『詐欺メール』Amazonから「必要なアクション」と、来た件

[spam]は悪意のある証拠

これは事務所の代表メールアドレスに届いてたブラックメール。
アマゾンを騙ったアカウント更新を促す詐欺メールです。

差出人は「Amazon.co.jp <support@giftshopss.com>」
「Amazon.co.jp」と記載しておきながら「giftshopss.com」なんてアマゾンでは
あり得ないメールのドメイン。
これ本当に使われているものだろうかと思って調べると、ロシアで実際に使われて
いるようなのでまんざら全部が嘘じゃないが、アマゾンからのメールじゃない(笑)

件名は「[spam] 必要なアクション-ID:[59765323]」
通り番号なんて作ってそれらしく見せていますが、[spam] が表すようにこのメールは
悪意のあるメールです！

メールを詳しく調べる上での必要な情報はヘッダーソースで確認できます。
まずは”Message-ID”と”Return-Path”

”Return-Path”は差出人のメールアドレスと同じものが書かれていますが、ここは偽装が可能。
”Message-ID”は世界に1つしかないそのメールを識別するID。
この末尾には使用しているドメインやクライアントの情報が書き込まれます。
このメールの場合は”<E1kqo8J-0000Rb-Kr@ns1.hesabline.com>”と記載されていますが
よく見ると、差出人のメールアドレスにあったドメインとは全く異なる”ns1.hesabline.com”
なんてドメインが記録されているので怪しいメールだと判断できます。
ただしここも偽装は可能なフィールド。

次に注目するのは”Received”フィールド。
ここはそれぞれの送受信サーバーが自動で記録するフィールド。
差出人が利用したサーバーが記録した情報がコレ。

この中で「109.248.11.99」ってのが差出人が利用したメールサーバーのIPアドレス。
このIPアドレスについて調べてみました。

これによると、「Country: AZ」とあるので申請は「アゼルバイジャン」から。
現在は「ロシア」で利用されているIPアドレスなのが分かります。
そしてやはり「giftshopss.com」ってドメインに割り当てられていましたね。

詐欺サイトの旬は短し

本文がこちら。

このようなアカウントに関する重要なメールが「お客様各位」から始まるメールで送られて
くることは絶対にありません。
このようなメールで使われる宛名は必ずユーザー登録した際に使った氏名になります。

唐突に「アカウントの有効期限が切れており」と始まりますが、その理由については
なにも書かれていません。
それに、勝手に24時間後にアカウントが停止されると…
このようなメールホントのメールだったらバカバカしくてやってられませんね(笑)

このメールには「アカウントを更新する」ってボタンがあり、ここが詐欺サイトへのリンクに
なってます。
このリンク先のURLがこちらです。

このメール、2日前に届いていたものなので既に旬が過ぎてて接続はかないませんでした。

ただし、実際に接続されたURLはリダイレクトされて以下のURLに接続されていました。

サイトは簡単に停止することはできますが、ドメインは簡単に捨てられないもの。
ってことでこの”giftyadda.com”ってドメインについて調べてみました。

どうやらイギリスに割り当てられてたドメインのようです。

ホント詐欺サイトの犯人は逃げ足が速く旬は短いものですね。(笑)

では、お気をつけてお過ごしください～