『詐欺メール』「共用ウェブサーバー(s522-kagoya.net)ハードウェア増強メンテナンス実施のご案内」と、来た件

サーバー管理者を狙った悪質な詐欺メール

レンタルサーバーの「カゴヤ・ジャパン」を騙り、サーバーの増強メンテナンスを行うと
ウソの理由で詐欺サイトへのリンクに誘い込もうとする詐欺メールです。

では、メールのプロパティーから見ていきましょう。

件名は
「【レンタルサーバー：重要：277673】共用ウェブサーバー(s522-kagoya.net)ハードウェア増強メンテナンス実施のご案内」
このメールには”[spam]”とスタンプが付けられていませんね(;^_^A
でもこのメールはどこからどう見てもフィッシング詐欺メールです。
だって、このメールが届いたメールアドレスは存在していませんもん(笑)
このメールが届いたのは、”admin@******.***”って”admin”アカウント。
でもね、うちのメールアカウントに”admin”は存在しません。
だから迷子になっていたんです、このメールは。

差出人は
「”カゴヤ・ジャパン サポートセンター” <supportcenter@kagoya.net>」
確かに”kagoya.net”は、カゴヤ・ジャパンさんの所持するドメインですが、残念ながら
メンテナンスの告知で使われるのは”kagoya.net”ではなく”kagoya.com”です。(笑)
と言うわけでこのメールアドレスは完全な偽装。
では、次の項で本当のメールドメインを調査していきます。

差出人は「使えるねっと」ユーザー？！

では、このメールのヘッダーソースを確認し偽物を暴いていきましょう！
ソースから抜き出した「フィールド御三家」がこちらです。

では、この”Received”にあったIPアドレス”203.83.244.178”を使ってそのサーバーの情報を
拾ってみます。
ちょいとマニアックなサイトで検索した結果がこちら。

これによると、このIPアドレスに割り当てているドメインは”cure-palm.com”
そう、”Received”にも書かれていますね。
これが、このメールを送った差出人の本当のメールドメインです。

今度はこのIPアドレスを元にその割り当て地を確認してみます。

表示されたのは「東京都千代田区九段南」付近の地図。
おおよそこの位置に設置されたメールサーバーはこのメールの発信元です。
よく見るとAS名欄にTSUKAERUNET(使えるねっと)とあります。
「使えるねっと」さんは、長野県長野市にあるレンタルサーバーさと書いてあったんですね！
この差出人は「使えるねっと」のユーザーと言うことになります。

メンテ告知なのかアカウント認証の失敗なのか….

引き続き本文を見ていきます。
内容は、サーバーメンテナンスの告知のようにも見えますが、上から読んでいくと途中に
「（自動アカウント検証-失敗）」と記載されています。
これはどういう意味なんでしょうか？
サーバーメンテナンスと言う件名で信用させておいて、突然アカウント認証の失敗と表示し
このリンクに引きずり込もうとしているのでしょうか？
こんな支離滅裂なメールで誰か騙せると本気で思っているのでしょうか？

まぁそれは良いとして、気になるのはこのクソ長いリンクのURLです。
このURLはこんなドメインから始まります。

でも安全な方法を利用して実際にこのURLに接続してみるとリダイレクトされこのような
URLに再度接続されました。

このリンク先サイトの危険度をノートンの「セーフウェブ」で確認してみました。

脅威のレポートは「既知の危険なWebページです」と書かれていますので業界では既に
周知されている模様です。

使われているドメインは、サブドメインを含め”3-143-215-192.cprapid.com”
このドメインも詳しい情報を取得してみます。

結果は、詳しい情報も何もほとんどがプライバシー保護されています。
分かったのは、持ち主はテキサス州に方で割当てているIPアドレスは”3.143.215.192”と
言うこと程度。
では、このIPアドレスを元にその割り当て地を確認してみます。

この地図は、アメリカオハイオ州コロンバス付近のもの。
そんなところで偽サイトを運営しているんですね。

つながるサイトは、”cPanel”と呼ばれるサーバーのコントロールパネルのログイン画面。
もちろん偽物です。

ここにユーザー情報を入力してログインしてしまうと、犯人にその情報が詐取されて
サーバーが乗っ取られてしまいサイトやメールアカウントの改ざんをされるだけではなく
フィッシング詐欺メールやフィッシング詐欺サイトの温床にされたりもします。

まとめ

”admin”アカウント宛でしたのでサーバー管理者をピンスポットで標的にしたものでしょう。
騙されてしまうと大変なことになるのでサーバー管理者の方はくれぐれもご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;