北朝鮮の仕業か？不審なサイトへ誘導するショートメッセージ（SMS）やメールにご注意！

11月1日付で三井住友銀行がSMBCダイレクトへのログインや電話番号の入力を求める不審なサイトへ誘導するショートメッセージ（SMS）やメールが流されている事を把握し注意を呼び掛けておます。

フィッシング詐欺の具体的な手口！

SMBCダイレクトのログイン画面に似せたURLにアクセスさせ、ログインや本人確認情報の入力を誘導する不審なショートメッセージ（SMS）やメールが送られて来ます。

SMS（ショートメッセージサービス）とは、携帯電話番号宛てに短いメッセージを送信するサービスです。

例）お客様の【三井住友銀行の口座】セキュリティ強化、カード・通帳一時利用停止、再開のお手続設定等の文言で犯人が作る偽サイトへ誘導します。

〇〇銀行を騙っている場合、その会社の偽サイトを表示し、本人確認を詐称して金融機関を選択させる。

三井住友銀行を騙ってSMBCダイレクトのログイン画面に似せた画面を表示し、口座番号や第一暗証を入力させる。

本人確認と詐称し、電話番号等の本人確認情報を入力させる。

入手した口座番号や第一暗証、電話番号等の本人確認情報を使用し、不正送金する。

不審な電子メール、ショートメールはこんな感じで送られて来ます。

電子メールに書かれたアドレスが正しくみえても、実際にリンクをクリックしてアクセスするアドレスが違う場合はフィッシング詐欺です。

上記の画像の例は、記載されたHTMLメールから犯人が作る偽のWebサイトに誘導しようとしています。

HTMLメールの画像に書かれたアドレスと、実際にリンクをクリックしてアクセスするアドレスが違うことに注意してください。

※HTMLメールとは、電子メールの本文は通常テキスト（文字情報のみ）ですが、Webページと同じように、文字の大きさや色、画像の埋め込み、レイアウトの設定等の表現をできるようにしたものです。

上記の画像の例は、同じくHTMLメールを使って、IDとパスワードの入力欄までつけています。このように電子メールでIDやパスワードの直接入力を促すものは、偽のメールと判断して間違いありません。

通常銀行では、SMSで当行サイトに誘導し、暗証番号の入力を求めるようなご依頼をすることはありません。

銀行の口座番号や暗証番号、本人確認情報が第三者に知られると、インターネットバンキングで不正出金される被害につながる恐れがありますので、十分ご注意ください。

偽サイトの見分け方は次の通りです。

ご覧の画像の例は、通常の三井住友銀行のURLとアドレスバーのURLが違います。

三井住友銀行のWebサイトのドメインは「smbc.co.jp」ですので、正しいWebサイトのURLの先頭部分は「http://***.smbc.co.jp/...」または「https://***.smbc.co.jp/...」のように表示されます。

この例ではドメインが「example.com」なので、三井住友銀行のWebサイトではありません。

***には「/（スラッシュ）」を除く英数字が入ります。インターネットバンキング「SMBCダイレクト」のドメインは「direct.smbc.co.jp」です。

ご覧のものは、そもそも「アドレスバーがない」ケースです。
後ろのページは本物で、ポップアップ画面でIDとパスワードの入力ページは偽物で一般の銀行では、このような画面によるログイン方法を提供しません。

これは、ブラウザの鍵マークがないケースで、三井住友銀行等のホームページで、ログイン画面や個人情報を入力するページは、SSL/TLS通信によって暗号化されています。

これらの公式のページでは、URLは「https://」※ではじまり、Webブラウザに「鍵マーク」が表示されます。

そもそもお金のやりとりをする場面で、アドレスバーがないケースは偽サイトの疑いがあり、鍵マークが表示するエリア（ステータスバー）がないものは論外です。

以下の2点を確認してください。

1.発行先が正規の「smbc.co.jp」で終わっていること（例：smbc.co.jp）

2.「詳細」タブをクリック、「サブジェクト」をクリックして、「O=Sumitomo Mitsui Banking Corporation」が表示されること

こうした方法が偽サイトを見破る方法がございます。

更に、あなたのPCをウイルス感染させ不正送金する方法もありますので、後日この問題を取上げます。

くれぐれも偽サイトにはご注意下さい。

騙されてしまいますと、お金を取り返す事が不可能になりますし、フィッシング詐欺で集められたお金が北朝鮮のミサイル開発等に使われる可能性があります。