電子メール向けセキュリティソリューションを提供するMmailGuardは10月5日(米国時間)、「Think before you click: Phishing email purports to share invoice via Dropbox; claims file will “run out in 24 hours”」において、Dropboxを騙る新しいフィッシングメールを観測したと伝えた。このメールは、ファイル共有サービス「Dropbox」の名前とロゴを使用して受信者を騙し、フィッシングサイトに誘導するという。

偽の電子メールは、請求書がDropboxでシェアされたかのように見せかけられており、「ファイルが24時間で見られなくなる」と記載することで受信者のパニックを誘う。本文には請求書を表示するためのボタンが配置されており、受信者がこれをクリックすると、Office 365のロゴが付いたログインページに移動する。もちろん、このログインページは偽のもので、入力されたメールアドレスとパスワードは記録されて詐欺などに悪用される危険性がある。

  • フィッシングメールの本文 − 情報: MailGuard Blogより

    フィッシングメールの本文　引用: MailGuard Blog

MailGuardによると、電子メールの表示名やヘッダのFromフィールドにはDropboxであることを示す情報は含まれておらず、リンク先のURLのドメインもDropboxまたはMicrosoftとは無関係のものだという。ただし、メール本文にあるボタンのリンクには短縮サービスが使われているため、実際のURLは隠蔽されているとのこと。

きわめて典型的なタイプのフィッシングメールだが、組織内に不注意なユーザが1人でもいれば、そこから重要な機密情報の漏洩につながる可能性もある。MailGuardでは、リンクをクリックする前に注意深くメールを観察するように警告している。