題名の通りなのですが、「Tree of Savior」というオンラインゲームに乗じてフィッシングメールが出回っているらしく、私のところにも何故か来たため内容をメモしておきます。ホイホイついていくとアカウントを乗っ取られるため注意。
発端
私の元に以下のようなメールが届きました。
確かに遠い昔、NEXONに登録したことがあるような記憶も……。
でも受信した「nagished.com」（このブログのドメインでもあります）は1年ちょっとしか使ってないんですよね。さすがに過去1年にこのアドレスで登録などしていないという記憶は確かなので、少なくとも迷惑メールであるということは把握できました。
で、実際にこれはフィッシングメールでした。メールの続きにURLがあるのですが、このいずれをクリックしても同様のページに飛ばされます。
このページ（http://www.nexon-tos.com/）が実は偽サイトであり、ここに情報を入力してしまうとアカウントを乗っ取られてしまう可能性が高いということになります。コワイナー
というか初めて上記のページにアクセスしてみたのはiPhoneからだったので気づきませんでしたが、Chrome系のブラウザだと既に偽サイトであるという警告が出てます。早い……。それだけ被害が大きかったということなのかもしれませんが……。
ということで、注意喚起としては以上で完了。ですが蛇足として、このメールの巧妙さを少々分析して教訓にしてみたので、もし興味があればどうぞ。
巧妙な点
とりあえず今回は、私は絶対に登録していないという根拠があったために詐欺に気づくことはできました。が、もし自分がユーザーだったならうっかり騙されてしまったかもしれないというレベルには巧妙ではありました。
差出人
まず差出人ですが、info@nexon.co.jpとされていますね。nexon.co.jpは確かに公式のドメインなので、一見公式のメールアカウントから配信されたメールであるように見えます。
が、差出人はいくらでも偽装して送信することが可能であることはご存知でしょうか。実はメールは1つのテキストファイルで、本文より上に記載されている「ヘッダー情報」を何らかの方法で書き換えれば、差出人などを簡単に変更できるのです。メールの本文を自由に編集できるのとまったく同じようにです。
つまり、ここに公式のドメインが表示されていることなどまったく信頼に値しません。
よくアホな迷惑メール業者が、sofktbank.com（ママ）なんていうスペルミスのドメインをわざわざ用意して、そこから律儀に送信している場合もありますけどね……。お疲れ様です。
そこのところ、今回の業者はちゃんと分かっていたようです。いや、分かられても困りますが。
URL
URLもやんわり偽装されています。これまた正しいドメインが表示されているものの、リンク先は前述の「http://www.nexon-tos.com/」となっています。
iPhoneの場合、リンクを長押ししないと実際どこにリンクされているのかが表示されませんよね。そこで開いたサイトのアドレスバーを確認して判断しない限りは、偽サイトであることは見分けにくいということです。厄介。
そこで、サイトを開いたときはドメインの右側に注目してみます。今回のNEXONの正しいドメインでは「.co.jp」。
これは実在する企業しか取得できないドメインなので、信頼性は高めであるといえます。（「.co.jp」を取得するためには、企業の登記簿の写しを送らないといけません）
一方、偽サイトは当然「.co.jp」を使えるはずがなく、「.com」を代わりに使用していますね。このようにドメイン文字列全体を見なくても、怪しいかどうかは判断できるので覚えておくといいでしょう。
*
ところで、「.com」のように安価に取得できるドメインは詐欺に使用されやすいです。
最近だとさらに格安なドメイン「.xyz」なんかも目立ってきています。もちろん通常の目的に使っている人も大勢いますが、私個人の主観でいえば「.xyz」はまず疑ってみたほうがいいと思っています。
それらのドメインが詐欺に使われやすい理由は安いからというだけでなく、歴史が浅いという要因もあります。ドメインの歴史が浅いと取得できる文字列に空きがあり、有名企業を想起させるような文字列を悪意ある人間に取得されやすいのです。
以上、蛇足でした。
インターネットにおける詐欺の手口は、基本的に我々の無知に付け込むことしかできません。
よく変なサイトにアクセスするとカメラのシャッター音が鳴って「登録完了」なんて表示されることがありますが、デバイスのカメラはユーザーが許可を与えない限りは使用されることはほぼありません。シャッター音はブラウザで音声を再生しただけの、単なるハッタリです。それを知っていれば怯える必要もありませんし、笑って無視すれば済む話だということが分かります。
というわけで、各個人が正しい知識を身に付けられることを望みます。
