PayPayカードかたる偽メール出回る 正規サイト経由で送金誘導、オンライン決済の仕組み悪用か

フィッシング対策協議会は、PayPayカードを装ったフィッシングメールが出回っているとして注意を呼び掛けている。偽サイトを経由してPayPayの正規ログインページに誘導し、ユーザーに送金操作をさせる手口が確認されている。

[ITmedia]

　フィッシング対策協議会は5月21日、PayPayカードをかたるフィッシングメールが出回っているとして、注意を呼び掛けた。PayPayの正規ログインページへ遷移させ、指示通りにログインすると送金が実行されるという手口が確認されているという。

（フィッシング対策協議会公式Webサイトより、以下同）

　確認されたメールの件名は、「2025年5月XX日請求金額のお知らせ（請求がない方にもご案内しています）」「5月の請求予定金額のお知らせ」といったもの。文面やレイアウトは、PayPayカードの請求通知メールを巧妙に装っていた。

メール・SMSの文面例

　手口は偽メール内の「ご利用明細を確認する」といったリンクを通じて、不正なフィッシングサイトに誘導し、そこからPayPayの正規ログインページに遷移させてログインを促すというもの。受信者がログインすると、そのまま送金が完了するという仕様だ。

　PayPayカードによれば、この手口ではPayPayのオンライン決済時に発行される支払いリンクが悪用されたものだという。ただし、同社の担当者は、こうしたオンライン加盟店の請求の仕組みを悪用した手口は「paypayに限ったものではない」との見方を示した。

フィッシングサイトの例

　関連するフィッシングサイトは、5月21日13時時点で稼働中。同協議会はJPCERT/CCに、閉鎖に向けた調査を依頼している。また、「類似のフィッシングサイトが公開される可能性がある」として、引き続きの注意を呼びかけている。