Amazonプライムのお支払い詐欺に引っかかり腹が立つので晒して注意喚起

JCBからの突然のTELで連休のまったり感が消失

秋のシルバーウィーク、連休中の日曜日にその静寂は破られました。もっとも、台風14号が列島縦断ということでお天気は悪く、家に引き籠もっていたところでした。

9月18日の日曜日の午後、突然知らない「0120」からの番号の着信で電話が鳴りました。まったりしている日曜日に電話が来ることは非常に珍しいのですが、取るとJCBカードのサポートセンターからでした。

9月21日(水)にラクマでクレジットカードが20万円を使われているのですが、ご本人様が使いましたか？という内容でした。んっ！？最近、カードでカメラ関連の高額な買い物をしていたため、一瞬頭の中を買ったものがめぐります。

ところが、それは別のメインカードでのことで、このJCBカードは主にガソリンカードなので、ネット通販で物品購入をすることはありません。

JCB側もそれをよく承知で、使用方法にアラートが出たため、決済を保留しているとのことでした。グッジョブJCB！
それにフリーマーケットは基本やりません。

一通り考えて、ラクマへは出入りをしたことが無いこと、ガソリン以外で使うことはほとんど無いことなどを伝えたところ、不正利用されたようなのでカードを止めて再発行します、とのことでした。

どうやら犯罪者は、転売が可能なブランド品をフリマで購入していた模様でした。

他にもカード番号が流出した可能性

ここで、クレカ番号を入力した怪しく思い当たるフシがあります。これは、後ほど詳しく説明しますが。

問題なのは、このJCBカードの他にもdカードの番号もこの詐欺サイトへ入れてしまっているということです。このリンク先の詐欺サイトの特徴は、どのカード番号（テキトーな番号でも）を入れても「このカードは使えません」となるということです。

すぐにdocomoのサポートへもTELをしてカードを止めてもらいます。

使用履歴を確認したところ、自分で使った分が最後で、こちらは不正利用された形跡は無さそうでした。ですが、漏れた可能性は否定できないため、止めて再発行をお願いしました。

これ、スゴく面倒くさくて、ETCカードなどもあるため、関連付いているETCカードとガソリンのスピードパスなどが全て使えなくなります。せめてもの救いは、複数のETCカードを用意していたことから、ETCが使えなくなるという自体だけは避けられました。

このJCBからの電話以降、20万円の使用こそ防ぎましたが、他にも少額で不正利用されているのではないかとか考えますと、悶々として憂鬱になってきます。この2カードの今月の明細は、細かくチェックする必要があります。

さて、もしクレジットカードが不正使用された場合、被害金額は誰が負担するのでしょうか？

クレカは保険があるからユーザーの損害は無い？と思われていますが、カード決済の契約上は販売店がその責任を負うことになっているそうです。つまりは、今回ラクマで使われて承認されてしまった場合、出品者には不正利用ということでお金が支払われない可能性があります。カード決済を通過したからと、商品を発送してしまった場合には「商品を騙し取られた」ということになるわけです。

あとは、今回のようなネット経由でカード番号等が流出した場合には、所有者に責任が及び支払いを求められるようです。この保険とユーザーの責任との境目がカード会社によって異なるようで、ヨドバシカードなどはユーザーの責任比率が高いようで、ネット上にはトラブルの書き込みが多々見られます。

さすがに店舗で使用して、その店舗が流出させた責任をユーザーに押し付けられても、ということにはなります。店舗のカード読み取り機にスキミング装置が仕掛けられていたり、従業員が裏でスキミングしてカード情報を集めていたりします。

カード番号を詐欺る手口を全て公開

引っかかった自分に腹が立つのと同時に、犯罪者への怒りも収まりません。ですから、今回の手口を全て公開して一人でも被害者が少なくなればとの思いです。

自分ではネットリテラシーは高いつもりでありまして、詐欺サイトやメールはことごとく回避していたつもりでした。が、引っかかってしまったのには巧妙に細工されていたメールにあります。

メールアドレスを事故や意図的に流出させるサイトなどがありますし、大手企業でもハッキングにより漏洩する事件もよくあることから、メインで使用しているメールには毎日膨大な量のスパムメールが届きます。そのうちのほぼ9割が、プロバイダの迷惑メールフィルターによって処理されており、そのほとんどを目にする機会はまずありません。が、それでもすり抜けて届くスパムメールはあります。

普段使ったことの無いイオンカードとかJRのえきねっとなど、会員ではない家電量販店のお知らせなどは、普段使ったことの無いサイトはもう詐欺メール確定としてゴミ箱行きとなります。それ以外、普段から会員登録しているサイトからのお知らせ通知は、フォルダ振り分けを行っておりこれで真偽を判断しています。その会社のフォルダに入らなかった場合には、発信アドレスを確認して意味のない文字列であれば、詐欺メール確定で即ゴミ箱行きとなります。

今回、これが完全にアダとなりました。表示を擬装しているくらいなら、このフォルダ振り分け機能で引っかかるのです。

Amazonのプライム会員の月額500円くらいが、カードで引き落とせませんという内容でした。あれ、Amazonプライムは年額で支払っていなかったっけ？と疑問には思ったのですが、Amazonのマイページなどは非常にわかりにくい作りで退会とか確認がすごくやりにくくなっています。

そこでこちらの詐欺メール、差出人が「Amazon ＜info@amazon.co.jp＞」となっており、Amazonが発信したようになっています。当然、見た目もAmazonのロゴが入っていたりとそっくりでAmazonを装っています。

実はこのメールは、振り分け機能でAmazonのフォルダへ振り分けられたのでした。差出人の赤丸で囲ったメールアドレスのせいで、振り分けられたものと考えられます。この差出人は偽装が可能で、表面だけが偽装されていた場合には振り分け機能にはかからずフォルダ外へ落とされます。多くの詐欺メールは、このタイプです。

この差出人のメルアド、このメールをそのまま返信しますと宛先がテキストで「Amazon ＜info@amazon.co.jp＞」となり、擬装などがされていないことが判ります。ということは、この詐欺メールの発信元はAmazonの正規のメールサーバーから発信されているのです。

このメールの「ヘッダー情報」という裏の情報を見ても、本当の発信者を示す「Return-Path: ＜info@amazon.co.jp＞」となっているのです。通常、差出人が擬装されている場合には、ここが表示とは異なる意味不明のアルファベットを並べただけのアドレスであることが多いのです。

ここが、今回引っ掛かってしまった最大のポイントです。

以前にも、oricoのクレジットカードのアドレス発信で同じようにフィルタリングをすり抜けた詐欺メールが届いたので、oricoへ問い合わせたことがあるのですが、「そういったメールは出しておりません」「ハッキングされた事実はありません」という回答を繰り返すだけでした。電話の受付窓口では、その原因もわからず話にならないのが実情です。

巧妙に作り込まれた詐欺メールを見破る方法

まず基本は、メールやSMSで来た会員登録のやり直しやクレジットカード番号の入れ直しの要求は全て詐欺だと断定して構わないということです。他にも銀行とか消費者金融、最近ではNHKの受信料や税務署を名乗るものもあります、税金が未納だからカード番号を入れ直せといった内容です。

メールで来るものは、全て100％詐欺と断定してしまいましょう。もし本当なら、その後に郵便で督促状が必ず来ますから、そこで対応しても大丈夫です。

その上で、もし本当だったらサービスが停止されてしまう不安につきまとわれ悶々としてしまいます。そこで詐欺を完全に見破る方法です。

まず、メールのリンク先をよく見ます。カーソルを当てたり、リンクの上で右クリックでURLをコピーしてテキストを貼り付けてみます。するとそこにはリンク先のURLが表示されます。

このリンク先が、意味のないアルファベットの羅列であれば、確実に詐欺サイトと認定して良いです。申し訳程度に「aupay」とか「amazon」なんてワードが入っている場合があります。

スマホやタブレットのタップ長押しで出てくるプレビューは開いてしまっているので、リンクを踏んだことと同じになってしまいます。リンクを踏んだ場合、多くの場合でウィルスなどを仕込まれるような害は無いのですが、リンクにマーカーが仕込まれていた場合には誰（メルアド）が踏んだか判ってしまうことから、そのリストが売買され以後しつこくスパムを送られる可能性があります。

メール内の全てのリンクを当ててみますと、全てが同じURLへ飛ぶことが判ります。これも詐欺メールの特徴です、リンクで飛ぶ先は一つでカード番号の入力画面しか作られてはいません。

詐欺サイトのリンクを押すとどうなる

犯罪者の目的は「カード番号をスキミングすること」ですので、ウィルスなどを仕込まれるリスクは低いと思われます。ネット上には「Windows」「Mac」「iPhone」「Android」etcと様々なプラットフォームの端末があり、ウィルスはそのそれぞれに対して異なるものを用意しなければならないため、手間がかかるのです。

ただし、ブラウザをクラッシュさせたり警告分が消えないようにして端末を人質に取り、入金させるような「身代金要求型」というものもありますので、できればリンクは踏まない方が良いと思われます。また、リンクにはマーカーが仕掛けてあり、誰（Mailアドレス）が踏んだか判るようにすることもできます。異様に長い意味不明なアルファベットが羅列するURLの場合、マーカーが仕掛けられている可能性が高いです。

この週の日記へ戻ります