【警戒】ITインフラストラクチャー部 ヘルプデスク　（ネットワーク再接続ポータル）

SPAMメール・迷惑メール

【注意喚起】VPN障害の復旧を装うフィッシングメール

社内のITヘルプデスクを装い、「社内ネットワークおよびVPNの接続障害が復旧した」と知らせる不審なメールが確認されています。

メールには、旧接続セッションが残っているため設定の更新が必要として、外部の「ネットワーク再接続ポータル」へ誘導するリンクが記載されています。

リンク先で会社のメールアドレス、ユーザーID、パスワードなどを入力すると、アカウント情報を盗まれるおそれがあります。メール内のリンクは開かないでください。

VPN障害の復旧とネットワーク再接続を装うフィッシングメール

VPN障害の復旧を装う不審なメール

確認されたメールの全文

社員各位

お疲れ様です。ITヘルプデスクです。

本日発生いたしました社内ネットワークおよびリモートアクセス
（VPN）の接続障害につきまして、復旧作業が完了いたしました。
長時間にわたりご不便をおかけいたしましたことをお詫び申し上げます。

現在、旧接続セッションが残っている影響で一部の端末から接続できない状態が発生しております。
対象の皆様は、以下の「臨時再接続ポータル」より設定の更新を行ってください。

■ ネットワーク再接続ポータル
https://livifodep.z12.web.core.windows.net/vp4r8pmb/

【対象者】
・正社員
・契約社員
・パートナー社員

ご迷惑をおかけいたしますが、ご理解とご協力のほどよろしくお願い申し上げます。

――――――――――――――――
ITインフラストラクチャー部 ヘルプデスク
内線番号：5678
――――――――――――――――

※注意喚起を目的としてメール本文を掲載しています。記載されたURLへアクセスしないでください。

「web.core.windows.net」のURLに注意

今回のメールには、次のURLが「ネットワーク再接続ポータル」として記載されています。

https://livifodep.z12.web.core.windows.net/vp4r8pmb/

「web.core.windows.net」は、Microsoft Azureのストレージサービスで利用されるドメインです。しかし、Microsoft関連のドメインが含まれていることだけで、リンク先が安全だと判断することはできません。

クラウドサービス上に第三者がページを設置し、正規の社内ログイン画面に似せた偽サイトへ悪用する可能性があります。

勤務先から普段案内されている社内ポータルのURLと一致しない場合は、アクセスせず、情報システム担当者へ確認してください。

このメールが不審と考えられる理由

  • 会社名や担当者名が記載されていない
  • 「ITヘルプデスク」という一般的な名称を使用している
  • 具体的な障害の発生時刻や原因が記載されていない
  • 社内システムの設定更新を外部URLから行うよう求めている
  • 正社員、契約社員、パートナー社員を一括して対象としている
  • 内線番号だけを記載し、本物らしく見せている
  • もっともらしい技術用語を使い、受信者を信用させようとしている

リンクを開かないでください

メール内の「ネットワーク再接続ポータル」は開かず、次の方法で正規の案内か確認してください。

  1. 社内で普段使用しているポータルやチャットを確認する
  2. 既知の電話番号から情報システム担当者へ連絡する
  3. メールの送信元アドレスとドメインを確認する
  4. 社内で同じ障害が発生しているか確認する
  5. 不審なメールとして担当部署へ報告する

メールに記載されたリンクや連絡先を使って確認すると、偽サイトや攻撃者につながる可能性があります。必ず普段利用している連絡手段を使用してください。

リンクを開いてしまった場合

リンクを開いただけで、IDやパスワードを入力していない場合は、ページを閉じて勤務先の情報システム担当者へ報告してください。

端末にファイルがダウンロードされていないか確認し、不審なファイルがある場合は開かずに担当者の指示を受けましょう。

IDやパスワードを入力した場合

会社のメールアドレス、ユーザーID、パスワードなどを入力してしまった場合は、直ちに次の対応を行ってください。

  • 正規の社内システムからパスワードを変更する
  • 同じパスワードを使っている他のサービスも変更する
  • 情報システム担当者へ至急報告する
  • 不審なログイン履歴を確認する
  • メールの自動転送設定や振り分けルールを確認する
  • 可能であれば多要素認証を設定する
  • 管理者の指示に従ってログインセッションを終了する

会社のアカウントが乗っ取られると、機密情報の流出や社内ネットワークへの侵入、取引先へのなりすましメール送信など、被害が組織全体へ広がるおそれがあります。

よくある質問

Microsoftのドメインが含まれていれば安全ですか？

安全とは限りません。正規のクラウドサービスが、フィッシングページの設置場所として悪用される場合があります。ドメインの一部だけで判断しないでください。

実際にVPNへ接続できない場合はどうすればよいですか？

メール内のリンクは使わず、勤務先から事前に案内されている手順で再接続してください。解決しない場合は、既知の電話番号や社内チャットから担当部署へ問い合わせましょう。

内線番号が記載されていれば本物ですか？

内線番号は、本物らしく見せるために架空の番号が記載されている可能性があります。メールの記載内容だけを信用せず、社内の正式な連絡先一覧で確認してください。

このメールは詐欺ですか？

画像だけでは送信経路やリンク先の挙動を完全に確認できないため、断定はできません。しかし、社内IT部門を装って外部サイトへ誘導し、設定更新を求める構成は、認証情報を狙うフィッシングメールの特徴と一致します。不審なメールとして扱うのが安全です。

まとめ

「VPNの接続障害が復旧した」「旧接続セッションが残っている」「臨時再接続ポータルから設定を更新してほしい」などと案内されても、メール内のリンクを安易に開かないでください。

実際に接続障害が起きている場合でも、普段利用している社内ポータル、電話、社内チャットなど、メールとは別の方法で情報システム担当者へ確認しましょう。

本記事の運営

詐欺被害ナビ編集部

詐欺・迷惑電話・SMSの情報を分析し、被害防止を目的に運営しています。

© 詐欺被害ナビ