PayPayから「パスワードリセットのお知らせ」メール、本物でも身に覚 えなければ触らないで

攻撃者が別途入手したり推測したりしたメールアドレスに対し、無差別にパスワードリセットを行うよう仕掛けた可能性があり、ネット上の反応から、少なくともユーザーを不安がらせる愉快犯的行為の役割は果たせたものと思われます。

今回の手口で通知メールを受信したユーザーがリンクを辿り、パスワードの変更等何らかのアクションをとったとしても、それだけでは攻撃者が即座にアカウントの乗っ取りが行えるわけではなく、改めて新しいパスワードでログインしようとするユーザーを偽のログイン画面へ誘導する等も十分に考えられ、SNS等ネット上で同様の報告がないか、およびサービス公式の発表やヘルプ情報を調査し、慎重に行動するよう心掛けることが肝要です。

メールの本文までの読み取り、およびアカウントを踏み台にしてのスパムメール送信は行われていない模様ですが、仮に元のユーザー・組織になりすましてのメール送信が行われた場合、SPF・DKIM・DMARCといった各種フィッシング対策機構による確認が通用しなくなる恐れがあります。

不正ログインに至った原因の詳細は不明ですが、過去の同様の事案では、簡単なパスワードが設定されていたり、いわゆる「リスト型攻撃」で不正ログインに至ったケースもあり、他と使い回していない十分に複雑なパスワードを設定すること、およびPCがマルウェアに感染しての不正ログインを避けられるようアンチウイルス・UTM等による防衛が重要です(多要素認証が設定可能なメールサービスであれば、是非とも設定を行うべきです)。