『詐欺メール』イオンカードから『1月ご請求額のお知らせ』と、来た件

★フィッシング詐欺解体新書★

実在しないカード請求

またしても所持していないイオンカードから請求額確認のメールが届きました。

所持していないんだから請求されるはずが無いのですがどうしてこのようなメールが私に届くのでしょうか？
そう、それはこのメールが詐欺メールだからです。
受信者は、意図しない請求金額を不審に思い、本文のリンクからログインしてしまうと奴らの毒牙に
掛かってしまいますので要注意です！

では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。

件名は『[spam] 1月ご請求額のお知らせ』
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

差出人は
『”イオンフィナンシャルサービス株式会社” <aeoncard1@nsmbnhz.cn>』
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

いつものお話ですがイオンカードさんの公式なドメインは”aeon.co.jp”で、間違っても”nsmbnhz.cn”なんて
中国のドメインではありません。
そんなのオフィシャルサイトのURLを見れば分かりますよね！

既に危険なIPと評価済み

では、このメールが悪意のあるメールであることを立証していきましょうか！
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、『表示(V)』⇒『メッセージのソース(O)』と進むと見られますよ。

ここに掲げた”Received”はこのメールが差出人から送信された後最初に通過したサーバーのもので
すなわち差出人が使った送信サーバーの自局情報です。
末尾の4つに区切られた数字の集まりはIPアドレスと呼ばれるいわばインターネット上の住所や電話番号で
同じ数字の集まりは世界中に1つしかありません。
でもこの数字の集まりじゃあまりにも煩雑でわかりにくいので、それに文字を割り当て分かり易くした
ものがドメインと呼ばれるものです。

では、メールアドレスにあったドメイン”nsmbnhz.cn”が差出人本人のものなのかどうかを
調べてみます。

これがドメイン”nsmbnhz.cn”を割当てているIPアドレスの情報です。
これによると”194.87.31.75”がこのドメインを割当てているIPアドレス。
”Received”のIPアドレスと全く同じ数字なのでこのはイオンカードからのものではないものの
メールアドレスは送信者ご本人さんのもので間違いなさそうです。

”Received”に記載されているIPアドレスは、差出人が利用したメールサーバーの情報で
これを紐解けば差出人の素性が見えてきます。
このIPアドレスを元に危険性や送信に使われた回線情報とその割り当て地を確認してみます。

このIPアドレスを元に割り出した危険度は『脅威レベル：高』
その詳細は『サイバーアタックの攻撃元』表示とされています。

地図に立てられたピンの位置は、オランダのアムステルダム付近で、送信に利用されたのはロシアに拠点を
置く『Global Internet Solutions LLC』と言うプロバイダーです。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

詐欺サイトは無防備に放置

では引き続き本文。

このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは本文内にイオンカードの公式ドメインを使ったURLが直書きされていますが
そんなのは当然偽装です。
本当のリンク先は『Nortonセーフウェブレポート』でこのようにレポートされていました。

分析結果では『スパム』で評価は『危険』ではなく『注意』とのことです。

このURLで使われているドメインは、サブドメインを含め”aeon.xnzefuk.cn”と、これまた中国のドメインが
使われていますね。
このドメインにまつわる情報を取得してみます。

中国の方が申請されたこのドメインを割当てているIPアドレスは”104.21.70.91”
このIPアドレスを元にサイト運営に利用されているホスティングサービスとその割り当て地を確認してみます。

地図に立てられたピンの位置は、カナダの『トロント市庁舎』付近。
そして利用されているホスティングサービスは『Cloudflare』
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

『Nortonセーフウェブレポート』での危険度評価からすると、リンク先の詐欺サイトは恐らく
どこからもブロックされることなく無防備な状態で放置されていると思われます。
そんなサイトを開いてみると…

本物そっくりのログインページが開きました。
ここにIDとパスワードを入力してログインボタンを押してしまうと、その情報が詐欺師に流れてしまいます。
そして次に開いたページで個人情報を更新させると称しそれらの情報や、更にはカードの情報まで
詐取されることでしょう。

まとめ

こういったカード関連のメールは、みな専用のスマホアプリが用意されていると思われるので
無暗にメールのリンクを押すのではなくこれらのスマホアプリからログインし確認するように
心掛けることが重要です。

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;