WallapopやVintedで出品したら「購入者」に個人情報を求められた・リンクが送られてきた

もう使わないものをWallapop、Vinted、Milanuncios(いずれもスペインで人気の中古品取引サービス。同じ手口はメルカリやFacebookマーケットプレイスなど世界中の類似サイトでも見られます)に出品すると、数分後に熱心な購入希望者が現れます。値下げ交渉もせず、商品について何も質問せず、とにかく急いでいます。「そのほうが早いから」とWhatsAppやメールアドレスを聞き、まもなくリンクを送ってきます。「もう支払いました。ここから代金を受け取ってください」「配送業者を手配しました。集荷のために情報を確認してください」。開くと、サービスの公式ページとそっくりな画面が表示され、カード番号、有効期限、セキュリティコード(CVV)の入力を求められます。これは入金ではなく、盗みです。そして手口のすべてを崩すルールはシンプルです。お金を受け取るために、カード情報や何らかのコードを伝える必要は一切ありません。

偽の購入者詐欺はどのような仕組み?

いくつかのパターンがありますが、ほぼ必ず同じ流れをたどります。

• プラットフォームの外に誘導する。 最初の一手は、やり取りをWhatsApp、SMS、Telegram、メールに移すことです。公式チャットの外では、サービス側は詐欺を検知することもあなたを守ることもできず、詐欺師はフィルターなしでリンクを送れます。
• 偽のリンクを送る。 そのサイトはWallapop、Vinted、Milanuncios、郵便局、宅配業者のデザインを真似ています。支払いが「保留中」「確認待ち」になっていて、受け取るにはカード情報の入力が必要だと表示されます。その情報を使って、あなたの名義で買い物や引き落としが行われます。
• コードを要求する。 カード情報を入力すると、銀行から取引を承認するためのコードがSMSで届きます。偽サイトは「カード名義人であることを確認するため」と言ってそのコードを求めます。そのコードはあなたの署名です。それで承認するのは入金ではなく、支払いです。
• Bizumのパターン。 お金を送る代わりに、Bizumの支払いリクエスト(Bizumはスペインの携帯電話間決済サービス。他の国にも似たアプリがあります)を送り、代金を受け取るには承認するよう言ってきます。承認すると、支払うのはあなたです。
• 「過払い」のパターン。 間違えて多く払った(あるいは「配送業者の分」)と言い、差額を返金するよう求めます。最初の支払いはそもそも存在しません。

共通しているのはプレッシャーです。購入者は「旅行に出る」「配送業者が今日来る」「支払いが30分で期限切れになる」と言います。急がせるのは、あなたに立ち止まって考えさせないためです。

購入者が偽物だと見抜くには?

単独のサインだけでは証拠になりませんが、いくつか重なればかなり確実な判断材料になります。

1. 最初からWhatsApp、SMS、メールでのやり取りを求める。はっきりした理由がない。
2. 商品について何も質問せず、値段の交渉もしない。何を買うかに関心がない。
3. 代金受け取り用のリンクを送ってくる。 サービスは支払いと発送を自社アプリ内で処理します。外部のウェブサイトでお金を「受け取る」ことはありません。
4. ドメインが公式のものではない。 ハイフン入り、余計な単語が付いたもの(「secure-payment」「confirm-shipping」など)、見慣れない末尾のアドレス。ひと目で判断せず、落ち着いて確認しましょう。
5. カード、CVV、暗証番号、SMSのコードを求める。 お金を受け取るのに必要なのはせいぜい口座番号(IBAN)だけで、それもサービス外で取引する場合のみです。CVVやコードは決して必要ありません。
6. 新しいアカウント、または評価がない。ありふれた名前で写真もないことが多い。
7. 急かす言葉や配送についての言い訳。親族が荷物を受け取る、「個人の」配送業者、海外への発送など。

今すぐ何をすればいい?

1. リンクを開かず、何も入力しないでください。 すでに開いてしまっても何も入力していなければ、閉じてください。開いただけなら通常は問題ありません。
2. サービスの公式チャットに戻りましょう。 本物の購入者なら、組み込みの支払い・発送システムで購入することに同意します。断るなら、それが答えです。
3. 支払いの確認はアプリ内だけで、またはネットバンキングで、自分で公式アプリからログインして行ってください。送られてきたリンクからは決してアクセスしないこと。
4. 証拠を保存しましょう: チャットのスクリーンショット、電話番号やプロフィール、リンク(開かずにテキストとしてコピー)、日付。
5. ブロックして通報しましょう。 サービス上のプロフィールと、WhatsAppやスマートフォン上の番号を。そうすれば、そのアカウントが他の出品者を狙う前にサービス側が削除できます。

すでに情報やコードを入力してしまったら?

自分を責めないでください。こうしたサイトは非常によくできています。大切なのはスピードです。

1. すぐに銀行へ電話しましょう。 カードの裏面や公式アプリに記載の番号にかけ、カードの利用停止と最近の取引の確認を依頼します。
2. 身に覚えのない請求は不正利用として申告し、返金手続きを依頼しましょう。早いほど可能性が高まります。詳しくは電話詐欺で失ったお金を取り戻す方法で解説しています。
3. Bizumのリクエストを承認してしまった場合(または似た決済アプリのリクエスト)も、銀行に連絡してください。Bizumは銀行を通じて動いています。詳細はBizum詐欺をご覧ください。
4. パスワードを変更しましょう。 サービスのアカウントとメールのパスワードを変え、2段階認証を有効にします。
5. WhatsAppのコードを教えてしまった場合、アカウントを乗っ取られるおそれがあります。WhatsAppを開いて2段階認証を有効にし、連絡先にはお金の依頼を無視するよう伝えましょう。
6. 数週間は口座の動きに注意しましょう。 あなたの情報が、銀行を装った電話に再利用されることがあります。行動する前に、銀行からの電話やSMSが本物か確かめる方法を確認してください。

どこに届け出ればいい?

• スペインではPolicía Nacional(091)またはGuardia Civil(062)へ: すべてのスクリーンショット、リンク、銀行の明細を添えて被害届を出しましょう。銀行が返金請求の手続きで提出を求めることがあります。スペイン以外では、お住まいの国の警察へ。
• スペインではINCIBEの017番へ: 無料・秘密厳守のサイバーセキュリティ相談窓口です。対処法を案内してくれ、同機関のインターネット利用者安全局(OSI)のサイトでは、進行中の詐欺キャンペーンに関する注意喚起を確認できます。スペイン以外では、国のサイバーセキュリティ機関や公式の詐欺通報窓口へ。
• サービスそのもの: アプリからプロフィールとやり取りを通報しましょう。
• 112(ヨーロッパの緊急通報番号)は、脅迫を受けた、誰かが自宅に来たなど、本当の緊急時のみ。

連絡が電話番号から来た場合は、他の出品者も気づけるよう迷惑番号ディレクトリに登録してください。

よくある質問

カード番号だけで被害に遭うことはある? 番号、有効期限、CVVがあればネットで買い物ができ、銀行から届く確認コードまで手に入れば、なおさらです。だからこうしたサイトはすべてを一度に求めます。代金を受け取るために、これらを伝えてはいけません。

購入者が「サービスがカードの確認を義務付けている」と言うけど本当? いいえ。サービスがあなたに何かを求めるなら、公式アプリ内で求めるはずで、見知らぬ人がWhatsAppで送るリンク経由ではありません。

手渡しでの取引は安全? 人の多い場所で会い、現金かサービスの決済システムで受け取るのは妥当な方法です。スクリーンショットやメールで送られてくる「支払い証明」は信用しないでください。大事なのは、口座やアプリで実際に確認できるお金です。

リンクがチャットではなくSMSで届いた。何か違いはある? ありません。経路が変わっただけで、罠は同じです。偽の宅配便SMSと同じ考え方です。

まとめ

出品者の立場では、お金はあなたのほうに来ます。受け取るために支払ったり、カードを入力したり、コードを伝えたりする必要は決してありません。やり取りと支払いはサービス内で完結させ、急かす言葉とリンクには警戒し、すでに情報を入力してしまったら、何よりも先に銀行に電話し、その後で被害届を出しましょう。怪しい番号やSMSへの備えをもう一つ増やしたいなら、NoCallが応答する前に相手が誰なのかを見極める手助けをします。