Googleカレンダーに知らない予定が――招待通知を悪用する新手口
GoogleやOutlookカレンダーに会議通知を送りつけ、知らない間に予定を自動登録させるスパムが出回っているという。
ユーザーに無断でGoogleやMicrosoft Outlookのカレンダーに会議通知を送りつけ、知らない間に予定を自動登録させる手口のスパムが数週間前から出回っているとして、セキュリティ各社が注意を促している。
米McAfeeによれば、問題のスパムはGmailアカウントから送信されているが、GoogleとOutlookのカレンダー機能は互換性があるため両方のカレンダーに会議通知が届き、ユーザーはスパマーが指定した日時にリマインダを受け取るまで気付かないケースも多い。
セキュリティ企業Websenseのブログでは、実際にGMailとGoogle Calendar、Outlookを使ってこの手口を検証した結果を紹介している。
まずGmailのアカウントで会議予定を作成。会議は毎日行われるように設定し、フィッシング詐欺のリンクを掲載。標的とする別のGmailアカウントとOutlookアカウントを会議の参加者として登録し、招待通知を送信する。
次に標的としたGmailアカウントにログインし、Googleカレンダーを参照すると、既に会議の予定が毎日入っている。この予定を参照すると、電子メールやショートメッセージなどあらゆる手段を使って1日前にリマインダが送信される設定になっており、フィッシング詐欺リンクも記載されている。
Outlookアカウントでは、受信箱に招待通知が表示されたがカレンダーには自動登録されていない。しかし招待を受け入れるかどうかも決めていないのに、カレンダーでは毎日の指定時刻に予定が入っているものとしてその時間がブロックされ、リマインダが送信される状態になっていたという。
McAfeeによると、カレンダーのオプションで会議のリクエストを自動的に受け入れる機能をオフにすれば、このスパムを防ぐことができる。今のところ、この手口は偽の儲け話で現金をだまし取ろうとするナイジェリア詐欺に使われているが、Gmailのキャプチャが破られたことなどを考えると、ボットネットのスパマーが目を付けてもおかしくないと警鐘を鳴らしている。
関連記事
- Googleのブログを自動的に悪用、CAPTCHA破りのボットがさらに進化
BloggerのCAPTCHAを自動的に破ってアカウントを登録し、ユーザーをスパムサイトへリダイレクトするボットが出現した。 - GmailでもCAPTCHA破り? 悪用のスパムが倍増
Yahoo! Mail、Hotmailに続き、GmailもCAPTCHA破りでスパムに利用されるようになっている。 - 変形文字「CAPTCHA」はもう無意味?
Webサービスの認証などに利用される変形文字のCAPTCHAはユーザーの妨げになるだけで、不正アカウント取得を防ぐ役には立たなくなったのか。 - マルウェアがブロガーに、GoogleのBloggerで配布中
米Google傘下のブログサービスBloggerが、Stormマルウェアの配布に利用されている。 - Google広告の悪用でマルウェア感染サイトへ誘導
「Googleがなぜ悪用を阻止しないのか理解し難い」とMcAfee。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.