ILCが語る ICU Webメールフィッシング詐欺

6月上旬ICU Portalに「不審なメールにご注意ください」というお知らせが掲示された。それによると、業者や犯罪者がスパムメールを送る踏み台として、ICUのメールアカウントが利用されたとのことだった。

また、迷惑メールの送信元を監視している企業のブラックリストにICUのメールサーバーが追加され、ICUからのメールが一部のメールサーバーから拒否されてしまっていた。既に復旧はしているが、相手にメールを送れなくなってしまい困ってしまった諸君もいたことだろう。

そこで、今回のICU Webメールのフィッシングメール事件について、ILC Officeの小林さん（以下：小）と加藤さん（以下：加）にお話をうかがった。

（※インタビューは再構成済み）

――被害の第一報はどこから入ったのですか？

加：スパムメールを監視している企業から通報メールを受信しました。また、ユーザーからICUから外部の大学や組織へメールを相手のメールサーバーによっては送信できないという苦情も受けました。以上のことから、ICUのメールサーバーがスパムメールの踏み台として利用されている可能性ありとして調査を実施しました。

――過去にもICUでフィッシングの被害はあったのですか？

小：今回の例と同様に、以前にも認証しないとアカウントをロックするというフィッシングメールに引っかかってしまった利用者がいて、ICUのメールサーバーが踏み台として利用されたことがあります。

――どこからフィッシングメールは来たのですか？

加：メールのフィルタリング機能が高度になり、迷惑メール業者は実際に利用されている信頼性の高いメールアカウントを取得しようとさまざまな大学や企業にフィッシングメールを送っています。

小：スパム業者は、各大学で同じような文面のフィッシングメールを使い回しています。誰かが引っかかってくれるように「認証しないとアカウントをロックする」、「メールボックスが一杯になった」といったさもありそうなメールを送信します。実際に同じように乗っ取られてしまった他大学のメールアカウントからメールが来ることもよくあります。

――フィッシングメールを受け取ったユーザーの共通点は？

小：特に共通点はありません。大学院生、職員、教員もフィッシングメールを受信しています。例えば、教職員のようにアドレスを公開しているとそこにメールが届くこともありますし、誰かのパソコンがウイルス感染したことによってメールアドレスが保存されているアドレス帳が漏洩してしまった可能性も考えられます。

――実際にメールを信用してしまったユーザーはどのくらいいたのですか？

小：ごくわずかのユーザーがアカウント情報を入力してしまったようですが、少数でもアカウントがスパム業者の手に渡ってしまうと、スパムメールの送信元として迷惑メールを大量に送信することができてしまいます。

――アカウントが乗っ取られたことによってどんな被害があったのですか？

小：今回のフィッシングメールは、大学のアドレスを使ってスパムメールを送るために発信されたようで、学内の情報を盗み見ようというものではありませんでしたが、ICUのメールアカウントを利用して大量の迷惑メールが送信されてしまいました。さらにICUのメールサーバーの信頼度が下がり（スパムメールの送信元を監視している企業のブラックリストに載ってしまい）、ICUから送信したメールが外部のメールアドレスに届かないといった状況が発生しました。現在は、ブラックリストから外してもらったのでメールが届かないという問題は解消されています。

――ILCでは被害後にどのような対策を行ったのですか？

加：外部からICUのメールサーバーに不正アクセスしていたIPアドレスを調査し、そのアドレスを遮断しました。乗っ取られたユーザーには事情を説明してパスワードを変更していただきました。また、未送信だったスパムメールを削除し、スパムメールを監視している企業にはブラックリストからはずして頂くよう連絡を行いました。

小：フィッシングの被害を受けて、現在、学外からのメール送信はWebメールのみ可能にしています。メールの送信制限を行ったこと、メールが届かないという事象が発生していること、フィッシングメールへの注意喚起のためICU Portalにお知らせを掲示しました。将来的にはメールサービス自体をGmailやOffice365などのクラウドサービスに移行することも検討しています。

――このようなメールを受け取ってしまった場合はどのようにすればよいのでしょうか？

加：基本的には開かずに破棄するのが、一番の対策になります。フィッシングメールかどうか判断に悩む場合は、ILCにご相談ください。

――今後メールを利用する際の注意点を教えてください。

小：メールの技術はもともと性善説で成り立っており、迷惑メールやフィッシングメールを送信しやすい土壌があります。また、送信したからといって確実にすぐ届くものではありません。重要なメールを送信する場合は、メールとは異なる方法でも連絡をとり、先方に届いたかどうか確認することも必要です。

加：今回の場合は、Webメールであれば1度に20通以上送れないなど制限があるため、外部サーバー経由の代替として利用をお願いしています。しかし、Webメールも100％安全であるとは言い切れません。アカウントの管理を徹底して、自分の身は自分で守ってください。

――最後に一言お願いします。

加：ユーザーに徹底していただきたい事はフィッシングメールに惑わされない、メールを含めて利用するアカウントの管理に注意を払うということです。大学からユーザーにパスワードの入力を促すようなメールを送信することはありません。アカウントの情報は正規のサイトでのみ入力するようお願いします。本物のサイトのように見えて、実は偽物のサイトもあるということを知っておいて頂きたいです。また、アカウントのパスワードを色々なサイトで共通にしていたり、生年月日やキーボードの並び、英単語など安易な設定にしていたりするのは避け、定期的に変更するよう心がけましょう。

小：スマートフォンを利用するようになって、差出人やURLなどの確認が難しくなってきています。また、ICUのWebメールだけでなく、Googleなど他のWebサービスでもアカウントの乗っ取り被害が発生しています。スパム業者やサイバー犯罪者は常に新たな詐欺の手段を考えているので、セキュリティの基本を忘れないよう心がけてください。ILCでもセキュリティに関する疑問にお答えします。

――ありがとうございました。

高度情報化社会の現代においては、誰もがサイバー犯罪に巻き込まれる危険性がある。今回のフィッシングメールは単なるスパムメールの送信を目的としたものであったが、メールに仕掛けられたパソコンを遠隔操作するウイルスによって、犯罪予告やサイバー攻撃の犯人にされてしまったり、インターネットバンキングの預金が不正に引き出されてしまったりすることもありうる。

インターネット上でメールをやり取りする際には、基本的なセキュリティ対策を再度確認し、怪しいメールのリンクはクリックしない、信頼できそうな相手から来たメールの添付ファイルであっても安易に開かないといった注意を常に怠ってはならないだろう。