Google最新スキャム警告、QRフィッシング・偽ログイン・警察なりすましをまとめて注意喚起

Googleの最新スキャム警告が役立つのは、単に「気をつけて」で終わらないからです。QRフィッシング、セッションクッキーを狙う偽ログイン、カレンダー招待に紛れた支払い誘導、偽の暗号資産利益、警察なりすましまで、実際の利用者が遭遇しやすい流れを一つにまとめています。大事なのは、見慣れた画面や信頼しやすい導線も攻撃面になり得るという理解です。

今回の警告で最初に見るべき点

Googleはまず Adversary-in-the-Middle(AITM) と Quishing を挙げました。偽ログイン画面はパスワードだけでなく、サインイン後のセッション情報まで奪おうとします。そうなると、多要素認証の先にある状態まで持っていかれる可能性があります。

そのため、メールや通知に書かれたログイン導線をそのまま信じる習慣は以前より危険です。 ログインが必要と言われたら、自分で公式サイトを開く という動きが依然として有効です。

QRコードやカレンダー招待が見分けづらい理由

今回の文書では、更新通知をカレンダー招待の中に入れたり、クラウド文書の中に見えにくいページを置いたりする手口も紹介されました。人はリンク先より先に 見慣れたサービスの画面 を信じやすいため、通常のメールフィッシングより自然に引っかかりやすくなります。

Googleは Device Bound Session Credentials(DBSC) のような防御も強化していると説明しています。それでも、予想外のQRや招待リンクを個人の端末でそのまま開かないことが、利用者側の一番わかりやすい防御です。

お金を急がせる話はだいたい同じ方向に向かう

暗号資産のうまい話、モバイル上の急な決済要求、警察なりすましは別々に見えても、結局は 今すぐ送金する、今すぐ入れる、今すぐ認証する という流れに利用者を押し込みます。

だから実践ルールはシンプルです。 お金の圧力とログイン要求が同時に来たら、まず止まる。そして公式アプリや保存済みの公式URLから開き直し、怪しい通知内の電話番号にはそのままかけないことです。