2024 年 10 月 12 日の更新: この記事はもともと 10 月 11 日に公開されており、ユーザーが詐欺師と戦うのを支援する Google の新しい詐欺対策同盟イニシアチブの詳細が含まれています。

Googleが実装した ますます洗練された保護 そうする人たちに対して Gmail アカウントを侵害する――しかし、AI主導の攻撃を利用するハッカーも進化しています。 Google 独自の統計によると、現在 Gmail サービスのユーザーは 25 億人を超えています。したがって、それがハッカーや詐欺師の標的になるのも不思議ではありません。知っておくべきことは次のとおりです。

最新の AI 主導の Gmail 攻撃は恐ろしいほど優れています

Microsoft ソリューション コンサルタントの Sam Mitrovic 氏は、最も経験豊富なユーザーさえも騙すことができる「超現実的な AI 詐欺電話」と呼ばれる電話の被害に遭いそうになった後、警告を発しました。

すべては、ミトロヴィッチが自分を狙った攻撃の巧妙さに気づく1週間前に始まった。 「Gmail アカウントの回復の試みを承認する通知を受け取りました」とミトロヴィッチ氏は次のように語っています。 他の Gmail ユーザーに警告するブログ投稿 問題の脅威について。アカウントの回復またはパスワードのリセットの確認の必要性は、ユーザーを偽のログイン ポータルに誘導することを目的とした悪名高いフィッシング攻撃手法であり、そこでユーザーは資格情報を入力して、リクエストが自分によって開始されたものではないことを報告する必要があります。

フォーブスGmail ハッカーは 2FA、電子メール、番号を制御している?やるべきことは次のとおりですによる デイビー・ワインダー

当然のことながら、ミトロヴィッチ氏はこれに騙されることはなく、米国から発信されたと思われる通知と、約 40 分後にオーストラリアのシドニーにある Google からの不在着信を無視した。これまでのところ、比較的単純で回避するのは簡単です。そして、ほぼちょうど 1 週間後、楽しみが本格的に始まりました。アカ​​ウント回復の承認を求める通知が再度要求され、40 分後に電話がかかってきました。今回、ミトロヴィッチ氏はその電話を見逃さず、代わりに応答した。Google サポートからだと主張するアメリカ人の声で、Gmail アカウントに不審なアクティビティがあることが確認された。

「彼は私が旅行に行くのかと尋ねます。私がノーと答えると、彼はドイツからログインしたのかと尋ねます。私はノーと答えます。」とミトロヴィッチ氏は語った。これらすべては、発信者に信頼をもたらし、受信者に恐怖を引き起こすためです。このとき、事態は急速に暗転し、フィッシング全体の計画が非常に巧妙になりました。いわゆる Google サポート担当者は、攻撃者が過去 7 日間に彼の Gmail アカウントにアクセスし、すでにアカウント データをダウンロードしていたことをミトロヴィッチ氏に伝えました。ミトロヴィッチ氏は1週間前の回復通知と不在着信を思い出し、これに警鐘を鳴らした。

ミトロヴィッチ氏は、講演中にかかってきた電話番号をグーグルで調べたところ、確かにグーグルのビジネスページにつながっていることを発見した。これだけでも、Google サポートの電話番号ではなく、Google アシスタントからの電話を受けるための電話番号だったため、現在のパニックに巻き込まれた疑いを持たない多くのユーザーを騙す可能性が高い巧妙な戦術です。 「通話の開始時に、通話の理由と、通話が Google からのものであることが聞こえます。電話は自動システムから、場合によっては手動のオペレーターから発信されることが予想されます。」 100% 本物のページ 読者に役立つ情報を提供します。

フォーブスGoogle、25億人のユーザー向けに新たなGmailセキュリティ強化を確認による デイビー・ワインダー

この Gmail ハッキングのニアミスから学ぶべき教訓

ミトロヴィッチは正しいことをした、少なくとも電話を切るという次善の策を講じ、サポート担当者と思われる人に確認メールを送信するよう依頼した。その直後に届いたメールは Google ドメインからのもので、すべての意図と目的が本物であることが求められていた。この時点で、彼は to フィールドに、実際には Google ドメインではない巧妙に偽装されたアドレスが含まれていることに気付きましたが、ここでもまた、技術に詳しくない人を簡単にだますことができました。

しかし、ミトロヴィッチにとって本当の収穫は、電話をかけてきた相手が「こんにちは」と挨拶し、応答がなかった後に再び「こんにちは」と言ったときだった。 「この時点では、発音と間隔が完璧すぎたので、AI音声としてリリースしました」とミトロヴィッチ氏は語った。

読む価値は十分にあります 元のブログ このレポートには、このレポートで取り上げるスペースがありませんが、より多くの技術的な詳細と調査研究が含まれているため、Mitrovic から提供されました。知識がすべてであり、このコンサルタントが提供する脅威インテリジェンスは、同様の状況に遭遇する可能性のある人にとって非常に貴重です。

フォーブスGoogle、数百万人向けの Gmail セキュリティの新たな取り組みを発表による デイビー・ワインダー

攻撃者がいわゆる回復プロセスを開始する地点まで継続したことはほぼ確実です。実際には、これはクローンされたログイン ポータルでユーザーの資格情報をキャプチャし、おそらく何らかのセッション Cookie を盗むマルウェアを使用してバイパスすることになるでしょう。 2 要素認証が導入されている場合。

Google、詐欺師と戦うためにグローバル信号交換を開始

Google は、Global Anti-Scam Alliance および DNS Research Federation と協力して、詐欺師との戦いにおける新たな取り組みを結成したと発表しました。の グローバル信号交換 は、詐欺や詐欺に関する情報共有プラットフォームとして機能し、サイバー犯罪のサプライ チェーンに関するリアルタイムの洞察を提供します。 Google は、Global Signal Exchange の最初の創設メンバーとして、このプラットフォームが事実上、悪者やその攻撃に関連する情報シグナルの世界的な情報交換所となることを期待しています。

Googleの信頼と安全性のシニアディレクターであるアマンダ・ストーリー氏は、今回の提携は「各パートナーの強みを活用する」と述べた。 GASA には、関心のある利害関係者の広範な既存ネットワークと、4,000 万件を超える既存のシグナルを含むデータ プラットフォームを持つ DNS Research Foundation があり、「GSE は、不正行為シグナルの交換を改善し、さまざまなセクターやプラットフォームにわたる不正行為の迅速な特定と阻止を可能にすることを目指しています」そしてサービス。」

最終的な目標は、インターネット自体ではほとんど考えられない規模で動作するだけでなく、効率的で、そして何よりもユーザーフレンドリーな方法で動作するソリューションを作成することであると Google は認めました。これは、資格のある組織が詐欺師に反撃するためにこれを使用できることを意味します。 Google はすでにこの分野で豊富な経験を持っており、不正行為との戦いを支援するためにパートナーシップを締結してきた長い歴史があります。実際、新しい Global Signal Exgcnage のテストの一環として、Google は 100,000 を超える悪意のある URL を共有し、分析のために膨大な数の詐欺シグナルを消費しました。 Google アカウント セキュリティ プロダクト マネージャーの Nafis Zebarjadi 氏は、「まず、詐欺ポリシーに基づいて対処した Google ショッピングの URL を共有することから始めます」と述べています。 Google の製品分野。」

Global Signal Exchange、または少なくともそれを駆動するエンジンは Google Cloud 上で実行され、すべての参加者がインテリジェンス信号を共有および利用できるようにするとともに、「Google Cloud Platform の Al 機能を利用して、パターンを見つけて信号をスマートに照合する」とストーリー氏は結論づけています。

最先端の Gmail 詐欺から身を守る

AI ディープフェイクはポルノや政治に使用されるだけでなく、今回のような一見単​​純なアカウント乗っ取りを実行するためにも使用されます。 Google サポートを名乗る人物からアプローチを受けても、落ち着いてください。電話をかけてくることはないので、すぐに重大な危険信号が発生し、電話を切っても害はありません。それが本物である可能性があり、無視すると損害が発生する可能性がある場合は、通話中に自由に使えるツール、皮肉にも Google 検索自体と Gmail アカウントを使用して確認してください。電話番号を検索して、実際の発信元を確認します。 Gmail アクティビティをチェックして、自分以外のどのデバイスがそのアカウントを使用しているかを確認してください。 Google の発言に注意してください Gmail フィッシング詐欺を使用する攻撃者から身を守る。最も重要なことは、会話にどれだけ緊急性が注入されたとしても、決して慌てて適当な反応をしないようにすることです。攻撃者が通常の正しい判断を逸らし、リンクをクリックしたり、資格情報を放棄したりするのは、その緊迫感に依存します。