すると、これまた盗み見られて、正規サイトにこっそり入力されて、決済サイトのアカウントが乗っ取られてしまうのではないかと考えます。

認証コードには時間的な限りがあります。ですので、得た情報はすぐに使わなければ意味がありません。

もちろん、これを自動で行っているのかもしれませんが、表にいる人から得た情報を、即座に裏にいる人間が正規のサイトで不正アクセスを行っていることも考えられます。

二人羽織のような手口に絶句。

二人羽織とは、人前から見える着物をきた人は袖に手を通さず、その後ろに隠れているもう一人の人物が袖に手を通して、前の人の口に食べ物を運び、笑いを誘うニ人が共同して行う芸です。

まさにこの手口は、この芸のようです。

偽サイトに誘導されている表の人間の後に、もう一人が隠れており、盗みとった情報を裏で瞬時に正規サイトに入力する。二人羽織のような手口を目の当たりにして、絶句せざるを得ませんでした。

今、毎日のように、大手のサイトを装って、メールやSMSが届けられますが、本当に気を付けなくてはなりません。

詐欺に遭わないためには、常に正規のHPからアクションを行うようにしてください。

今回、私はあえて引っかかってみましたが、くれぐれもメールやSMSで送られてきたURLはタップしないことが大事になります。

この詐欺メールが、筆者のところに送られてきたということは、すでに多くの人のところにも送信されていることと思います。しかしメールアドレスなどを検索しても、出てきません。気づいていない人も多いのではないかと思い、いち早く、潜入体験として、注意をお伝えすることにしました。