フィッシング対策協議会(Council of Anti-Phishing Japan)は3月22日、「フィッシング対策協議会　Council of Anti-Phishing Japan | ニュース | 緊急情報 | JR東日本 (モバイルSuica) をかたるフィッシング (2022/03/22)」において、JR東日本のモバイルSuicaを偽装したフィッシングの報告を受けていると伝えた。

メールの件名としては、次の文字列が確認されている(下記以外の件名が使われている可能性もある)。

  • 【Suica】オートチャージが無効になる、使用を中止する。
  • 【Suica】オートチャージが無効になった為、使用中止されました。
  • 【モバイルsuica】情報有効期限お知らせ
  • 「モバイルSuica」お支払い情報更新

確認されている偽サイトとしては、次のURLが挙げられている(下記以外のURLが使われている可能性もある)。

  • https://jreast.●●●●.com/
  • https://www.mobilesuica.com.●●●●.com/
  • https://www.mobiliesuisa.com.●●●●.com/
  • https://www.mobiliesnica.com.●●●●.com/
  • http://www.mobiliesnisa.com.●●●●.com/

フィッシングメールは、JR東日本が運営しているサービス「モバイルSuica」を装い、「オートチャージが無効」といった偽の情報をえさに、支払い方法を更新するよう促し、クレジットカードなどを入力させようとする。

同協議会は、フィッシングサイトにおいて、認証情報 (メールアドレス、My JR-EAST I、パスワード)、氏名 (セイ、メイ)、 生年月日、電話番号 、郵便番号、都道府県、現住所、クレジットカード (番号)、カード有効期限、セキュリティコード、3-D セキュアの認証情報 (ID、パスワード) などを入力しないよう、注意を喚起している。

  • フィッシング対策協議会が確認しているフィッシングサイトの例