ハクソク

世界を動かす技術を、日本語で。

ありがとう、FedEx。これが私たちがフィッシング被害に遭い続ける理由です (2024)

2026年8月5日原文(troyhunt.com)

概要

  • 最近増加している「配達不可」系フィッシングSMSの実例紹介
  • 本物と詐欺の見極めが難しい理由と注意点を解説
  • FedExからの実際の連絡が詐欺と見分けがつきにくかった体験談
  • 技術的対策だけでなく人間の判断力も重要であることを強調
  • 詐欺SMSの特徴と、正しい確認方法についてまとめ

「配達不可」フィッシングSMSの増加と見分け方

  • 最近多発 している「あなたの荷物が配達できませんでした」系の フィッシングSMS
  • 技術的対策 （携帯会社のフィルタ等）をすり抜けて SMS受信箱 に届く現状
  • フィッシングSMSの特徴
    • 緊急性 を煽る表現
    • 見慣れないURL や不自然なドメイン
    • サービス名（例： auspost など）を無理やりリンクに含める
  • 本物と見分けるポイント
    • スペルミス や不自然な大文字小文字
    • 不明瞭な支払い先 や通貨表記の欠如
    • 問い合わせ先 が一般的でない、または不自然な電話番号

FedExからのSMS、本物か詐欺か？

  • FedExからの荷物 を実際に待っていたため、 SMSの真偽判定 が困難に
  • Twitterアンケートでは 87%が「怪しい」 と回答
  • SMSの怪しい点（7つの「Dodgy AF」サイン）
    • FedExの表記ミス （例："FedEx-Exp"）
    • 短すぎる荷物番号 や支払い金額との一致
    • 緊急性 を強調
    • 不自然な大文字小文字
    • 通貨や金額表記の曖昧さ
    • bpoint.com.au などFedExや政府とは無関係な支払いサイト
    • 問い合わせ先の文法ミス や怪しい表現

正しい確認方法と詐欺サイトの特徴

  • 公式サイトで直接確認 するのが最も安全
  • SMSのリンク先では URLパラメータを自由に改変可能 で、誰でも偽の請求書を作成できてしまう
  • BPOINT（Commonwealth Bank提供）の仕組み自体に 設計上の問題 がある可能性

さらなるSMSとFedExへの問い合わせ

  • 追加で届いたSMSは リンクが機能しない など、さらに怪しい内容
  • FedEx公式サイトの連絡先 から直接問い合わせ
  • 電話対応は 自動応答の無限ループ や、案内が不十分なケースも
  • 最終的に カスタマーサービス担当者 に繋がり、詳細説明を受ける流れ

結局本物だった！しかし問題は…

  • 数日後、 FedExから正規のメール連絡 と 請求書（添付ファイル付） が届き、SMS内容と一致
  • 87%の人が間違えた 結果に
  • 詐欺SMSと正規連絡の区別が困難 な実態

詐欺被害の現状と本質的な課題

  • オーストラリアだけで 年間30億豪ドル超の詐欺被害
  • 技術的対策 （ACMAによるSMSブロック）は「氷山の一角」に過ぎない
  • 人間の判断力 を鍛える必要性
    • お金の請求
    • 緊急性の強調
    • 不自然な文法やURL
  • FedEx自身が詐欺と見分けがつかない連絡 を送ることで、状況をさらに混乱させている現実

まとめ

  • 詐欺SMSは今後も増加傾向
  • 技術的な防御と人間の注意力の両立 が不可欠
  • 迷ったときは 必ず公式サイトや正規の連絡先で確認
  • FedExなどの大手企業でも、詐欺と見分けがつきにくい連絡 があるため、常に疑いの目を持つことが重要

Hackerたちの意見

ほんと、ランダムな「.xyz」みたいなgTLDが増えすぎて、非技術系の人たちがフィッシングリンクをクリックするのを止めるのがますます難しくなってるよ。めちゃくちゃ多いし。確かに、もしそんなのがなかったら、人々は「fedex-secure-delivery-approval.com」みたいなフィッシングドメインを使うだろうけどさ… トップレベルドメインのリスト: https://data.iana.org/TLD/tlds-alpha-by-domain.txt

└

TLDの多様性は、私の見解では必要悪の一つだと思う。これがなかったら、まともなドメインを取得するのがほぼ不可能になってたし、ほとんどがスコッターや大企業、資金を持て余してるスタートアップに取られちゃってたからね。

└

これはICANNによる計画的なプロジェクトで、1. ICANNにもっとお金をもたらすこと、2. DNSルートの分散をアメリカの管理から防ぐことが目的だったんだ。

└

それが助けになるとは思えないな。問題は、大企業や政府機関が、自分たちのドメインという適切な信頼の根拠を使っていないか、間違って使っていることなんだ。無能さを回避しようとしてるだけで、結局どこかでまた問題が出てくるんだよね。

└

過去2年間、フィッシングキャンペーンからのバックスキャッターがあって、送信元アドレスに自分が所有しているドメインが使われてるんだ。被害者にクリックさせようとしてるドメインは、全部.comなんだよね。最近のはdetention-unit.comで、英語が第一言語じゃない人たちには結構引っかかるみたい。ちなみに、サーバー管理者の中にはSPFをチェックしない人が多くて、そういうメールが実際に人の受信箱に入ってきちゃってるんだ。

└

正当なウェブサイトがログイン中に変な多層ドメインを経由させたり、正当なビジネスが自社のフルドメインの代わりにリンク短縮サービスを使ったり、最近では新しいTLDに乗っかるビジネスが増えてきたりして、全然助けにならないよね。

└

検索結果に出てくるときは絶対に信用しないし、たまにフロントページに投票されてる記事に出てきても無視しがち。確かに、もしそれがなかったら人々は「fedex-secure-delivery-approval.com」みたいなフィッシングドメインを使うだろうけど、なんか「多くの正当な響きのハイフン付き単語ドメイン」っていうのも、実際は別の赤信号なんだよね。TLDが普及する前に彼らがやってたことだから。

最近の例なんだけど、私の義理の母が、クラウドストレージがいっぱいになる詐欺メールを常に受け取ってるんだけど、75%がいっぱいだっていうGoogleからのメールを受け取ったんだ。見た目は完全に正当なものに見えるけど、リンクは全部c.gleのドメインを使ってて、whois c.gleは「getaddrinfo(whois.nic.gle): 名前またはサービスが不明」とエラーが出る。でも、whois gleはちゃんと機能する。私自身もc.gleの正当性には自信がなかったし、義理の母は全く分からないだろうね。

└

WhoisはRDAPに置き換えられたよ。

└

今知ってもあんまり役に立たないけど、.gleはGoogleが運営しているTLDなんだ。理論上、.gleドメインにあるのはGoogleのドメインだけだよ。あと、c.gleみたいな一文字のドメインはフィッシング詐欺に使うには高くつくから、誰もこれを知る必要はないと思う。google.comや、ユーザー向けに何かをするのに.googleを使うのがそんなに悪いことなのか分からない。彼らは商標が入っていない公式なTLDを持ちたいって考えてるのは理解できるけど、c.gleが公式の緊急メッセージに使われる理由はなんなの？（少なくともMicrosoftみたいにメールに1drv.comを使わないだけマシだけど…本当に…）

IRSにも似たような問題があるよ。IRSに電話すると、コールツリーのIVRの声を生成するためにテキスト読み上げシステムを使ってるんだけど、これが商業的に入手可能なシステムで、詐欺のコールセンターも同じのを使ってるから、声が全く同じなんだ。しかも、なんか偽物っぽくて詐欺っぽい声だから、かけてる番号を避けるためのサインとしても使えないし。

└

電話の場合は簡単だよね。お金を求めてくる着信があったら、すぐに切って、その組織の公式な情報から見つけた番号でかけ直す。お金に関しては、着信は絶対に信用しちゃダメだよ。

Hacker Newsで議論の続きを見る