『詐欺メール』Yahoo!ショッピングから「このメールを受け取った方限定【1,000円OFFクーポン】」と、来た件

★フィッシング詐欺解体新書★

『Yahoo!ショッピング』が出血大サービス？！

Yahooからこのようなうれしいクーポン情報のメールが届きました。

大きな画像ですいません…(;^_^A
この手のクーポンって、買い物合計が20,000円以上のお買い物でとか結構厳しい条件が付いて
いるんですが、今回は何と2,000円以上とかなり敷居が下げられていてYahooさんも中々やるななんて
思っているとどうやら様子がおかしいことに気づきました。

まず、Yahooを名乗っておきながら差出人のメールアドレスがどう見てもYahooのものではありません。
そして冒頭に『mjqhg691さん、こんにちは。』と書いてありますが、mjqhg691って誰でしょうか？(笑)

このメール、ヘッダーのスタンプを見ても確かに昨夜の6月19日に送信されているのですが、メールに
記載の日付は2023年4月6日。
署名部分にも確かに『発行日：2023年4月6日』と記されていて、更にはクーポン有効期限も1か月以上
前の2023/5/1 0:00と書かれていて既に終了したことになっています。

これらを総合してみると、このメールはどうやら悪意のある詐欺メールの予感がプンプンします。

ってことでこのメールを解体し詳しく見ていきましょう！

まずはプロパティーから見ていきましょう。

件名は「このメールを受け取った方限定【1,000円OFFクーポン】」
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
いつもならこの手のメールの件名の見出しには”[spam]”とスタンプが付けられているのでですが
このメールにはそれがありません。
どうやら今回うちのサーバーは、このメールに悪意はないと判断したようです。(;^_^A

差出人は
「”Yahoo!ショッピング” <sabine.buisson0@1p73v.m.untankief.site>」
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。
使われているドメイン”1p73v.m.untankief.site”にYahooを連想させるものは全くありません。
この時点で、このメールはYahooが発信したものではないことが分かりますね！

使うことのできないドメインだった

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。

先に書いた通り”Received”に記載のIPアドレスは差出人が利用したメールサーバーのもの。
このIPアドレスが差出人のメールアドレスのドメインに割当てられているものと一致すれば
メールアドレスの偽装は無かったことが証明されますが、そうでない場合、特定電子メール法
違反となり処罰の対象とされます。

※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰する

では、メールアドレスにあったドメイン”1p73v.m.untankief.site”が差出人本人のものなのかどうかを
調べてみます。

これによると、このドメインは現在IPアドレスに割当てられていないようでネット上では
利用できないものになっています。
利用できないドメインでメールを送ることはできないのでこれでアドレスの偽装は確定です！

”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
記載されている末尾の数字は、そのサーバーのIPアドレスになり、これを紐解けば差出人の素性が
見えてきます。
このIPアドレスを元に危険性や送信に使われた回線情報とその割り当て地を確認してみます。

送信に利用されたのは、モザンビークにある「Moztel LDA」と言うプロバイダーです。

位置情報は、IPアドレスを元にしているので、かなりアバウトな位置であることを
ご承知いただいた上でご覧ください。

代表地点としてピンが立てられたのも、モザンビークの「マプト」付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

Yahooがクーポンメールを東京から13,000Km以上離れた南米のモザンビークのプロバイダーを利用して
ユーザーに送るでしょうか？
そんなわけありませんよね！

『私はロボットではありません』と表示された

では引き続き本文。

このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは『カテゴリーから探す』と書かれた商品カテゴリ一覧や署名欄に付けられていて
そのリンク先のURLとトレンドマイクロの「サイトセーフティーセンター」での
危険度評価がこちらです。

既にしっかりブラックリストに登録済みですね。
リンクへ移動してもサイトはブロックされるでしょう。

このURLで使われているドメインは”procaptchahub.top”とこちらもYahooを連想させるものはありません。
では、このドメインにまつわる情報を取得してみます。

このドメインの管理者は、アメリカアリゾナ州にある『PrivacyGuardian.org』
この企業は、ドメインの持ち主を隠匿して提供することで知られており、犯罪の温床となることが多く
問題視されています。

このドメインを割当てているIPアドレスは”172.67.153.245”
このIPアドレスを元にサイト運営に利用されているホスティングサービスとその割り当て地を確認してみます。

またここですか…
最近よく見掛ける地図ですね。

利用されているウェブサーバーは、アメリカにある『Cloudflare, Inc.』」と言うホスティングサービス。

こちらもIPアドレスを元にしているので、アバウトな位置であることをご承知いただいた上で
ご覧ください。
地図上にピンが立てられたのは、ニューヨークにあるブルックリン橋のたもと。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険だと聞かされると余計に見に行きたくなるのが人間のサガ…(;^_^A
それを承知で、しっかりとセキュリティーの整った環境下で見に行ってみました。

『私はロボットではありません』と書いてあるページが開きました。
なんか気持ち悪いのでそっとしておきます。。。^^;

まとめ

まさかの詐欺メールでしたね。
目先のクーポンに目を取られ危うく騙されてしまいそうになります。
でも、よく見ればメールアドレスやリンク先のドメインは明らかにYahooのものではないし
日付もかなり過去のものなので気を付けていれば十分に被害を防ぐことができますよね！

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;