Googleアカウント乗っ取りに警戒を、メール送信後にAI音声で電話

Malwarebytesは10月15日(米国時間)、「AI scammers target Gmail accounts, say they have your death certificate｜Malwarebytes」において、高度なAI(Artificial Intelligence)を悪用するGoogleアカウントの乗っ取り詐欺に注意を喚起した。攻撃者はAI音声を悪用してユーザーを騙し、アカウントの回復プロセスを通じて乗っ取りを試みるとされる。
○具体的な事例
Malwarebytesは具体例として、ベンチャーキャピタル企業「Y Combinator」の最高経営責任者(CEO: Chief Executive Officer)、Garry Tan氏がX(旧Twitter)に投稿した詐欺未遂事案を取り上げている。
Garry Tan氏によると、詐欺師はAI音声を悪用してGoogleサポートを装う電話をかけ、「誰かがあなたの死亡証明書を発行してアカウントを回復しようとしている。無視するべきか？」と伝え、Yesボタンをクリックさせようとしたと報告している。YesボタンをクリックするとGoogleアカウントが不正に回復され、乗っ取られる可能性がある。
他の事案では、詐欺師はSalesforceのCRMを悪用し、任意の送信者を設定してGoogleサーバ経由でメールを送信したことが確認されたという。いずれの事案においても詐欺師はメールの送信後に電話をかけ、多要素認証(MFA: Multi-Factor Authentication)を突破してアカウントの回復を試みるとされる。
○対策
この詐欺師は何らかの方法で被害者のGmailアドレス、氏名、電話番号を入手し、AI音声を使用して詐欺を実行する。そのため、詐欺を即座に見破ることは困難だが、詐欺の兆候がいくつか確認されている。
その1つはメールの送信先フィールドに「GoogleMail[@]InternalCaseTracking[.] com」が含まれている点。送受信者のアドレス欄にGoogleのメールアドレスおよび自身のメールアドレス以外が含まれている場合は、「Google」という単語が含まれていたとしても詐欺の可能性がある。
もう1つは、Googleサポートが一方的に電話をかけてくることはない点。Malwarebytesによると、Googleアシスタントの通話は自動システムから行われる(オペレーターの場合もある)が、Googleサポートが一方的に電話をかけることはないという。
Malwarebytesは同様の詐欺の回避策として、「セキュリティ関連のアクティビティ」を確認することを推奨している。Googleはアカウント設定から最近のアクティビティを確認する手段を提供しており、アクティビティに存在しない通知は詐欺の可能性が高いとされる。