スパムメールや不正なメッセージを起点とする攻撃の勢いは一向に衰えません。サイバー犯罪者は言葉巧みに添付ファイルやURLリンクを開かせ、マルウェアに感染させたり、不正サイトへ誘導したりしようとしています。あやしげな添付ファイルやURLリンクをうっかり開いてしまったときの対処法を紹介します。

スパムメールや不正なメッセージを介してマルウェア（ウイルスなどの不正なプログラムの総称）に感染させられたり、不正サイトへ誘い込まれたりするケースが相次いでいます。こうした事例やその危険性についてはメディアが盛んに報じ、警察機関やセキュリティ関連団体も注意喚起を行っています。それなのになぜ被害が後を絶たないのでしょうか。

最近のスパムメールは、受信者に不信感を抱かせないように作り込まれています。内容や日本語の言い回しに不自然な点はほとんどなく、受信者が正規のメールと錯覚しがちです。たとえば、実在する通信販売事業者や宅配便事業者などを装って「セキュリティアラート」「サービス継続手続き」「請求書の送付」「商品の配送確認」などを名目とするもっともらしいメッセージを送りつけてくるため、受信者は疑いなく添付ファイルやURLリンクを開いてしまうのです。

2019年後半ごろから国内で話題になっているのは、実在する企業や組織、過去にメールをやり取りしたことのある人物などを装って「請求書」「ドキュメント」「賞与支払」などの件名のメールを送りつけ、受信者にOfficeの文書ファイルを開かせる手口です。

ファイルを開いて、メッセージバーの「編集を有効にする」「コンテンツの有効化」ボタンをクリックしてしまうとどうなるでしょうか。不正なマクロが実行され、マルウェアに感染してしまいます。メール内のURLリンクを開かせ、不正なマクロを埋め込んだ文書ファイルをダウンロードさせるパターンも確認されています。

※マクロは、事前に記録した操作内容や手順をまとめて実行させる機能です。WordやExcelなどのOfficeドキュメントの標準機能として備わっています。

このEMOTET（エモテット）と呼ばれるマルウェアを配布する手口は日々変化しており、直近でも不正な添付ファイルをパスワード付きのZIPファイルにして送ることで、セキュリティソフトの検知を回避しようとしたり、受信者に信じ込ませるために、実際に企業などから送信された文面や件名などを複製して偽のメールを仕立てたりするなど巧妙化を続けています。常に最新の情報を入手し、警戒を怠らないようにしましょう。

実在する企業や組織、よく知った相手が差出人でも、何らかの理由をつけてURLリンクを開かせようとするメールは、あなたを不正サイトへ誘導するためにサイバー犯罪者が送りつけたものかもしれません。たとえば、携帯電話事業者を装うメールで「契約更新」「支払い金額の返金」などと通知し、受信者に不正なURLリンクを開かせる手口が確認されています。誘導先は当選画面を表示する偽サイトで、当選金を受け取るためという名目で銀行口座情報などを入力するよう仕向けます。

不正サイトへの誘導手段はメールだけではありません。SNSの投稿やダイレクトメッセージ、SMS（ショートメッセージサービス）、一般のWebサイトに表示されるネット広告も不正サイトの入り口になっています。たとえば、TwitterやFacebook、YouTubeなどのSNSにおいてセキュリティ会社やオフィス機器メーカーを装うアカウントから「技術的な悩みを解決します」といった文言とURLリンクを投稿し、サポート詐欺サイトへ誘導する手口が確認されています。また、突然表示される「ウイルス感染」「システム破損」を警告する画面もサポート詐欺サイトにつながっているかもしれません。こうした警告は、ネット利用者の不安をあおることでクリックを促す演出に過ぎないのです。

サイバー犯罪者が偽装するのは、一般企業や知人だけではありません。警察庁をかたって「銀行の認証の設定が必要」などと呼びかけるSMSも確認されています。もし、メッセージ内のURLリンクを開くと特定の金融機関を偽装したフィッシングサイトへ誘導され、そこで入力したすべての情報がサイバー犯罪者の手に渡ってしまいます。

メールなどのURLリンクは、パソコンのOSやソフトの脆弱性（セキュリティの弱点）を攻撃する不正サイトの入り口になっていることもあります。OSやソフトの脆弱性を残したままのパソコンでは、こうした不正サイトを表示しただけでマルウェアに感染してしまうこともあるのです。

スパムメールは一目で不正なものと判断することが難しくなっています。どれだけ注意していても不正な添付ファイルを開いてしまうことがあるかもしれません。「あやしいファイルを開いてしまったかも」と感じた場合、どのように対処すべきでしょうか。

メールなどの「あやしいURLリンクを開いてしまったかも」と感じた場合、誘導先のWebサイトで「情報を入力する」「ソフトをダウンロードする」「アプリ連携を許可する」といったアクションを起こしてはいけません。次のポイントを最優先で確認してください。

スマホの場合、不正なURLリンクから不正アプリ（スマホウイルス）のインストールに誘導されることもあります。スマホにもセキュリティアプリをインストールしておき、最新の状態に保って利用してください。パソコンやスマホで不正サイト、詐欺サイトに遭遇したときの対処法も押さえておきましょう。