新しいタイプのデジタル詐欺は、WhatsApp のネイティブ機能を使用して、迅速かつ壊滅的な方法で金融詐欺を適用します。サイバー犯罪者は、被害者を騙してビデオ通話中に画面共有を有効にし、バンキング アプリのパスワードや SMS 経由で受信した確認コードなどの機密情報に視覚的に完全にアクセスできるようにします。
この戦術は正確なソーシャル エンジニアリングに基づいており、詐欺師は金融機関、テクノロジー企業、または政府機関の従業員を装います。彼らは、不審な取引やアカウントロックアウトのリスクなどの深刻な問題があると主張して、誤った危機感を与え、被害者に疑いもなく指示に従うよう圧力をかけます。
重大な損失の報告はすでに世界各地で記録されており、孤立したケースでは70万ドルを超えています。この詐欺の有効性は、アクセスが被害者自身によって自発的に許可されるという事実にあり、そのため、悪意のあるソフトウェアを検索する従来のセキュリティ システムでは検出が困難になります。
画面共有詐欺の仕組み
通常、最初の接触は未知の番号からのビデオ通話を通じて行われ、犯人はカメラの電源をオフにしたままにするか、画像を歪ませたままにします。彼は、テクニカル サポートのスペシャリストまたは銀行支店長を装って、解決するために直ちに行動が必要な架空の問題について説明します。
被害者がプレッシャーにさらされている中、詐欺師は被害者に、WhatsApp 自体で利用できる画面共有機能をアクティブにするよう指示します。同氏は、デバイス上で「手順に従う」か「エラーを特定する」ためのリソースの必要性を正当化し、すべてが安全かつ正式な方法で行われることを保証します。
画面が共有されると、詐欺師は被害者に銀行アプリを開いて不正行為の疑いを確認するよう求めます。現時点では、ユーザーがパスワード、CPF、その他のアクセス データを入力していることをリアルタイムで確認できます。犯罪者は、通知や SMS 経由で届く認証コードを確認することもできます。
詐欺師は認証情報を手に入れて、数分以内に送金、請求書の支払い、ローンの借り入れを行います。多くのシナリオでは、被害者に AnyDesk や TeamViewer などのリモート アクセス アプリケーションをインストールするよう指示して、デバイスを完全に制御し、アドレス帳の連絡先に対する詐欺を永続化します。
リモートアクセスツールがデジタル兵器になる
AnyDesk や TeamViewer などのアプリケーションは、リモートでテクニカル サポートを提供するために IT プロフェッショナルによって広く使用されている正規のツールです。その主な機能は、ユーザーが別のデバイスをリモートで制御できるようにすることで、物理的な存在を必要とせずにソフトウェアや構成の問題のトラブルシューティングを容易にします。
しかし、犯罪者の手にかかると、この機能は強力な武器に変わります。被害者にインストールしてアクセスを許可するよう説得することで、詐欺師は携帯電話を自由に閲覧したり、アプリケーションを開いたり、ファイルをコピーしたり、セキュリティ設定を変更したりすることが、すべてデバイス所有者には見えない状態で行えるようになります。
経済的損失の世界規模
この脅威は国境を越えており、複数の国の当局がこの種の詐欺の発生率の増加について警告を発している。デジタルセキュリティ企業ESETの専門家は、英国、インド、香港で成功した攻撃の記録を用いてこの戦術を文書化した。最も深刻な事件の一つでは、香港の被害者が現地ドル550万ドル（約70万5000米ドルに相当）の損失を被った。ブラジルでは一般に金額は低いものの、数分ごとに数百レアルから数千レアルの損失が発生しているとオンラインコミュニティで報告されている。各国のサイバー警察間の協力により、すでに犯罪組織の特定が行われていますが、インターネットの分散型かつ匿名性は、法執行機関にとって常に課題となっています。犯罪者の機敏性と、送金された資金の追跡の難しさにより、盗まれた金額の回収が困難になります。
詐欺行為を示す警告サイン
主な警告サインは、電話、メッセージ、ビデオ通話など、携帯電話での操作を要求する一方的な連絡です。金融機関や真面目な企業は、セキュリティ問題を解決するためにこのような方法で連絡を取ることはなく、ましてやアプリケーションのインストールや画面の共有を要求することはありません。
緊急性とパニックのシナリオを作成することは、古典的なソーシャル エンジニアリング戦術です。 「あなたのアカウントは数分以内にブロックされます」や「疑わしい高額な購入が承認されました」などのフレーズは、被害者の判断を鈍らせ、合理的な思考を妨げるために使用されます。
WhatsApp または別のメッセージング アプリのみを介して会話を続けると主張する対話者には注意してください。公式のカスタマー サービス チャネルは、企業の Web サイトやカードに番号が記載されており、情報を確認する最も安全な方法です。
専門家が推奨する予防策
黄金律は、与えられた正当化に関係なく、携帯電話の画面を見知らぬ人と決して共有しないことです。正規の金融機関やサポート会社は、予定外のビデオ通話を介してこの種のアクセスを要求することはありません。不審な連絡を受けた場合は、すぐに電話を切り、懸念が続く場合は公式ルートを通じて会社に連絡し、情報の真実性を確認することをお勧めします。穏やかさは基本的な味方です。通話を中断することで、犯罪者による圧力のサイクルを断ち切ることができます。
さらに、新しいバージョンには脆弱性を軽減するセキュリティ修正が含まれていることが多いため、オペレーティング システムとアプリケーションを最新の状態に保つことが重要です。各サービス、特に銀行アプリや電子メールに強力で固有のパスワードを採用すると、詐欺師にとってさらなる困難が生じます。パブリック Wi-Fi ネットワークは悪意のある攻撃者によって簡単に監視される可能性があるため、機密情報にアクセスするためにパブリック Wi-Fi ネットワークを使用しないこともベスト プラクティスです。
2段階認証の役割
WhatsApp と銀行アプリの両方で 2 段階認証 (2FA) を有効にすることは、最も効果的な保護対策の 1 つです。 WhatsApp の場合、この機能では、新しいデバイスに電話番号を登録するたびに、ユーザーが作成した 6 桁の PIN が必要になります。これにより、犯罪者が SMS 経由で送信された確認コードにアクセスできたとしても、アカウントを乗っ取ることができなくなります。
詐欺被害者への即時対応
詐欺に騙されたことに気づいた場合、被害を最小限に抑えるには機敏性が重要です。最初のステップは、口座を持っているすべての銀行に直ちに連絡し、取引、カード、アプリケーションへのアクセスをブロックすることです。何が起こったのかを詳細に報告し、該当する場合は Pix の特別返品メカニズム (MED) の有効化を要求することが重要です。
次に、警察署に直接またはオンラインで警察報告書 (BO) を登録することが不可欠です。この文書は犯罪を公認するものであり、金融機関との取引に異議を唱えたり、捜査を進めるために不可欠なものとなる。新たな不正アクセスを防ぐために、すべてのアプリケーションと電子メールのパスワードを変更することも重要です。
