『詐欺メール』楽天カードから「カウントのパスワードを更新してください。」と、来た件

2022年1月26日

楽天がこのようなメールアドレスで？？

※ご注意ください！
当エントリーは迷惑メールの注意喚起を目的とし、悪意を持ったメールをご紹介しています。
このようなメールを受け取っても絶対に本文中のリンクをクリックしてはいけません！
リンク先は正規サイトを模した完全コピーの偽サイトで、フォームにアカウント情報や
クレジットカードの入力させそれらの情報を詐取します。
被害に遭わないために絶対にリンクはクリックせず、どうしても気になる場合は
ブックマークしてあるリンクを使うかスマホアプリをお使いになってログインするよう
心掛けてください！

1. 差出人のメールアドレスに注目！
2. 差出人は詐欺メールのご常連さん
3. 日本語って難しいよね？
4. まとめ

差出人のメールアドレスに注目！

楽天カードを騙り、第三者不正利用をネタに詐欺サイトへ誘導しクレジットカード情報を
盗み取ろうとするフィッシング詐欺メールが届きました！
なんとなく怪しいフォントが使われた詐欺メールがこちらです。

では、メールのプロパティーから見ていきましょう。

件名は
「[spam] アカウントのパスワードを更新してください。」
”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「楽天カード株式会社 <apikey@abletorakutenloginmail.buzz>」
何ともはや…
楽天グループがこのようなドメインのメールを使うのでしょうか？…(;^_^A
楽天カードからのメールは必ず以下のような差出人とメールアドレスで送られてきます。
「楽天カード株式会社 <info@mail.rakuten-card.co.jp>」

差出人は詐欺メールのご常連さん

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

Return-Path: 「<apikey@abletorakutenloginmail.buzz>」

”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。

Message-ID:「<C47EA020CF049ACD0BBC0E956C0CD079@rakuten.co.jp>」

”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。

Received:「from mail0.abletorakutenloginmail.buzz (unknown [31.13.213.6])」

”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。

まず、メールアドレスのドメイン”abletorakutenloginmail.buzz”と”Received”にあった
IPアドレス”31.13.213.6”の相関性を確認しメールアドレスの信憑性を確認してみました。

この結果”abletorakutenloginmail.buzz”と”Received”にあったIPアドレス”31.13.213.6”の
相関性は合致しましたので、差出人は自身のメールアドレスを使いこのメールを送ってきた
事になります。
また、このドメインが「アメリカ,アリゾナ州,フェニックス」にある企業の持ち物で
あることが判明。
実はこの企業、詐欺メールのご常連さん。(笑)
相変わらず悪に手を染めていらっしゃるんですね。(汗)

因みにIPアドレス”31.13.213.6”の割り当て地を調べてみたところアメリカのアトランタにある
ジョージア州立大学付近の地図が表示されました。
どうやらご常連は、この付近にあるメールサーバーをりようしたようです。

日本語って難しいよね？

続きまして本文です。
詳しいことは図中に書き込んでおきました。

第一のポイントは、宛名。
楽天グループからのメールで、必要な際は必ず宛名はユーザーの氏名が書かれているはずです。
これは、アマゾンにも言えることなのでフィッシング詐欺メールを見分ける際に重要な
ポイントとなります。

説明文の以下のくだり。

弊社のモニタリングにより。普段と違う不審なログインが見つかり。
誰かがお客様のいつもお使いになった支払方法を変更しようとしていたそうです

句読点が無茶苦茶。
やはり海外の方には日本語は難しいようですね…

信憑性を持たせるために箇条書きで書かれてる各項目。
この中にあるIPアドレスの割り当て地を先程と同じ要領で調べてみました。
ここには「埼玉県川越市」と書かれていましたが、実際は「東京都港区」付近。
この結果から、IPアドレスがでたらめだったことが分かりますよね。

ところで、最後のくだりにある”メ”はどんな意味があるのでしょうか？
すごく気になるんですけど…(;^_^A

さて、フィッシング詐欺メールの最大の特徴は、詐欺サイトへのリンクが必ず付けられて
いることです。
そのリンクは当然このメールにも付けられており、そのリンク先のURLがこちらです。

まず、そのリンク先の危険度について、トレンドマイクロの「セーフティーセンター」で
確認してみました。
すると…

業界では、既にこのサイトは危険性が高いと判断されているようです。

このURLで使われているドメインは”bewareofleaking.abletorakutenlogin.xyz”
ここで一つ覚えておきたいのは”.xyz”と言うドメインの事。
実はこのドメイン、格安で入手できることで知られており、サイバー犯罪の使い捨て用に
用いられることが多いのです。
”.xyz”がすべて悪いと言うのではありませんので悪しからず…
因みにこちらは、本日現在のお名前ドットコムさんでの”.xyz”の取得料金です。
1年目が25円とは驚きですよね！