新たなフィッシングサイトの被害が急増している。ばらまき型メールを監視・分析・共有するサイバーセキュリティー技術者の集まりである「ばらまきメール回収の会」は2021年11月11日時点で既に1000件を超えるメールアカウントが盗まれているとみる。被害組織は大企業、中小企業、官公庁、大学、一般個人など多岐にわたる。
ばらまき型メールの件名は「メールプラン、セキュリティ強化第2弾リリースのお知らせ」などだ。同メール中のリンクをクリックするとログイン画面が表示される。偽物であり、入力情報を盗む仕掛けが施されている。2021年11月に入り、1日当たり100件以上のペースでアカウントがだまし取られているもようだ。
同会の観測によれば、正規のサイトが改ざんされ、新しいフィッシングサイトが1日に複数件できているという。盗まれたメールのアカウント情報がほどなくしてフィッシングメールの配信に悪用されてもいる。そのためメールやWebブラウザーのセキュリティーフィルタリングソフトの検知が追い付いていない状況という。
対策は「着信したメールのリンクをクリックして、いきなりパスワードが求められるようなものは全て危険なサイトと考え、パスワードを入力しないこと」（同会）である。同会は「本物か迷ったら、メールの件名で検索したり、送信元の組織に確認したりしてほしい」と呼び掛ける。
もし誤ってフィッシングサイトにパスワードを入力したと気がついたらどうすればよいか。まずは自分でパスワードを変更する。そのうえでメールサービスの提供元や管理者に連絡し、状況を説明・共有するとよいだろう。
攻撃者の意図について同会は「ランサムウエア攻撃やビジネスメール詐欺（BEC）で狙う価値のある、組織のアカウントを取得することにあるのではないか」と推定する。さらなる被害の拡大を防ぐためにもフィッシングメールには十分注意したい。
