警視庁は今週、JR東日本のモバイルSuicaに酷似した偽チャージサイトを運営し、1月以降2400人以上からクレジットカードやPayPayの認証情報を盗んだとして男女6人を逮捕した。捜査関係者は、敬老の日を前にした予約・切符購入で銀行が異常な決済を検知するまで、約1億8600万円に及んだと説明した。

偽サイトの手口

正規URLと1文字違いのドメインを登録し、保存済みのJR東CSSをコピーしてスマホブラウザでも見た目を合わせた。被害者は「Suica チャージ 失敗」などの検索広告経由で、混雑駅で決済を再試行する通勤者を狙った。

3円のテスト課金—本家がカード確認に使う額に近い—の後、カード番号を72時間ごとに替える海外VPSへ保存。大阪の共犯者が新宿・横浜の暗号資産ATMで洗浄したとされる。

被害者像

特定被害者の6割超が65歳以上。敬老の日の旅行前にIC残高不足と称するSMSにReserve Seat Smart EX更新の文言を混ぜたリンクが多かった。消費者庁は年金全額が引き落とされた事例もあると述べた。

JR東日本は正規のチャージは公式アプリかjreast.co.jp掲載の提携先のみと強調。商標侵害でホスティング停止に協力したが、逮捕まで鏡像サイトは数時間で再出現した。

捜査

サイバー犯罪対策2課は目黒区の銀行が7月に共有した詐欺類型から決済代行を追跡。捜査官が広告をクリックしてTLS証明書を取得し、渋谷の私書箱を借りた4容疑者につなげた。月曜の家宅捜索でサイト自動生成ツールを押収。

JR東のシステム侵入はなく、顧客向けページの克隆のみ。不正競争防止法違反などで送検見込み。

プラットフォーム対応

警察庁はコンビニレシート経由の秋のフィッシング注意にSuica型を追加。PayPayは3円承認の端末指紋を強化し、非許可ドメイン閲覧後のカード貼り付けに警告を出す。

通勤者が確認すべきこと

検索ではなくホーム画面の公式アプリから開き、iOSでは発行体「East Japan Railway Company」を確認するよう呼びかけ。区役所はシルバー週前に本物の領収メールと偽メールの取引ID差を実演する。

潮流

IC系フィッシングは振り込め詐欺より少ないが、非接触上限引き上げ後に4倍報告。改札で警告音が鳴る切迫感を利用する季節性が、今回の摘発でも浮き彫りになった。