アカウント乗っ取り、初期のサインを見逃さない
Hacking Signs: Early Indicators of Account Compromise
同僚の銀行口座から大金が動かされた話
先日、同僚の銀行口座から大金が不正に送金されたというショッキングな事件がありました。総額は数万ドルというすごい額です。同僚はすぐに気づいて銀行に掛け合ったのですが、被害にあったお金はいつ、どのくらい取り戻せるのかまだわらかないそうです。こういうことは誰にでも起こるのだと、私にとって大きな警鐘となりました。というのも、この同僚はとても几帳面で、オーガナイズする能力が優れていて、誰よりもきちんと整ったコードを書く優秀なエンジニアで、まさかこの人に限ってこのような被害に遭うことはないだろうというような人なのです。改めてアカウント乗っ取りの兆候を見逃さないことの重要性を再認識したのです。
２段階認証
アカウント乗っ取りを防ぐための最も効果的な手段の一つが、２段階認証（2FA）です。これは、パスワードに加えて、追加の認証手段（例：SMSでの確認コード、認証アプリ）を用いることで、不正アクセスのリスクを大幅に低減します。みなさんもすでに実行していると思いますが、確かにちょっとめんどうではあります。設定していないよりは安全性が強化されるので、もしまだ設定していない場合はすぐにでも導入することをお勧めします。被害に遭った同僚もきっと２FAを設定していたはずです。
ハッカーが２FAを突破することはできるのでしょうか？ 答えは不可能ではない、です。例えば、SMSを使った２FAは、SIMスワップ攻撃やSMSの傍受によって突破される可能性があります。また、認証アプリを使った２FAも、マルウェアやフィッシング攻撃によって突破されることがあります。しかし、これらの攻撃は高度な技術を要するため難易度が高く、２FAを導入することで大幅にリスクを減らすことができます。
動画・音楽配信サービスの不審な挙動
NetflixやSpotifyなどの動画・音楽配信サービスを利用している場合、アカウント乗っ取りの初期サインとして、不審な挙動が見られることがあります。例えば、視聴履歴や再生リストに自分が追加していないコンテンツが表示される、知らないデバイスからのログイン通知が届く、などです。これらの兆候は、アカウントが不正にアクセスされている可能性を示しています。
実は我が家では昨年こんなことがありました。Netflixを家族で利用しているのですが、ある日、まったく知らないアカウントが追加されていました。どうしてこんなことができたのかいまも謎ですが、すぐにパスワードを変更し、そのアカウントをキックアウトしました。なんらかの方法でアカウントとパスワードが漏洩していたのだと思います。最近は家族でも長い間違うIPアドレスからログインし続けると、家族とみなされなくなるようなので、他人がタダノリするのは難しいと思いますが、それでも用心するに越したことはありません。もし、身に覚えのない番組や映画の視聴記録があったらアカウントをチェックしたほうがいいと思います。
クレジットカード、デビットカードの「テスト決済」
企業はサービス開始時に、クレジットカードやデビットカードの有効性を確認するために「テスト決済」を行うことがあります。これは通常、1ドル未満の少額で行われ、カードが有効であることを確認するためのものです。しかし、ハッカーも同様の手法を使って、盗んだカード情報が有効かどうかを確認することがあります。私の夫はこの詐欺にまんまと引っかかってしまいました。先日、デビットカードの使用履歴を確認していたところ、ある会社の名前で毎月自動的に1年にわたって引き落としがされていました。最初は２ドルくらいだったのが徐々に増えて最後には200ドルになっていました。引き落としていたのはある保険会社で、夫は購入していた生命保険がこの会社に買収されたのだと勝手に思っていたのだそうです。調べたところこれはまったくの偽装で、夫のカード情報が盗まれて不正に使用されていたことがわかりました。クレジットカードと違い、デビットカードは銀行口座から直接引き落とされるため、失ったお金が保証されることはまずありません。デビットカードは極力使わないか、カードの使用履歴を定期的に確認するしかありません。
迷惑電話・迷惑メールの急増も要警戒サイン
迷惑電話やフィッシングメールの急増も、アカウント乗っ取りの初期サインとして注意が必要です。特に、最近になって急に迷惑電話や迷惑メールが増えた場合は、個人情報が漏洩している可能性があります。ハッカーは、漏洩した情報を使ってターゲットを絞り込み、フィッシング攻撃やソーシャルエンジニアリングを仕掛けてくることがあります。最近ではGoogleからを装ったフィッシングメールが届いたことがあります。Googleのロゴやデザインを巧妙に模倣しており、一見すると本物の通知のように見えましたが、まったく身に覚えのない内容(Google Ads関連)だったので偽物だと気づくことができました。しかし、リンク先は偽のログインページで、ユーザー名やパスワードを入力すると情報が盗まれてしまいます。このようなメールには絶対に個人情報を入力せず、公式サイトから直接ログインするようにしましょう。