セキュリティ企業の米トレンドマイクロは2008年3月3日（米国時間）、オンライン決済サービスの米ペイパルをかたる新手のフィッシング詐欺を確認したとして注意を呼びかけた。ペイパルのユーザーIDやパスワードよりもお金になる個人情報（クレジットカード番号など）を主なターゲットにしていることが特徴。
ペイパルをかたるフィッシング詐欺は後を絶たない。その多くは、ペイパルをかたる偽メール（フィッシングメール）を不特定多数に送信し、偽サイトに誘導。誘導したサイトでユーザーIDとパスワードを入力させて盗む。
今回確認された手口も、誘導するところまでは従来の手口と同じ。メールの内容は、「あなたのアカウントに対して不審なアクセスを確認したので、アクセスを制限しています。制限を解除するには、以下のリンクをクリックしてログインしてください」といったもの（図1）。リンクをクリックすると、ペイパルのWebサイトに見せかけた偽サイトのログインページに誘導される（図2）。
フィッシング詐欺の多くは、この偽ログインページでユーザーIDとパスワードを盗むことを主目的としている。このため、ここで入力されたIDとパスワードが本物かどうかを確認するケースが少なくない。具体的には、入力されたIDなどを使って、バックグラウンドで本物のペイパルサイトへログインを試みる。ログインに失敗した場合には、偽ログインページでエラーメッセージを表示して再入力を要求する。
ところが今回のフィッシング詐欺では、ユーザーIDとパスワードの検証を行っていないという。理由は、その後に表示される入力ページで、クレジットカード番号などの個人情報を入力させることの方が主目的だからだ。
ログインページの次に表示される個人情報の入力ページでは、ユーザーの氏名や住所、電話番号などと同時に、クレジットカードの発行元や番号、有効期限などを入力させる（図3）。
入力されたクレジットカード番号については、有効かどうかを調べ、無効な場合には警告メッセージを表示して、先には進めないようにする（図4）。このことから、従来のフィッシングとは異なり、ユーザーID／パスワードよりも、クレジットカード番号などを狙っていることが分かるだろうとしている。
トレンドマイクロによれば、今回の偽サイトは2008年2月23日から稼働していて、3月3日時点ではアクセスできる状態だったという。
