TOAD：電話をかけさせるフィッシング

メールにはリンクも危険な添付ファイルもありません。あるのは請求書だけです。「ご契約の自動更新：39,800円。お心当たりがない場合は、サポートまでお電話ください」。どのフィルターも気に留めません。そこが狙いなのです。この手口は TOAD（Telephone-Oriented Attack Delivery）と呼ばれます。電話を経由する攻撃です。コールバック・フィッシングとも呼ばれます。

TOAD攻撃とは？

従来のフィッシングは私たちにクリックさせようとします。TOADは電話させようとします。メールはただのエサで、本当のわなは、その後に続くよく訓練された偽オペレーターとの会話です。

この手口は2021年、「BazarCall」と呼ばれた攻撃で有名になりました。偽のサブスクリプション請求書で受信者をコールセンターに電話させ、解約手続きのつもりでマルウェアをインストールさせたのです。それ以来、さまざまな派生型が増えています。

典型的な筋書き：頼んだ覚えのない請求書

メッセージは、注文確認や請求書のように見えます。ウイルス対策ソフトの契約、ソフトウェア、パソコンサポート、ネット通販。材料は3つです。

• 反応せずにはいられない金額：不安になるほど高額
• 逃げ道：「お心当たりがない場合は24時間以内に解約を」
• 唯一の連絡手段：電話番号

電話の向こうの偽オペレーターは、感じがよく、安心させてくれます。「解約」や「返金」のためと言って、遠隔操作ソフトのインストールを求め、次にネットバンキングを開かせます。その後はお決まりの流れです。手違いで多すぎる「返金」をしてしまったので振込で「返してほしい」と言われる。あるいは、作業のあいだにスパイウェアをこっそり入れられる。

リンクがないと検知が難しくなる理由

メールフィルターは、リンクを開き、ページを分析し、添付ファイルを調べられます。TOADのメールには、調べるものが何もありません。文面はありふれていて、口調は事務的。ロボットにとって電話番号はただの数字の並びです。さらに詐欺師は、請求書を画像やPDFにしたり、番号をスペースや珍しい文字を混ぜて書いたり、送信の波ごとに番号を変えたりします。

ときには、本物のオンライン請求書サービスからメールが送られてくることさえあります。詐欺師はアカウントを作り、偽の請求書を作成し、「備考」欄に自分の番号を忍び込ませます。メールはそのサービス自身のサーバーから送られるので、認証チェックをすべて通過します。詳しくはガイドチェックが「OK」でも、メールはうそをつくで説明しています。

電話番号こそが要

TOADでは、電話番号が通常のフィッシングにおけるリンクの役割を果たします。わなにつながるのは番号なので、調べるべきも番号です。いくつかの手がかりを挙げます。

• 多くはごく普通の固定電話番号か、ネットで取得した番号で、世界のどこででも着信できます。
• 名前を出された会社の公式サイトのどこにも載っていません。
• 頻繁に変わります。ひとつの攻撃で何十もの番号が使われることもあります。

番号となりすまされた会社を確かめるには

鉄則はこれです。メッセージに書かれた番号を使って、そのメッセージを確かめてはいけません。容疑者に自分のアリバイを証明させるようなものです。

1. 発信元で確かめる。会社の公式サイトのアドレスを自分で入力するか、公式アプリを開き、自分のアカウントに本当にその契約や注文があるかを見ます。
2. 番号をネットで検索する。すでに誰かが報告していることがよくあります。ただし、何も見つからなくても安全の証明にはなりません。番号が新しいだけかもしれません。
3. 自分で調べた会社の公式連絡先と照らし合わせる。
4. シンプルな原則を忘れない：本物のサポートが、解約のために遠隔操作ソフトのインストールを求めたり、返金のために振込を求めたりすることはありません。

メールのほかの部分（本当の差出人、送信元サーバー）の確かめ方は、ガイドフィッシング：詐欺師はどうやってメールを届けているのかで紹介しています。

詐欺サイトがないとき、何を通報できる？

サイトがないからといって、通報できるものがないわけではありません。役に立つ通報先は3つあります。

• メールを送ったサーバー。TOADのメッセージもメールであり、誰かが所有するマシンから送られています。そのソース全体を Baitback に貼り付けましょう。ツールが送信元サーバー、そのホスティング事業者と通報窓口を見つけ、そのまま送れる通報文を用意します。悪用された本物の請求書サービスから届いたメールなら、そのサービスに不正アカウントを通報します。サービス側でアカウントを閉鎖できます。
• 電話番号。たとえばフランスでは、迷惑SMSや迷惑電話の通報を33700が受け付け、公式の通報プラットフォーム（PHAROS）も詐欺を受け付けています。国ごとに同様の窓口がありますので、警察の相談窓口や電話会社にも知らせましょう。
• なりすまされた会社。大手ブランドの多くは、自社名をかたった詐欺専用の通報窓口を持っています。顧客に注意を呼びかけたり、法的措置をとったりできます。

通常の通報の限界

正直に言えば、TOADは偽サイトより止めるのが難しい手口です。ドメインならレジストラが数時間で停止できますが、ネットで取得した電話番号は、ときに海外のものでもあり、数分で差し替えられます。サーバーのような分かりやすい「abuse窓口の名簿」もありません。送信元サーバーはいちばん断ちやすい段階なので、必ず通報する価値があります。そして通報された番号は、一件だけでも、電話会社や迷惑電話対策アプリが「詐欺の疑い」と表示するためのデータベースを充実させます。

もう電話してしまったら

すでに会話してしまったなら、電話を切り、パソコンをインターネットから切り離し、遠隔操作ソフトをアンインストールし、公式の番号で銀行に電話し、別の端末からパスワードを変更します。フランスではCybermalveillance.gouv.frが被害者を段階的に支援しています。多くの国に同様の相談窓口があります。