『協会』なのに『当社』 いつもご覧くださりありがとうございます！ 週末、メールを放置していたらなんと受信メールが400通以上でその殆どがAmazonやヤマト運輸を騙る悪質なメールばかり…(;´Д｀)
こんなの1週間放置したら迷惑メールでサーバーが溢れてしまいそうです。 さてそんな中から今回ご紹介するのはこちらのメール。
 『信用金庫』なんて抽象的な差出人名が書いてありますが、これ全国の信用金庫を束ねる一般社団法人『全国信用金庫協会』を騙ったもの。
でも、差出人のメールアドレスにあるドメインは全国信用金庫協会には似ても似つかぬもの。
もうこれだけでも詐欺メール確定ですが、本文には金融機関を騙る詐欺メールで頻繁に見掛ける『犯罪収益移転防止法』をネタにしたもの。
更に協会という名の団体を名乗っていながら本文では自団体のことを『当社』って…
テンプレートを流用するのはそりゃ楽でいいかもしれないけど、アレンジもしないとバレバレです。 では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきます。 件名は『[spam] 【信用金庫】お客さま情報等の確認について』
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。 差出人は『”信用金庫” <no-reply@kaiyun-1914.com>』
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。
発信地は東京都港区 では、このメールが悪意のあるメールであることを立証していきましょうか！
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、『表示(V)』⇒『メッセージのソース(O)』と進むと見られますよ。 | Received:『from mail1.kaiyun-1914.com (unknown [157.120.39.209])』 | ここに掲げた”Received”は、ヘッダー内に複数ある”Received”の中で時系列が一番古いもので
このメールを差出したデバイスの情報と最初に通過したサーバーの情報が刻み込まれています。 末尾の4つに区切られた数字の集まりはIPアドレスと呼ばれるいわばインターネット上の住所や電話番号で同じ数字の集まりは世界中に1つしかありません。
因みに、この数字の集まりじゃあまりにも煩雑でわかりにくいので、それに文字を割り当て分かり易くしたものがドメインと呼ばれるものです。 ”Received”の前半のドメイン部分は、往々にして偽装されていることが多いものですが、末尾のIPアドレスは送信者のデバイスに割当てられたもので偽装することができません。
ここに記載されているIPアドレスは、差出人が利用したメールサーバーの情報でこれを紐解けば差出人の素性が見えてきます。 このIPアドレスを元に送信に使われた回線情報とその割り当て地を『IP調査兵団』さんで確認してみます。
 (※IPアドレスから導き出された位置情報は、必ずしもそれほど正確ではありません) おや、この付近地図は詐欺メール調査では初めてじゃないかと思います。
代表地点として地図に立てられたピンの位置は、東京都港区付近。
あくまで大雑把な代表地点なのをお忘れなく。
そして送信に利用されたプロバイダーは『NTT PC Communications, Inc.』
このメールは、この付近に設置されたデバイスから発信され、このプロバイダーのメールサーバーを介して届けられたようです。
香港で運営されているサイトは現在一時的に接続不可 では引き続き本文。 | 当社では、犯罪収益移転防止法に基づき、お取引を行う目的等を確認させていただいております。 また、この度のご案内は、当社ご利用規約第5条1項3に基づくご依頼となります。 ◆お客様お客様の直近の取引についていくつかのご質問がございます、下記のリンクをアクセスし、ご回答ください。 h**ps://sdslzj.com ※一定期間ご確認いただけない場合、口座取引を一部制限させていただきます。 ※回答が完了しますと、通常どおりログイン後のお手続きが可能になります。 お客様のご返信内容を確認後、利用制限の解除を検討させていただきますので、できる限り詳細にご回答ください。 | ※直リンク防止のためリンクのURLの一部の文字を変更してあります。 このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは『』って書かれたところに付けられていて、
そのリンク先をコンピュータセキュリティブランドのトレンドマイクロの『サイトセーフティーセンター』で検索するとその危険度はこのように評価されていました。
 既に『フィッシングサイト』としてしっかりブラックリストに登録済みですね。 このURLで使われているドメインは”sdslzj.com”
このドメインにまつわる情報を『aWebAnalysis』さんで取得してみます。
 このドメインを割当てているIPアドレスは”202.79.172.39”
このIPアドレスを元にサイト運営に利用されているホスティングサービスとその割り当て地を再び『IP調査兵団』さんで確認してみます。
 (※IPアドレスから導き出された位置情報は、必ずしもそれほど正確ではありません) 代表地点として地図に立てられたピンの位置は、香港の上環(Sheung Wan)付近。
こちらもあくまで大雑把な代表地点でございます。
利用されているホスティングサービスも香港に拠点を置く『CTG Server Ltd.』
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。 リンク先を訪れてみると、そこは『502 Bad Gateway』と書かれたエラーページでした。
これはサーバー側で何らかの異常が発生している場合のエラーメッセージ。
今は接続できませんが、エラーが解消されれば正常に接続される可能性大。
今後も注意が必要なサイトですね。
まとめ 恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。 いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;
| 
