セキュリティ界で最も著名な人物の一人であるTroy Hunt氏の投稿が、技術コミュニティHacker Newsのトップページに再浮上し、200近くの賛同と40件以上のコメントを集めて話題を呼んでいます。FedExが送信する公式メールが、本物の詐欺メール以上に詐欺らしく見えるという問題です。
Troy Hunt氏は、自身のメールアドレスがデータ侵害で漏洩したかを確認できるサイト「Have I Been Pwned」の創設者であり、世界中のセキュリティ業界で最も信頼されている人物の一人です。2024年2月、彼は自身の体験をまとめた記事「FedExありがとう、これが私たちが騙され続ける理由だ（Thanks FedEx, this is why we keep getting phished）」を公開しました。それから2年が経過した今、この記事が再びHacker Newsの首位に躍り出たことは、問題が一切改善されていないことを物語っています。
経緯
Troy氏は当時、米国から発送された799米ドル（約1,215オーストラリアドル）の3Dプリンターの到着を待っていました。オーストラリア税関への関税支払いが必要になる可能性があるタイミングで、彼の元に1通のSMSが届きます。
「FedEx通知：お荷物番号 216.21 は配達手配のため関税および税金 216.21 の緊急支払いが必要です。本日中に以下のリンクからお支払いください。」
図：FedEx公式が送信した「関税支払い」SMS。出典：troyhunt.com
この数字に注目してください。荷物番号が「216.21」で、支払額も「216.21」となっています。番号と金額が完全に一致していること自体、極めて怪しいシグナルです。さらにリンク先は bpoint.com.au という、一見すると詐欺サイトのようなドメインを指していました。
Troy氏がこのSMSのスクリーンショットをX（旧Twitter）に投稿し、4,000人以上のフォロワーに鑑定を求めたところ、実に87%の人々が「極めて怪しい」と投票しました。彼は7つの不審点を挙げています：ブランド名の大小文字の誤り、異常に短い荷物番号、焦らせるようなトーン、通貨単位の欠落、FedEx以外のリンクドメイン、文法的な誤りです。
図：詐欺師が送信した「住所不備」フィッシングSMS。出典：troyhunt.com
実際の詐欺SMSと比較してみても、「住所誤りのため荷物が留め置かれています。至急修正してください」といった言い回し、トーン、リンク形式は、まさに同じ金型で作られたかのようです。
結末：公式メールは本物だった
Troy氏がFedExの公式サイトで確認したところ、関税に関する説明はどこにも見当たりませんでした。カスタマーサポートに電話をかけても、音声ガイダンスが堂々巡りし、推奨された連絡先は自身が今かけている番号そのものでした。3日後、彼の受信箱に1通のメールが届きます。「オーストラリアの輸入関税支払いが必要なため荷物を保管中。税金はFedExが豪州政府に代わって徴収する」と記載されており、金額も合致し、リンク先はやはり例の bpoint.com.au でした。
図：FedEx公式メールの本文。文面は詐欺SMSとほぼ同一。出典：troyhunt.com
メールにはPDFが添付されており、彼が購入した3Dプリンターの完全な請求書、注文番号、価格、物流情報が全て記載されていました。詐欺師がこれを入手することは不可能です。87%のユーザーの判定は間違っており、あの「極めて怪しい」SMSはFedEx自身が送信したものだったのです。
なぜ公式の通知がこうなってしまうのか？
まず技術的な側面を見てみましょう。SMSやメールの「送信者」欄は、設計当初から誰も検証しない構造になっていました。「FedEx」と表示されていても、本当にFedExから送信されたかを保証するものではありません。この脆弱性は電子メールの発明以来存在しています。その後、業界はSPFとDKIMという2つの対策を導入し、ドメイン所有者が「許可されたサーバーのみが送信できる」と宣言し、受信側が検証できるようにしました。
これらの仕組みは多くの問題を解決しましたが、致命的な弱点があります。それは、正常に機能すればするほどユーザーの目に見えなくなる点です。一般的なユーザーがメールを開いたときに目にするのは、送信者名、件名、本文のレイアウトです。SPFやDKIMの検証結果はヘッダーの中に隠されており、ユーザーが確認することはありません。防犯教育では「差出人アドレスを確認する」と教えられますが、差出人表示こそが技術的に最も偽装しやすい部分なのです。
次に組織的な側面です。Hacker Newsのコメント欄では、非常に説得力のある推測がなされています。FedEx本社はおそらく、子会社が関税徴収のために fedex.com ドメインを使用することを許可しておらず、税金徴収という煩雑な業務をオーストラリア局地の決済事業者であるBPoint（オーストラリア最大のコモンウェルス銀行傘下）に委託したと考えられます。その結果、ユーザーが聞いたこともなくFedExと無関係なドメインに決済リンクが貼られ、あらゆるフィッシングサイトと同じ見た目になってしまったのです。
大企業では部門ごとに独立して動いています。マーケティング部門はコンバージョン率を求め、運用部門は回収率を求め、セキュリティ部門は信頼性を求めます。HNのユーザーはこれを「シャドーIT」と呼びました。特定の業務部門が手早く運用を開始するために独自の通知システムを構築し、会社の正規ドメインや公式チャネルを通すべきだと気づいた時には、すでに予算が消化されているのです。
また、マーケティング側の立場も考慮する必要があります。「緊急」「本日最終」「即座に処理」といったフレーズは開封率が最も高く、市場部門が何十年も使い続けてきた手法であり、「詐欺に見えないようにする」という理由だけで放棄されることはありません。セキュリティチームの努力は、マーケティング部門の施策によって相殺されてしまうのが実情です。
フィッシング対策教育が困難になっている理由
詐欺師が公式を模倣し、公式自体が詐欺師のような見た目をするため、両者の間で「公式の信頼性」という概念が押し潰されています。フィッシング対策教育の本質は「偽札を見分ける方法」を教えることですが、銀行自体が偽札のような紙幣を発行し始めれば、教育は成り立ちません。
HNのコメント欄には数々の事例が寄せられています。保険会社からのSMSリンクが allstate.yem.bo のようなドメインを指していた例、社内のフィッシング訓練後に届いた正規の研修メールが授業で習った警戒特徴に全て合致したため全社員に無視された例、facebookmail.com がFacebook公式かどうか未だに判断できない例、アメリカ国税庁（IRS）の電話自動音声が詐欺師と同じ合成音声を使用している例などです。
Troy氏の記事では、オーストラリア人が詐欺によって年間30億豪ドル以上の損害を受けているという数字が引用されています。通信規制当局は3億3,600万通の詐欺SMSを遮断しましたが、これは氷山の一角に過ぎません。
この問題の最大の皮肉
AI時代において、AIが生成したフィッシングメールの識別はますます困難になっています。詐欺師が必死にFedExを模倣しようとしている中で、FedEx自身が完璧に詐欺師を模倣しているのです。Troy氏の言葉を借りれば、FedExは詐欺師に向かって「そこを退け、見本を見せてやる」と言わんばかりに、フィッシングと区別がつかない状態を完璧に作り上げました。
コミュニティの議論が示すように、これはFedExだけの問題ではありません。Microsoft、PayPal、国税庁、保険会社など、公式チャネルが詐欺師に無料のチュートリアルを提供してしまっています。2年が経過した今もFedExのSMSはそのままの状態で、HNには今なお「関税通知」を受け取ったユーザーからの投稿が続いています。
フィッシング対策教育は不可欠ですが、コンバージョン率のために信頼性を犠牲にする企業との戦いでもあります。公式メールが公式らしく見えるようになって初めて、真の防犯教育がスタートします。それまでは、荷物の未配達通知を受け取っても「リンクをクリックせず、自分で公式サイトを開いて確認する」ことが唯一かつ最高の防衛策です。
参考リンク：
- Troy Hunt: Thanks FedEx, This Is Why We Keep Getting Phished
- HN 議論 (item?id=49175192)
