電子メールがハッキングされたらどうなるだろうか？ 把握するべき兆候やアカウント乗っ取り攻撃の仕組み、アカウントを保護する方法、そして再び被害に遭わないようにする方法について解説する。
この記事は、ESET社が運営するマルウェアやセキュリティに関する情報サイト「Welivesecurity」の記事を翻訳したものである。
電子メールは数十年にわたって使われてきた。現在はソーシャルメディアやメッセージングアプリも普及してきているものの、いまだ公私にわたって主要なコミュニケーション手段であり続けている。世界の電子メールユーザーは41億人に上り、2021年の時点で毎日3,060億通の電子メールが送受信されているとの推計もあるほどだ。写真を送る、友人と交流する、病院・銀行・行政機関とのやり取りなど、あらゆる用途で電子メールを使用している。
一方、電子メールは悪意のある攻撃の標的となっている。攻撃者が私たちのアカウントを乗っ取ることで、さまざまな方法で収益を得られるからだ。被害者にとってはストレスがたまり、悩ましい事態になる。
本記事では、以下の項目について解説する。
- 電子メールアカウントがハッキングされたことを確認する方法
- 電子メールアカウントの回復方法
- 再び被害に遭わないためにできること
なぜ電子メールをハッキングしようとするのか？
全世界におけるサイバー犯罪の被害額は、年間で数百兆円に及ぶ。これらの被害額で大きな割合を占めているのは盗難データの売買だ。ただし、この中に電子メールアカウントに保存されているデータが含まれている事実は、あまり認識されていない。思い返してほしい。銀行取引明細書を会計士に送ったり、連絡先を含んだ賃貸契約書、あるいは機密情報を弁護士に送ったりしているのではないだろうか。
これらのデータは攻撃者によって不正に収集され、さらなる情報を集めるためにフィッシング攻撃に使われたり、なりすまし詐欺で悪用されたりする。2020年、米国では4,900万人の被害者から総額560億ドル（6兆9,300億円相当）が詐取された。
サイバー犯罪者は電子メールアカウントへ侵入し、以下のように悪用する。
- クレデンシャルスタッフィング攻撃を実行する。ほかのアカウントでも同じログイン情報を使っていると推測し、自動化されたソフトウェアを介して、アカウントへの侵入を試みる。
- ほかのアカウントをリセットする。パスワードをリセットする際に、電子メールを送り、リンクをクリックさせるWebサイトは多い。アカウントを乗っ取った攻撃者は、その電子メールにアクセスし、パスワードを変更してしまう。
- すべての連絡先に、スパムやフィッシングといった悪意のあるメールを送信する。
スクールクラフト・スクール
保護者に警告
Sue Kedrowiczからの電子メールは開かないでください。アカウントがハッキングされています。
攻撃者がアカウント情報を窃取する方法はいくつかある。正規の送信元 (場合によっては利用するメールプロバイダー) から届いたものとユーザーを騙し、被害者に「ログイン」させるよう促すフィッシングメールを送るケースがある。ほかには、以下のような手法が挙げられる。
- パスワードを推測する、あるいは、自動化されたソフトウェアでブルートフォース攻撃を仕掛ける。
- 電子メールとパスワードを過去に登録した企業から盗む。パスワードが暗号化されていたとしても、解読される場合がある。
- 公共のWi-Fiや共有のコンピューターでログインした人からパスワードを盗む。
- フィッシングメールを介し、ダウンロードされたマルウェアからログイン情報を詐取する。
アカウントを乗っ取られたかどうかを確認するには？
アカウントを回復するには、まず、何が起こったかを把握する必要がある。電子メールが乗っ取られたことを示す一般的な兆候として、以下のようなものが挙げられる。
- 受信箱や送信済みアイテムに見覚えのないメールがある。
- パスワードが変更され、アカウントからロックされた。
- 自身のメールアドレスから友人へ、スパムメールが送られている。
- 異なるWebサイトやアプリからパスワード変更依頼が複数届く。
- 見知らぬIPアドレスや位置からのログイン試行が、メールプロバイダーから通知される。
図１：送信元：電子メール管理者<annahdac@palnet.com>
送信日時：2022年1月21日（金）4時28分54秒
送信先：xxx
件名：新しいデバイスからのログイン
新しいデバイスからxxxにログインがありました。
電子メールアカウントへ新しいデバイスからログインがありました。
あなたからのログインであることを確認するために電子メールを送信しました。
アクティビティを確認する。
念のため状況を再確認したいときには、HaveIBeenPwned.comを使うとよい。同サイトでは、漏えいした電子メールや携帯電話アカウントに関する膨大なデータを保有しており、自身の情報が漏えいしているかどうかを確認できる。
例えば、Googleでは最近のアクティビティを確認したり、新しいデバイスからのログインを含んだ行動を確認する「セキュリティ診断」を利用することも可能だ。そのほかの主要な電子メールサービスでも同様な機能が提供されており、不正侵入されたアカウントを回復する手順が公開されている。（Gmail、Yahooメール、Outlook.com）
再び電子メールアカウントがハッキングされるのを防ぐには？
電子メールアカウントの乗っ取りについて考察することで、日常的にどれほど電子メールを使っているのかを考えさせられた。幸い、同じ被害に遭わないようにするために、今から行える対策も多い。以下に、それらの対策を挙げる。
- ほかのWebサイトで使い回しているパスワードや設定を変更する。
- 多要素認証（MFA）を設定し、パスワードの盗用リスクを軽減する。
- マルウェアがないことを確認するよう、コンピューター全体をスキャンする。
- 電子メールやテキストメッセージ、ソーシャルメディアなどで、見知らぬ送信元から要求されても、個人情報やログイン情報を入力しない。
- 公共Wi-Fiや共有コンピューターで電子メールアカウントにログインしない。
深刻な被害に遭ったら、ソーシャルメディアやBCC（ブラインド・カーボン・コピー）で主要な連絡先に知らせることも有効だろう。心配な場合は、銀行にも連絡するとよい。いずれにしても、冷静を保ち、経験から学んでほしい。
