宅配便業者をかたる偽ショートメッセージで、また新たな手口が出現

IPAでは2018年8月と11月の安心相談窓口だよりにて、佐川急便をかたる偽ショートメッセージ（以下SMS）について取り上げました （脚注1)(脚注2）。本件に関する相談は継続して寄せられており、さらに、新しい手口が確認されました。

これまでiPhoneやiPadなどのiOS端末（以下iPhone）でアクセスした場合は、フィッシングサイトで「Apple IDとパスワード」や「電話番号と認証コード」を入力させる手口が確認されていました。しかし、本年3月のはじめごろから、不審な「構成プロファイル」をインストールさせてからフィッシングサイトに誘導する手口が確認されるようになり、3月19日時点で22件の相談が寄せられています。

(脚注1) 「宅配便業者をかたる偽ショートメッセージに関する相談が急増中」
(脚注2) 「宅配便業者をかたる偽ショートメッセージに関する新たな手口が出現し、iPhoneも標的に」

1．新たな手口の主な流れと対処方法

不審な構成プロファイルをインストールさせる手口（iPhone）

構成プロファイル（脚注3）とは 、iPhoneの各種設定を自動で行うためのファイルです。

iPhoneで偽SMSに記載のURLからアクセスすると、不審な構成プロファイルのインストールに誘導される場合があります。構成プロファイルをインストールしてしまった場合、Apple IDのアカウント情報を入力させるフィッシングサイトに誘導されます。

• 不審な構成プロファイルをインストールした場合、「端末内の設定が変更される」、「端末の固有情報が外部に送信される」といった可能性が考えられます。しかし、そのことによって発生する具体的な被害や影響範囲について現時点ではわかっていません。
• フィッシングサイトにて「Apple ID」と「パスワード」を入力してしまうと、Apple IDで利用できるサービスに不正ログインされる可能性があります。

対処方法

• 構成プロファイルのインストール画面が表示された場合は、「無視」または「キャンセル」をタップして画面を閉じてください。構成プロファイルをインストールしていなければ、被害にはつながりません。
• 構成プロファイルをインストールしてしまった場合は、外部への情報送信の可能性を考慮し安全を期するため、すぐにスマートフォンを機内モード(Wi-FiもOFF)にした後、端末を初期化することを推奨します。初期化の操作方法はお使いのスマートフォンを契約している携帯電話会社などにお問い合わせください。初期化後、念のため、Apple ID、キャリアのアカウント、スマートフォンで利用しているSNSなどのサービスのアカウントの不正使用がないかなどを確認し、パスワード変更を実施してください。
• 初期化後にデータを復元させる際に、バックアップデータを利用する場合は、不審なプロファイルをインストールしてしまった後のバックアップデータを使用しないでください。
• フィッシングサイトにApple IDとパスワードを入力してしまった場合は、速やかにパスワードを変更してください。

  (脚注3) 不正な構成プロファイルをインストールさせる手口は過去にも確認されており、不用意に構成プロファイルをインストールすることにはリスクが伴います。 トレンドマイクロ株式会社：セキュリティブログ「iOS 上で大量のアイコンを作成する不正プロファイル「YJSNPI ウイルス」こと「iXintpwn」を解説」

2．被害に遭わないために

佐川急便では、SMSによる不在通知の案内は行っていません。

佐川急便を名乗る不在通知のSMSを受信しても、決して記載されているURLをタップしないでください。

日頃の対策

SMSやメール内のURLを、安易にタップしない。
信頼性が不明なアプリや構成プロファイルなどを、安易にインストールしない。
パスワードや認証コードなどを、安易に入力しない。