億円)の損害を与えています。お金が動く所には、そこに乗じるサイバー犯罪者も集まります。そのため、サイバー犯罪者がアンダーグラウンド市場で広がりを見せるクーポン詐欺に参入したとしても驚くべきことではありません。クーポン詐欺が企業に与える影響を見てみましょう。億円)の損害を被りました。クーポン詐欺によって企業が被る損害は、お替り自由のコーヒー、無料のライドシェアやホテル宿泊、デジタル機器の割引等の費用にとどまりません。Compromise、BPC)」に発展した場合、クーポン詐欺は企業の収益に重大な影響を与える可能性があります。「ビジネスプロセス詐欺(BPC)」トレンドマイクロがアンダーグラウンド市場で確認したクーポン詐欺の手法は多岐にわたります。ビジネスプロセスに関わるクーポン詐欺にはいくつかの共通点があります。クーポン詐欺に共通する典型的な手法を図示したものです。間でやり取りされます。ここに、オンラインクーポン配布業者や、小売店に代わってクーポンを宣伝するメディアサービスプロバイダのような仲介業者が加わることも珍しくありません。実際、クーポン情報をやり取りする多くの経路が存在します。あるだけでサプライチェーン全体が影響を受ける可能性があります。アンダーグラウンド市場では、クーポンコードやプロモーションコードを生成するアルゴリズムを収集または解析することにより、その脆弱性を突いてクーポン詐欺を実行する製品やサービスが販売されています。そのような攻撃方法の例として、スターバックスカード残高を改ざんする方法が報告されています。アプリケーションに競合状態を引き起こす脆弱性を悪用するものでした。特定の地域や対象限定のクーポンやプロモーションコードが悪用される場合もあります。インターネット接続のためのプロモーションコードを販売していましたが、これはある情報通信企業が自社の職員に付与したものでした。別の事例では、ホテルの従業員が職員価格の適用を受けるために予約または登録時に入力するコードが悪用されました。以上のような事例は氷山の一角に過ぎません。トレンドマイクロがアンダーグラウンド市場で確認した多くの製品やサービスの中には詐欺行為を自動化するものもありました。そのような製品やサービスは、クーポンやプロモーションコードの偽造や不正利用を活発化させるのに十分な拡張性を備えています。倍も安価で取引されていることも注目に値します。以下では、弊社がアンダーグラウンド市場で確認したクーポン詐欺の手法について解説します。脆弱性の悪用と総当たり攻撃によるクーポンコードの不正利用アンダーグラウンド市場では、総当たり攻撃によって有効なクーポンコードを検索するソフトウェアが販売されており、ソーシャルメディアの動画チャンネルにアップロードされたマニュアルまで確認されています。ある動画は、ライドシェアサービスのプロモーションコードを入手する方法を解説していました。クーポンのプロモーションコードに含まれる無作為な文字列は企業や小売業者が生成しますが、攻撃者がプロモーションコードを事前に生成したり、総当たり攻撃によって探索する方法を入手した場合、業者はクーポンを管理できなくなります。理論的には、適切な方法で生成された無作為な文字列を事前に決定することは困難ですが、実際にはそれが可能になる場合があります。アプリケーションに脆弱性が存在する場合、その脆弱性を悪用することにより攻撃者がプロモーションコードを入手することができるかもしれません。3:ロシアのアンダーグラウンドのオンライン掲示板で確認された、有効なクーポンコードを総当たり攻撃で検索するコードクーポンの転売/クーポンコード生成サービス偽造されたものであるかどうかに関わらず、クーポンは他の詐欺師や一般の利用者に販売することによって金銭化されます。クーポンコードを検証するオンラインのチェックデジット計算機を悪用し、有効と判定されるクーポンコードを生成するサービスもあります。ソーシャルメディアでコンテンツを宣伝する業者向けのクーポン生成ツールも注目に値します。新規登録キャンペーンの悪用/アカウントの販売アンダーグラウンド市場で「新規アカウント」が販売されていることが確認されています。一括購入することも可能です。このようなアカウントは、小売業者が提供する新規登録特典やその他の無料サービスを利用するために購入されます。プラットフォームの新規登録アカウントを悪用し、仮想通貨発掘プールの一部として利用する方法を解説した投稿も確認されています。6:ギフトカードの残高があるスーパーマーケットチェーン「Walmart」のアカウントを販売する広告クーポン特典の転売/成功報酬型広告によるクーポンの転売クーポンは、詐欺師たちの間で代替通貨としても利用されており、クーポン提供者の追跡を困難にするために転売されます。クーポンを利用して入手した商品を販売する者もいます。他にも、ソーシャルエンジニアリングの手法を用い、悪徳マルチ商法(ピラミッドスキーム)や成功報酬型広告(アフィリエイト広告)でクーポンを転売するような詐欺行為を唆す者もいます。広告(右)■被害に遭わないためにはクーポンは、製品やサービスの認知度を向上し、より多くの取引を企業にもたらす役に立ちます。新規顧客の獲得という利点がある一方で、企業はルールに違反して商品や割引を得ようとする人々にも注意を払い、悪用可能な不備が無いようにする必要があります。2017年3月に米国の家庭用品製造および卸売業者が発行したクーポンに確認された不備がその一例です。有効期限が印刷されていたにも関わらず、バーコードには期限が設定されていませんでした。この不備を悪用すると、同じクーポン情報を繰り返し利用することが可能になります。企業は以下のような対策を導入してください。対象とする利用者以外に悪用されないように、より複雑なクーポンコードの使用、マイクロ文字の印刷、透かし、クーポンコードの認証および検証のような偽造防止技術を採用してください。使用後にクーポンコードを無効化してください。法執行機関と積極的に協業してください。重要なことは、企業の業務プロセスを管理するゲートウェイやエンドポイント、ネットワーク、サーバ、そしてインフラストラクチャのプライバシー、セキュリティー、および完全性を確実にすることです。