『詐欺メール』『【三井住友銀行】お取引確認の必要がございます。』と、来た件

★フィッシング詐欺解体新書★

いくら何でも7通はいけません

今日は『三井住友祭り』でもやっているのでしょうか？
朝から『三井住友』を騙る詐欺メールが横行しています。

この7通のうち5通が送信者を『三井住友銀行』と名乗り、2通が『三井住友カード』を名乗っています。
でも、件名を見るとなぜだか内3通が『三井住友銀行』と名乗ると言う不思議な現象が起きています。(笑)
更に、1通だけ送信者名の『銀』の文字が中華フォントで表示されています。(;^ω^)

ではこの中から、一番新しそうなこちらのメールを解体してみようと思います。

気になってマーキングしちゃいましたが、『お客様』を連呼したり、『リンクをアクセスし』なんて
日本語の表現がおかしかったり。
更に末尾には自分の首を絞めるような『電子署名付き電子メール』に付いてのくだりまで
掲載してしまっています。(笑)

まずはプロパティーから見ていきましょう。

件名は『[spam] 【三井住友銀行】お取引確認の必要がございます。』
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

差出人は
『”【三井住友銀行】” <dwx@smbc.co.jp>』
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

三井住友銀行の公式ドメインを使ったメールアドレスが記載されていますが、当然そんなのはウソ。
間違いなく偽装されています。

あっさりと仮面ははがれる

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、『表示(V)』⇒『メッセージのソース(O)』と進むと見られますよ。

”Received”に記載のIPアドレスは差出人が利用したメールサーバーのもの。
このIPアドレスが差出人のメールアドレスのドメインに割当てられているものと一致すれば
メールアドレスの偽装は無かったことが証明されますが、そうでない場合、特定電子メール法
違反となり処罰の対象とされます。

※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰する

では、メールアドレスにあったドメイン”smbc.co.jp”が差出人本人のものなのかどうかを
調べてみます。

（IPアドレスが取得しやすいように敢えて頭に”www.”を追記して検索しています)

これがドメイン”smbc.co.jp”の登録情報です。
これによると”23.33.36.98”がこのドメインを割当てているIPアドレス。
本来このIPは”Received”のIPと同じ数字の羅列になるはずですが、それが全く異なるので
このメールのドメインは”smbc.co.jp”ではありません。
これでアドレスの偽装は確定です！

”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
記載されている末尾の数字は、そのサーバーのIPアドレスになり、これを紐解けば差出人の素性が
見えてきます。
このIPアドレスを元に送信に使われた回線情報とその割り当て地を確認してみます。

送信に利用されたのは、『China Unicom Liaoning Province Network』と言う中国のプロバイダーです。

位置情報は、IPアドレスを元にしているので、かなりアバウトな位置であることを
ご承知いただいた上でご覧ください。

代表地点としてピンが立てられたのは、『中国 遼寧省 瀋陽市 瀋河区』付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

シンガポールで運営されている詐欺サイトは？！

では引き続き本文。

このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは『お取引確認』って書かれたところに付けられていて、
そのリンク先のURLとトレンドマイクロの『サイトセーフティーセンター』での
危険度評価がこちらです。

既にしっかりブラックリストに登録済みですね。
リンクへ移動してもサイトはブロックされるでしょう。

このURLで使われているドメインは”cbvipbuyer.com”
このドメインにまつわる情報を取得してみます。

管理されているのは、中国江蘇省の方。
そしてこのドメインを割当てているIPアドレスは”43.159.195.30”
このIPアドレスを元にサイト運営に利用されているホスティングサービスとその割り当て地を確認してみます。

利用されているウェブサーバーは、シンガポールにある『Aceville Pte.ltd』なんてホスティングサービス。

こちらもIPアドレスを元にしているので、アバウトな位置であることをご承知いただいた上で
ご覧ください。
地図上にピンが立てられたのは、香港。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険だと聞かされると余計に見に行きたくなるのが人間のサガ…(;^_^A
それを承知で、しっかりとセキュリティーの整った環境下で見に行ってみました。

開いたのは見慣れたVpassへのログインページ。
もちろん偽サイトですからログインしてはいけません！
ここにIDとパスワードを入力してログインボタンを押してしまうと、その情報が詐欺師に流れてしまいます。
そして次に開いたページで個人情報を更新させると称しそれらの情報や、更にはカードの情報まで
詐取されることでしょう。

まとめ

いくら何でも1日に7つも送られてきてはあまりにも多すぎて騙されたくてもね…

でも恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;