注文確認や複合機の偽メールに警戒を 不正マクロでウイルス感染

実在企業からの注文確認や社内の複合機から発信されたように見せかけた詐欺メールが大量に確認された。不正マクロを仕込んだWordファイルが添付されている。

[ITmedia]

　トレンドマイクロは10月9日、実在する企業からの注文確認や社内の複合機から発信されたように見せかけた偽メールへの注意を呼び掛けた。同月8日の12時間だけで1万3000通以上が出回っているという。

　確認された偽メールは日本語で記され、Wordファイルになりすましたファイルが添付されている。いずれも受信者への通知を装い、添付ファイルを開くように仕向ける。実在企業になりすましたメールではメールアドレスのドメインも偽装され、本文内にも企業名や正規サイトへのリンクが記載されていた。一方、複合機の通知を装うメールのドメインには受信者と同じ組織のドメインが使われ、社内から発信されたように偽装している。

実在企業の注文確認に見せかけたメールの特徴（トレンドマイクロ提供）

複合機の通知に見せかけたメールの特徴（同）

　添付ファイルには不正なマクロが埋め込まれており、Microsoft Officeなどのアプリケーションでマクロを有効にして開いてしまうと、まずマルウェアの「W2KM_DLOADR」や「W2KM_SWIZZOR」に感染する。これらのマルウェアは、さらにオンライバンキングの情報を盗む別のマルウェアにコンピュータに感染させてしまう恐れがあるという。

添付ファイルを開いた様子。何も表示されないが、裏側で不正マクロが実行されてマルウェアに感染する（同）

　複合機の通知を装うメールは2015年6月にも大量流通し、英語で記載されたものが確認されていた。今回のメールでは日本語文章に変更されるなど、メール受信者をだます手口が巧妙化しているようだ。

　トレンドマイクロでは8日午前6時から午後6時までの12時間で1万3000通以上のメールを確認している。対策として、（1）Microsoft Officeでマクロを利用しているユーザーはマクロ機能を有効にしたままにせず、必要に応じて有効／無効を切り替えること、（2）不審なメールを受信した時はIT管理者に連絡すること、（3）IT管理者はメール対策を備えたセキュリティ製品を利用すること――をアドバイスしている。