IPAの今月の呼びかけ(4月) - 新たなワンクリック請求の手口に注意を

IPAは、コンピュータウイルスや不正プログラムの状況分析から、「今月の呼びかけ」を発表している。今月は、新たなワンクリック請求について注意喚起をし、その対策などを紹介している。まずは、次のグラフを見ていただきたい。

図1 スマートフォンのワンクリック請求に関する相談件数推移(今月の呼びかけより引用)

IPAに寄せられたスマートフォンのワンクリック請求の相談件数を集計したものである。2014年4月以降、高止まりといった状態が続いている。その一方で、2014年12月から相談内容に変化があったとのことだ。具体的には、請求画面の表示と同時に写真を撮られてしまったようだという相談が寄せられるようになった。

従来のワンクリック請求の手口といえば、アダルトサイトや動画サイトに誘導し、認証ボタン(「はい」、「入場する」、「入口」、「ENTER」など)をクリックさせ、会員登録が成立したかのように見せかけ、高額な料金を請求するものである。スマートフォンには、繰り返し請求画面が表示され、さらに脅し文句(法的手段や支払いが遅れると遅延金が発生するなど)やユーザーを特定できたかのような情報(IPアドレスや端末情報)が表示される。内容がアダルト系であることから誰にも相談できず、請求金額を支払ってしまうことが多い。

新しい手口1: 請求画面と同時にシャッター音が聞こえる

従来のワンクリック請求では、繰り返し請求画面が表示された。

図2 請求画面

これは、不正プログラムやウイルスが表示しているのではない。ブラウザが、攻撃者の作成したWebサイトの請求画面を表示しているにすぎない。今回の新しい手口では、この表示を行う際に、シャッター音を鳴らすというものである。これまでも、不正アプリの一部に、シャッター音を鳴らすようなものが存在した。しかし、ブラウザの閲覧だけで、スマートフォンのカメラ機能を使ったり、写真をネットワーク経由で送信することはできない。

IPAでは、ブラウザが請求書の画面を表示する際に、ユーザーがなんらかの操作をすることで、シャッター音の音楽データを再生していると分析する。つまり、まったくの擬音とみなすことができる。では、攻撃者はなぜこのようなことをするのか。これは従来の手口で使われたIPアドレスや端末情報と同じと考えられる。ユーザーからすれば、写真を撮られることで、個人が特定されたかのように誤解してしまうのである。こうして、請求金額を振り込ませようとしているのだ。

新しい手口2: 自動的に電話を発信させる

別な手口も登場している。シャッター音ではなく、自動的に電話を発信させるという手口である。その流れであるが、図3のようになる。

図3 登録完了画面の出現から電話発信確認のポップアップ表示までの流れ(イメージ、今月の呼びかけより引用)

ユーザーのスマートフォンに請求画面が表示、つまり、攻撃者のWebサイトを閲覧すると(図3 (1))、登録に関連する情報が記載されたポップアップメッセージがまず表示される(図3 (2))。ここで、［OK］をタップしてしまうと、電話発信を確認するポップアップが表示される(図3 (3))。ここでよく確認をしないと、実際に電話発信を行ってしまう。

ポップアップメッセージ(図3 (2))の電話番号をよくみてほしい。先頭に「186」が追加されている。これは、ユーザーが電話番号を非通知に設定していても、通知先に電話番号が通知されてしまう設定である。つまり、IPアドレスなどと違い、本当の個人情報が攻撃者に渡ってしまうので、より注意が必要となる。

IPAは、この手口について、より悪質になったと指摘する。その理由であるが、電話の発信を図3 (3)でキャンセルしても、再度、登録完了画面に戻り、自動的にポップアップメッセージが表示され、(1)から(3)がループ状態となる。つまり、発信以外の選択ができないようになっている。こうして、ユーザーには、発信しないかぎり、以前のようにブラウザが使えないと思い込ませている。