『詐欺メール』『【重要なお知らせ】VISAカード本人情報緊急確認』と、来た件

2025年2月20日

★フィッシング詐欺メール解体新書★

スマホやタブレットが普及し増々便利になる私たちが生活する世の中。
それに比例して増えてくるのが悪質な詐欺行為。
このブログエントリーは、フィッシング詐欺メールの注意喚起拡散を目的とし
悪意を持ったメールを発見次第できる限り迅速なご紹介を心掛けています。
もし気が付かずに詐欺サイトログインしてしまった場合は、まず落ち着いてできる限り早く
パスワードの変更やクレジットカードの利用停止を行ってください。

いつもご覧くださりありがとうございます！

☆当サイトでは、今の観点から不審なメールであるかどうかを解析して行きます☆

件名の見出しを確認
メールアドレスのドメインを確認
宛名を確認
リンク先のドメインを確認

できる限り分かりやすく説明していいます。
最後までお読みいただても5分程度ですのでごゆっくりご覧ください。
では、進めてまいります。

前書き

今回は、『VISAカード』に成り済ます不審なメールのご紹介となります。
『最近行われましたプライバシ-ボリシ-の改定に伴いまして』から始まるメールは不審なメールで良く見掛けるもので、1行目の『ご』の濁点を忘れているのも特徴です。

以下、そのメールです。
※テキストだけコピペしてありますので、性質上文字化け等はご容赦ください。

メール本文

件名：[spam] 【重要なお知らせ】VISAカード本人情報緊急確認
送信者："visajapan" <visajp.mrorruju.anmawztc@service.iyyfw.cn>

最近行われましたプライバシ-ボリシ-の改定に伴いまして、こ確認のお手続きは、一回限りで、数分で終了致します。

お客様によるご確認行為は必須となっており、お客様のアカウント情報のご確認が行われなかった場合は、アカウントが停止される可能性がごさいます。

この確認は義務付けられており、確認していただけない埸合は、アカウントが停止される場合もあります。

お客様にはご迷惑、ご心配をお掛けし、誠に申し訳ございません。
何卒ご理解いただきたくお願い申しあげます。

■ご利用確認はこちら

※あなたの口座の安全のために，請求先情報の確認が完了するまで、お客様のアカウントへのアクセスを停止させていただきますので、ご了承ください。
何卒、よろしくお願い申し上げます。
※24時間以内にご確認がない場合、誠に申し訳ございません、お客様の安全の為、アカウントの利用制限をさせていただきますので、予めご了承ください。

2行に渡って『アカウントが停止』と書かれている本文は、なんとなく日本語の使い方が怪しい感じがしますね。

件名の見出しを確認

この件名の見出しには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

メールアドレスのドメインを確認

送信者として記載されているメールアドレスのドメイン(@より後ろ)は『service.iyyfw.cn』
ここは送信者がいくらでもウソを書くことができる部分で絶対鵜呑みにしてはいけません。
ご覧の通り末尾が『.cn』ですからこのドメインは中国に与えられた国別ドメインです。
因みに『VISAカード』が利用するメールアドレスのドメインは『@visa.co.jp』
自社ドメインがあるにもかかわらず、国際的なカードブランドのVISAカードが中国のドメインでユーザー宛に重要なメールを送るなど絶対にあり得ません。

では、送信者の素性が分かるメールヘッダーの『Receivedフィールド』から情報を探ってみます。
こちらがこのメールのReceivedフィールドがこちらです。

Received: from service.iyyfw.cn (unknown [192.227.209.181])

ドメイン『service.iyyfw.cn』を割当てているIPアドレスとこのReceivedフィールドに記載されているIPアドレスを比較してみましょう。
こちらが『aWebAnalysis』さんで取得したこのドメインに割当てているIPアドレスです。

全然違いますよね、この結果からこの送信者が使ったとされる『service.iyyfw.cn』を使ったメールアドレスは偽装であることが断定できます。

このReceivedフィールドの末尾にあるIPアドレスからメールの発信地を『IP調査兵団』で導き出してみると、カナダのトロント市庁舎付近であることが分かりました。

宛名を確認

通常大切なメールの冒頭には『○□△ 様』と言ったように『宛名』が書かれています。
でもこのメールにはその宛名が存在しません。
そりゃそうですよね、このメールの送信者は受信者の情報をメールアドレスしか知らないわけだから宛名なんて書きようがありません。
どうせどこかから漏洩したメールアドレスのリストを入手し、そのメール宛に無選別でこういったメールを送信しているのですから。

リンク先のドメインを確認

さて、本文の『■ご利用確認はこちら』と書かれた部分に付けられた詐欺サイトへのリンクですがURLは以下の通りです。
さて、本文に『』の公式ドメインを使って直書きされた詐欺サイトへのリンクですが、当然偽装されていて、実際に接続されるサイトのURLは以下の通りです。
【h**ps://visa-carnionish.dinvp.cn/pay-with-featured】
(直リンク防止のため一部の文字を変更してあります)
これまた『VISAカード』のドメインとは異なるものが利用されていますね。
このドメインに関する詳しい情報を『Grupo』さんで取得してみます。