警告によると、Facebookユーザーアカウントを狙ったフィッシング手法がますます巧妙になっている。サイバーセキュリティ企業Trellixは最近のレポートで、攻撃者がブラウザベースの偽装技術、いわゆる「ブラウザ内のブラウザ」技術を利用していることを明らかにした。この技術は、実際のログインウィンドウと全く同じように設計されている。
この技術は、単純なフィッシングメールや偽のログインページを超え、ユーザーのウェブブラウザ内に完全に独立したログインポップアップを実現する。外観上は本物のFacebookのURLを表示しているため、ユーザーは自分が偽のログインウィンドウに情報を入力していることに気づきにくい。これにより、アカウントの盗難率が急激に上昇している。
この種のフィッシング活動の出発点は、権威ある警告情報（著作権侵害やログイン異常検知など）を含むメールであることが多い。偽装されたMetaや弁護士事務所から送信されたメール形式のリンクをクリックすると、ユーザーは巧妙に設計された二重のログインプロセスに誘導される。この過程で、まず名前、メールアドレス、電話番号、生年月日などの基本的な個人情報を入力し、その後に本物のFacebookのパスワードを入力するよう求められる。攻撃者はこれらの情報を利用してアカウントに完全にアクセスし、さらにフィッシング情報を拡散したり個人情報を窃取したりして、なりすましなどの二次犯罪に利用する。
Trellixは、この攻撃活動の注目すべき点として、偽のログインページがもはや悪意のあるドメインにホストされているのではなく、NetlifyやVercelなどのクラウドホスティングプラットフォームに展開されていることを指摘している。この高信頼性のクラウドサービスを悪用した偽装方法とURL短縮サービスの併用により、多くのメールセキュリティフィルターやネットワークフィルターを容易に回避できる。
Trellixは、このますます巧妙化する「ブラウザ内のブラウザ」攻撃は深刻な脅威であり、従来の視覚的な検査だけでは識別が難しくなっていると強調している。同社は、技術に精通したユーザーでさえも騙される可能性があると警告し、従来のセキュリティ習慣だけでは十分でないと指摘している。
そのため、同社はすべてのFacebookユーザーに対し、二重認証を有効にし、受信したメール内のリンクをクリックしないよう強く推奨している。また、問題に直面した場合は、ブラウザを直接開き、「facebook.com」のアドレスを入力するか、公式のモバイルアプリを通じてアクセスすることを徹底するよう呼びかけている。
最先端技術の普及に伴い、ユーザー保護技術もより高度に進化させる必要がある時代が到来している。セキュリティ企業やITプラットフォームは、この種のフィッシング手法の進化にリアルタイムで対応できる共同防御体制を構築することが、これまで以上に重要となっている。
