AmazonからスマホにSMSが届きました。「【アマゾン】プライム会員のお支払い方法に問題があります。詳細はこちら：URL」とのこと。
プライム会員はお世話になっていて切れると困る?！と急いでURLをクリックするのはちょっと待って！！
以前、「SMS詐欺が流行中。メッセージに書かれたURLは絶対にクリックしちゃダメ」という記事を書きましたが、URL付きSMSは特に注意が必要です。
今回は「アマゾン」と認知度が高いキーワードと「支払い方法に問題」と確認と解決を促す巧みなメッセージです。日本語も不審な点はありません。あまりにも短すぎますが疑うことなくクリックしてしまう人も出てきそう。
でも！何度でも言います。 SMSのURLは絶対にクリックしてはいけません！！
今回はどんなものか私が人柱で押してみたのでご紹介します。絶対にマネしないでね！！
SMSのURLをクリックしてみた
どうしてもSMSのURLをクリックする場合は、メッセージ内容から信頼性を確認してください。
- 日本語は怪しくないか
- URLが正しいか
- 内容が正しいか
今回の場合、日本語に特に問題ありません。次にURLですが「aws-y.shop」は間違いなく怪しいです。Amazonでも何でもありません。でも！Amazonのクラウドプラットフォームサービスである、Amazon Web Serviceの略を使ってくる点が少し憎いです。
そして3つ目。心当たりがあるか。ですが私はプライム会員の更新時期は10月ではないのでこの時点で怪しいですし、そもそもAmazonに登録した電話番号とは違う番号にSMSが届いています。
以上のことからこのSMSは即削除！となるわけですが、今回はアクセスしてみましょう。
PCでChromeブラウザのシークレットモードでアクセスしてみました。
すぐにセキュリティソフトのESETがブロックしてくれました。これは心強い。「潜在的なフィッシングの試み」という完全にアウトなサイトだよ！と教えてくれます。
ESETが入っていないスマホでアクセスした場合はもちろんこの警告はでないため、気づくきっかけはほとんどの人はないのかもしれません。
表示されたページはこちら。
ログイン画面が表示されます。Amazonのデザインと酷似しており見分けはつきません。「お困りですか？」だけクリックしても反応なしで、その他は正規Amazonのページにリンクが貼られていました。
偽サイトなのでここでAmazonの本当のメールアドレスとパスワードを入力してしまうと、アカウントを乗っ取られてしまいます。また、その他のサイトでも同様のパスワードを使っていたら・・・。そのサイトのアカウントも乗っ取られ金銭的被害も発生しうるわけです。
絶対にメールアドレスやパスワードを入力してはいけません。
ソースは表示できません。念の入れよう。
ページを更新するとエラー表示します。とんずらですな。
ちなみにwwwを抜いたアドレスにアクセスしてみると、ページが存在しないエラー画面が表示されます。中国語なので、サーバの場所が容易に想像できます。
適当なメールアドレスを入れてみましょう。メールの形式はちゃんとチェックしてて、警告が出たりします。こういうところ、ちゃんとしてるのが腹が立ちますね。
パスワードを適当に入れて進んでみます。ここで第一段階のAmazonのID/PWをフィッシングされちゃいます。
Amazon.co.jpそのままのサイトが表示され、なぜか請求先住所の更新で氏名などすべていちから入力させられます。
おいおい、クレジットカードの情報が間違ってただけではないの？？
そして！！メインの目的であろう、クレジットカード情報の入力画面です。通常なら誤っているカード情報を表示し、それを修正または削除後再登録といった流れになるはずですが、不自然すぎます。
最後の「接続する」ボタンも不自然だったりしますが・・・。ちなみに「キャンセルボタン」は反応しません。このページから離脱されたら困るもんね?。（怒）
おお、クレジットカードの3Dセキュアの情報の入力まで求められます。最近はここまで作りこんでいるのか・・・。
ここまで入力してしまうと、Amazonのログインはもちろんクレジットカードで買い物まで自由自在になってしまいます。用は済んだのでさっさとリダイレクトさせられます。
ここまで、アドレス欄は aws-y.shop となっていました。3Dセキュアの入力画面でこのドメインであることは無いんですけどね・・・。
Amazon.co.jp のサイトが表示されました。あれ？ログインできてないんですけど?。（当たり前）
万一、ここまで入力してしまったらさっさとクレジットカードを停止、アマゾンアカウントのパスワードを変更（可能ならメールアドレスも変更）することを強くお勧めします。
以上、人柱レポでした！
さいごに
今回はSMSに書かれたURLにアクセスしてみました。メールアドレスの入力はやめておきましたが、1%でも引っかかると相当な被害数になるでしょう。ひとりでも多くの方に、SMSのURLは絶対にクリックしてはダメ！を知っていただきたいと思います！！
