スマホ決済が国内でも広く浸透しつつあります。これは、店舗やショッピングサイトでの買い物の支払いをスマホ1つで完結できる仕組みです。一方で、利用者が多く、金銭がらみの情報もひもづくオンラインサービスはサイバー犯罪者に狙われる傾向にあり、スマホ決済サービスも標的となっています。

スマホ決済サービスの代表的な脅威がフィッシング詐欺やアカウントリスト攻撃（他のサービスから漏えいした認証情報を使って不正ログインを試す攻撃）です。たとえば、QRコード決済サービスのPayPayをかたり、「アカウントの異なる端末からのアクセスのお知らせ」などと通知するメールやSMS（ショートメッセージサービス）経由で受信者をフィッシングサイトへ誘導する手口が報告されています。本文内のURLリンクを開いてしまうと、正規サイトにそっくりなロゴ入りのフィッシングサイトが現れ、個人情報やクレジットカード情報などを盗み取ろうとします。もし情報を入力してしまうと、自身のアカウントやクレジットカードを不正利用され、金銭的被害などに遭うかもしれません。

ネット詐欺にだまされないポイントは詐欺の手口や事例を知ることです。決済サービス事業者や消費者関連団体、セキュリティ事業者が公表する注意喚起情報を定期的に確認しましょう。また、メールやSMS内のURLリンク、ネット広告はフィッシングサイトなどの誘導口にもなっているため、不用意に開いてはいけません。アカウントへのログインは必ずブックマークに登録した公式サイトや、公式アプリから行ってください。スマホに決済アプリをインストールする際もGoogle PlayやApp Store、携帯電話会社などが運営する公式のアプリストアを利用しましょう。
もちろん、スマホにセキュリティアプリをインストールし、最新の状態に保つことも重要です。これにより、フィッシングサイトなどの詐欺サイトへ誘導されるリスクを下げることができます。

現金をやり取りしない新たな決済手段として定着しつつあるスマホ決済。スマホひとつで簡単に支払いができるためとても便利ですが、第三者に不正利用されるなどのリスクもはらんでいます。スマホ決済サービスを取り巻く危険を知り、7つの対策を実践しましょう。

キャッシュレス決済が国内でも広がりを見せています。身近なところではクレジットカードやプリペイドカード、電子マネー、デビットカード、口座振替などが利用されてきました。近年、キャッシュレスによる決済方法の中でもひときわ存在感を増しているのがスマホで支払いをする「スマホ決済」です。スマホ決済は仕組みの違いによって大きく「キャリア決済」「非接触型決済（非接触IC決済）」「QRコード決済」の3つに分けられます。スマホひとつで決済を完結できる手軽さや、キャッシュレス決済時のポイント付与、還元を目的にこれらのスマホ決済サービスを使い始めた人も多いのではないでしょうか。

ただ、利用者の多いオンラインサービスはサイバー犯罪者に狙われる傾向にあり、スマホ決済サービスも例に漏れず格好の標的になっています。多くのスマホ決済サービスではクレジットカードや銀行口座などの決済に必要な情報がひもづいており、それらを悪用すれば金銭的な利益を得られるためです。スマホ決済サービスにはどのようなリスクがあるでしょうか。

スマホ決済サービスのアカウントを侵害され、商品を不正購入される被害が発生しています。サイバー犯罪者がアカウント乗っ取りに用いる手口の1つはフィッシング詐欺です。たとえば、QRコード決済サービスのPayPayをかたり、「アカウントの異なる端末からのアクセスのお知らせ」などと通知するメール経由で受信者をフィッシングサイトへ誘導する手口が報告されています。もし、本文内のURLリンクを開いてしまうとPayPayのロゴ入りのフィッシングサイトが現れ、そこで入力した認証情報（携帯電話番号とパスワード）や個人情報、クレジットカード情報などをだまし取られてしまいます。

アカウント乗っ取りの手口では、アカウントリスト攻撃や辞書攻撃にも注意が必要です。アカウントリスト攻撃は、フィッシング詐欺やサービス事業者へのサイバー攻撃、ダークウェブ上の売買サイトなどを介して不正に入手した認証情報をリスト化し、それらを用いて他のサービスへのログインを試みる手法です。利便性を優先し、複数のサービスに同一の認証情報を設定している利用者は、アカウントリスト攻撃による乗っ取り被害に遭うリスクが高くなります。一方、辞書攻撃は、辞書に載っている英単語やパスワードに使用されやすい文字列を登録したリストを準備し、それらを1つのIDに対して順番に試していく手法です。アカウントの乗っ取りを防ぐため、IDとパスワードを使い回したり、単純な文字列をパスワードに設定したりするのはやめましょう。

ある大手コーヒーチェーン店では、2019年10月に独自の決済サービスで第三者によるアカウントの不正利用が発生したことを公表しました。アカウントリスト攻撃による不正ログインと見られることから、同社は決済サービスの利用者に対してパスワードを変更するとともに他のサービスと同じパスワードを使い回さないよう呼びかけました。

非接触型決済やQRコード決済の利用にあたっては、専用の決済アプリをインストールし、事前にチャージ（入金）しておくか、クレジットカードや銀行口座などの情報を登録しておく必要があります。そのため、アカウントやデバイスを悪用された場合、金銭被害に直結します。
スマホ決済サービスは、2019年10月の消費税率増税に伴って急激に利用者が増加し、類似サービスも次々と生まれました。しかし、中には認証手順の隙を突いた不正ログインやクレジットカード情報の盗用などが発生し、サービス開始からわずか数カ月で廃止になったものもあります。どんなサービスやアプリでも当初は見えなかった欠陥や不具合が後に露見する場合があり、サイバー犯罪者はそれらを悪用する機会を常に狙っているのです。
スマホ決済サービスの非利用者も油断はできません。クレジットカード利用者であればだれもが被害者になり得ます。サイバー犯罪者は、フィッシング詐欺や正規サイトの改ざん（Eスキミング）、サービス事業者への攻撃などによって不正に入手した他人のクレジットカード情報を手元の決済アプリに登録し、商品を不正購入する可能性もあるのです。

オンラインゲームユーザを狙うサイバー犯罪が多様化しています。たとえば、SNSやゲーム内のチャットなどでオンラインゲームユーザをそそのかし、嘘の取引や不正サイトなどに誘導するネット詐欺に加え、チートツールや正規ソフトに偽装したマルウェア（不正なソフトウェアの総称）をインストールさせる手口が報告されています。人気のバトルロイヤルゲーム「フォートナイト（Fortnite）」のプレイヤーを狙った手口は、「敵に照準を合わせる精度を上げ、マップ上の他のプレイヤーの位置を可視化する」とプレイヤーの興味をかき立てるうたい文句で不正サイトへ誘導し、チートツールに見せかけたランサムウェア（身代金要求型ウイルス）をインストールさせるものでした。このランサムウェアはパソコン内に入り込むとファイルを暗号化し、要求額を支払わなければそれらを次々に削除すると脅迫するものでした。

では、チートツールとは何でしょうか。チートツールはコンピュータゲームにおいて運営元が意図しないコンテンツの改変、動作を行わせる不正プログラムの総称です。チートツールの使用は、ゲームバランスを壊し、運営元だけでなく一般プレイヤーにも損害を与えるため、多くのオンラインゲームで禁止されています。公平性が失われたゲームから健全なプレイヤーが離れてしまうことは想像に難しくありません。過去にはチートツールの使用者が電子計算機損壊等業務妨害容疑で書類送検されたケースもあります。チートツールには絶対に手を出さないようにしましょう。

もちろん、ゲームを楽しむためのパソコンやスマホでもセキュリティソフトは必須です。セキュリティソフトを正しく更新しながら利用すれば、不正サイトへのアクセスや、マルウェア、不正アプリ感染のリスクを下げることができます。パソコンの動作への影響が心配な方は、プレイを妨げない「サイレントモード」や「ゲームモード」を搭載するセキュリティソフトを選ぶと良いでしょう。

ウイルスバスター クラウドの「サイレントモード」機能について
https://esupport.trendmicro.com/support/vb/solution/ja-jp/1118105.aspx

みなさんは、ダークウェブと聞くとどのようなことをイメージするでしょうか。特定の人だけが利用していて、自分とは無関係の存在ととらえているかもしれません。しかし、ダークウェブでは一般のネット利用者が損害を被ってしまう情報もやり取りされています。ダークウェブがなにかを知り、脅威と対策についても押さえましょう。

最近、新聞やテレビなどのメディアで「ダークウェブ」や「ディープウェブ」という言葉を見聞きすることが増えてきました。ダークウェブとはどんなものでしょうか。それを理解するために、まずはインターネット上のWebサイトの区分について知っておきましょう。
インターネット上のWebサイトは、「サーフェイスウェブ（表層Web）」「ディープウェブ（深層Web）」の2つに大別されます。サーフェイスウェブは、Google やYahoo!などの検索エンジンで探すことができ、一般のWebブラウザで閲覧できる領域です。一方、ディープウェブは、GoogleやYahoo!などの一般の検索エンジンで探してもヒットしない領域で、そこには正規のWebサイトも含まれます。たとえば、ログインを要する会員制サイトやSNSの非公開ページなどがそれにあたります。そして、ディープウェブには専用のツールもしくはサービスを使用しなければアクセスできない領域もあります。この特別なネットワーク領域には、Webコンテンツへアクセスする際の匿名性保持や追跡回避、さらにサイト自体の匿名性を実現する技術を使用しているものもあり、この領域に存在しているWebサイトをダークウェブと呼びます。

サーフェイスウェブはネットの世界のほんの一部に過ぎず、大部分はディープウェブです。これらの関係はしばしば氷山に例えられます。氷山は、海上に見えている部分が全体の1割程度に過ぎず、9割は海上から見えない海中にあります。ネットの世界も、誰もがアクセスできるサーフェイスウェブに比べて、ディープウェブの割合が圧倒的に大きいのです。

ダークウェブへのアクセス手段として用いられる代表的なツールの1つが「Tor（The Onion Router）」です。Torは、もともと米海軍調査研究所が軍用の秘匿通信のために考案した技術をベースとしており、通信元の特定を困難にするという特徴があります。民間利用のためソースコード（プログラムの情報）が公開されてからは、ネット上の言論の自由とプライバシーの保護のために利用されてきました。Torを利用すれば、匿名による通信を実現できるため、厳しいネット規制を敷く国や地域のネット利用者が情報をやり取りするための手段にもなっています。

ただ、悪事を企てるサイバー犯罪者にとっても匿名性や追跡回避機能は好都合です。彼らは自身の不正サイトの設置場所などを特定されないよう、ダークウェブを利用します。ダークウェブ上の不正サイトの典型例が闇市場です。そこでは、違法な品や情報、Webコンテンツ、マルウェア（ウイルスなどの悪意を持ったソフトウェアの総称）自体やそれらを作成するためのツールキット、サービスとしてのマルウェアなども流通しています。その中には、フィッシング詐欺やインターネット事業者へのサイバー攻撃などをきっかけに流出したクレジットカード情報や、メールアドレス、住所、電話番号などの個人情報のリスト、認証情報（IDやパスワード）、銀行口座番号などが売買されるWebサイトも存在するのです。

また、流出した情報が企業によるサイバー攻撃被害の公表前に闇市場でやり取りされていた事例も確認されています。このことから、被害者が自身の情報漏えいを認知する前に、個人情報やクレジットカード情報を悪用される危険性もあることがわかります。

私たちはダークウェブとどのように向き合うべきでしょうか。危険ではないコンテンツも存在するものの、違法性の高い物品や窃取された情報などもやり取りされるダークウェブには興味本位に近づかないことが肝要です。加えて、ダークウェブを介したサイバー犯罪への対策も講じなければなりません。以下の3つのポイントを押さえましょう。

もし、自身のクレジットカード情報やアカウント情報、メールアドレス、銀行口座番号、運転免許証番号、パスポート番号などがネット上に流出してしまった場合、どのように対処すべきでしょうか。

クレジットカードを利用したオンライン決済はいまや当たり前になりました。クレジットカードは便利ですが、悪意のある第三者に不正利用されることもあります。その主な原因は、ネット利用時にクレジットカード情報が漏れてしまうことです。

たとえば、ネット利用者がフィッシング詐欺に引っかかってしまい、クレジットカード情報をだまし取られてしまう場合があります。クレジットカード情報の漏えいはネット利用者側の過失に起因するものばかりではありません。インターネットサービス事業者の人為的なミス、サイバー攻撃などをきっかけにクレジットカード情報が流出してしまうこともあります。

サイバー犯罪者は、さまざまな方法で取得した他人のクレジットカード情報を自ら悪用するだけでなく、ダークウェブに横流しすることもあります。ダークウェブは、Google やYahoo!などの通常の検索エンジンでは見つけられず、閲覧にも専用ソフトを要するWebサイトの総称です。ダークウェブは匿名性が高いことから犯罪や違法行為に使われることも多く、その中には流出したクレジットカード情報やメールアドレス、認証情報（ID、パスワードなど）などが売買されるサイトも存在します。ダークウェブに情報が流出すると、思いもよらぬ被害が及ぶ可能性もあるのです。

自身の情報を守るためには、フィッシング詐欺や、情報窃取を行うようなマルウェアに対するセキュリティ対策が必要です。ただ、ネット上で情報をやり取りする限り、何かしらの原因で情報が流出してしまうリスクもついて回ります。決済情報を登録するオンラインサービスでは、サービス事業者から提供される二要素認証などのセキュリティを強化する機能も利用し、不正ログインを防ぎましょう。そして、クレジットカードなどのキャッシュレス決済の利用履歴を、最低でも月一回は確認するように心がけてください。

さらに対策を強化したい場合は、万一情報が流出してしまったとしても、いち早くそれを察知して利用者に注意を促し、被害を最小限に留めるのに役立つセキュリティ製品を利用する方法もあります。ダークウェブモニタリングなどと呼ばれるこのようなセキュリティ製品は、あらかじめ登録したクレジットカード番号やメールアドレスなどの情報流出を検知した場合、利用者に通知をしてくれます。もし、クレジットカード情報の流出が検知された場合は速やかにクレジットカード会社へ連絡し、利用停止の届け出を行うとともに、身に覚えのない利用履歴が無いかの確認も忘れずに行ってください。

オンラインゲームの人気に便乗するサイバー犯罪を知っていますか。ソーシャルエンジニアリングを駆使したネット詐欺により、プレイヤーが金銭や情報、ゲーム内のアイテム、大切なアカウントそのものを奪われてしまう被害などが報告されています。オンラインゲームユーザを狙う脅威を知り、プレイヤーが行うべき対策を押さえましょう。

オンラインゲーム（略称：オンゲー、ネットゲーム、ネトゲ）が老若男女を問わず、幅広い層に親しまれています。総務省の調査※によると、ネット利用者の約３割がオンラインゲームを利用しており、13歳～19歳では50.7%にも上ります。近年では、eスポーツ（Electronic Sports：エレクトロニック・スポーツ）の認知も広がり、将来の職業としてプロeスポーツプレイヤーを夢見る青少年も少なくありません。
※出典：総務省「平成30年版情報通信白書」年齢階層別インターネット利用の目的・用途（複数回答）
https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/h30/html/nd252120.html

一方で、大勢の利用者を抱え、市場規模が拡大傾向にあるインターネットサービスはサイバー犯罪者に狙われやすいという側面があります。オンラインゲームユーザを取り巻く脅威にはどのようなものがあるか見ていきましょう。

正規サービスに偽装し、ネット利用者を狙うフィッシング詐欺の勢いは一向に衰えをみせません。オンラインゲームも偽装されるサービスの1つです。フィッシング詐欺とは、正規サービスのログインページなどを装った偽サイト（フィッシングサイト）へネット利用者を誘導し、そこで入力された認証情報（ID、パスワードなど）や個人情報、クレジットカード情報などを盗み出す手口です。フィッシングサイトの主な誘導口になっているのは偽のメールやメッセージ、不正広告です。オンラインゲームユーザを標的とする手口ではゲーム内チャットや動画共有サイトなども悪用されます。たとえば、「無償でゲーム内通貨を得られるツール」を餌に不正なURLリンクを開かせたり、関連動画から偽アプリのインストール先に誘導したりする手口が確認されています。誘導先では認証情報や決済情報などを詐取されるリスクがあり、最終的にアカウントの乗っ取りや金銭被害に遭う可能性があります。また、アフィリエイト（誘導先にアクセスしてもらうことで報酬を得る仕組み）目的の誘導もあり、それに乗ってしまうとサイバー犯罪者の資金稼ぎに加担してしまいます。

メールやゲーム内チャットは、マルウェア（不正なソフトウェアの総称）を配布する不正サイトの誘導経路にもなっています。「チートツールを入手できます」などと呼びかけ、ゲームを少しでも有利に進めたいプレイヤーの心理につけ込むのは典型的なやり口です。チートツールは、コンピュータゲームにおいて運営元が意図しないコンテンツの改変、動作を行わせる不正プログラムを指します。実際、人気のバトルロイヤルゲーム「フォートナイト（Fortnite）」のプレイヤーに対し、「敵に照準を合わせる精度を上げ、マップ上の他のプレイヤーの位置を可視化する」というチートツールを餌にランサムウェア（身代金要求型ウイルス）をインストールさせる手口が確認されました。他にも、人気ゲームランチャーであるEpic Gamesのインストーラに偽装したマルウェアも確認されています。

オンラインゲームのプレイヤーの中には、魅力的なトレード話を持ちかけ、アカウントやアイテム、金銭をだまし取ろうとする詐欺師も潜んでいます。詐欺の温床になっているのがリアル・マネー・トレーディング（RMT）です。RMTは、ゲームのデータやキャラクター、アイテムなどを、現実の通貨や物品を対価に取引する行為です。ゲーム事業者の多くはRMTを禁止していますが、それでも手を出してしまうプレイヤーは後を絶たず、RMT専用のトレードサイトやネット掲示板がいくつも存在します。ただし、RMTでは暗黙の信用をベースとした個人間取引が前提となります。一般に、買い手か売り手のどちらかが先渡しするため、代金やアイテムだけを持ち逃げされるトラブルが起こりがちです。また、RMTを禁止しているゲームでそれを行ったことが運営元にばれると規約違反となりアカウントを抹消される場合もあります。このため、被害に遭っても泣き寝入りするプレイヤーが多く、それがRMTでの詐欺を助長する要因になっています。

トレード詐欺以外にも、ハッキングなどによってアカウントを奪われてしまう危険性があります。奪われたランクやレベルの高いアカウントはネットの闇市場で売買され、その売上はサイバー犯罪者の資金源となります。

スマホゲームを利用するプレイヤーは、人気のゲームアプリに偽装したアプリや、ゲームアプリを装った不正アプリにも注意が必要です。こうしたアプリは公式アプリストアに紛れ込んでいる場合もあり、一見無害なアプリを装っています。しかし、誤って不正アプリをインストールしてしまうと、不正広告の執拗な表示によりスマホの操作を妨げられたり、スマホ内の情報を窃取する不正アプリを勝手にインストールされたりする危険性があります。ネット広告による収入は、サイバー犯罪者にとっても魅力的な市場となっており、他の機能を装ってアドウェア（広告表示ソフト）をインストールさせる手口が横行しています。

オンラインゲームを取り巻く脅威と対策についての理解をさらに深めたい方は、以下の記事も併せて確認しておきましょう。