『詐欺メール』東京ガスから『【重要】ガス料金のお支払いが遅れています』と、来た件

2025年3月19日

★フィッシング詐欺メール解体新書★

スマホやタブレットが普及し増々便利になる私たちが生活する世の中。
それに比例して増えてくるのが悪質な詐欺行為。
このブログエントリーは、フィッシング詐欺メールの注意喚起拡散を目的とし
悪意を持ったメールを発見次第できる限り迅速なご紹介を心掛けています。
もし気が付かずに詐欺サイトログインしてしまった場合は、まず落ち着いてできる限り早く
パスワードの変更やクレジットカードの利用停止を行ってください。

いつもご覧くださりありがとうございます！

☆当サイトでは、今の観点から不審なメールであるかどうかを解析して行きます☆

件名の見出しを確認
メールアドレスのドメインを確認
宛名を確認
リンク先のドメインを確認

できる限り分かりやすく説明していいます。
最後までお読みいただても5分程度ですのでごゆっくりご覧ください。
では、進めてまいります。

1. 前書き
2. メール本文
3. 件名の見出しを確認
4. メールアドレスのドメインを確認
5. 宛名を確認
6. リンク先のドメインを確認
7. まとめ

前書き

今回は、『東京ガス』に成り済ます不審なメールのご紹介となります。

最初に書いておきますが、私は名古屋在住ですので供給ガス会社は『東京ガス』ではなく『東邦ガス』です。
それなのに東京ガスからメールが届くのは不自然ですよね。
東京ガスがいったい私に何のようなのでしょうか？

では、このメールも詳しく見ていくことにしましょう。

以下、そのメールです。
※テキストだけコピペしてありますので、性質上文字化け等はご容赦ください。

メール本文

ここから本文
↓↓↓↓↓↓

件名：【重要】ガス料金のお支払いが遅れています（至急ご確認ください）
送信者：myTOKYOGAS|東京ガス <members.tokyo-gas.mail828F@unext.jp>

TOKYO GAS お客さまセンター
0570-002211
受付時間 9:00～19:00

ガス料金に関する重要なお知らせ
東京ガスをご利用いただき、誠にありがとうございます。

お客さまのガス料金のお支払いがすでに7日間遅れています。

現在、延滞額：80.2円が発生しております。
2025年03月21日23:59までにお支払いをお願いいたします。
お支払い方法は以下からお選びいただけます：
・口座振替
・クレジットカード払い
・コンビニエンスストア払い
・銀行振込

お支払方法の詳細

ご不明な点がございましたら、お手数ですが下記連絡先までお問い合わせください。
安全に関するお知らせ：
東京ガスの従業員を装った不審な訪問や電話にご注意ください。当社からのお知らせは、必ずお客さま番号をご確認の上、ご対応をお願いいたします。
東京ガス株式会社
〒105-8527 東京都港区海岸1-5-20

↑↑↑↑↑↑
本文ここまで

へぇ～っ、供給されていないガス会社から未払いの延滞金に関するメールのようです。
それも80.2円って…
東京ガスってそんなに安いんですか？！
それに小数点以下って意味わかりません…(笑)

件名の見出しを確認

この件名の見出しには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

メールアドレスのドメインを確認

送信者として記載されているメールアドレスのドメイン(@より後ろ)は『unext.jp』
ここは送信者がいくらでもウソを書くことができる部分で絶対鵜呑みにしてはいけません。
あれ？このドメインってあの動画コンテンツ配信の『U-NEXT』さんのものじゃないですか！
なんでU-NEXTが東京ガスのメールを送ってくるの？…あり得ないわ。
因みに東京ガスが利用するメールアドレスのドメインは『@tokyo-gas.co.jp』です。
故にこのドメイン以外のメールアドレスで届いた同社からのメールは全て偽物と言うことになります。

では、送信者の素性が分かるメールヘッダーの『Receivedフィールド』から情報を探ってみます。
こちらがこのメールのReceivedフィールドがこちらです。

Received: from C202503182344065.local (unknown [202.95.7.98])

経験上、ここに『C』から始まる数字のlocalドメインが記載されているものは全て詐欺メール。
最近このドメインが多く見られます。

ここの末尾に記載のIPアドレスは、送信サーバーが自身で書き込むもので、偽装することはできません。
このReceivedフィールドの末尾にあるIPアドレスからメールの発信地を『IP調査兵団』で導き出してみると、香港付近であることが分かりました。
これもReceivedフィールドに『C』から始まる数字のlocalドメインが記載されているものの特徴です。

宛名を確認

このような延滞金に関する大切なメールの冒頭には『○□△ 様』と言ったように『宛名』が書かれていますが、でもこのメールにはその宛名が存在しません。
でも仮にもしこれが本当に東京ガスからだとすれば、ユーザーの氏名を知っているはずですから宛名が無いのはとても不自然です。
ならどうしてこのような書き方をするのでしょうか？
その原因は、このメールの送信者は受信者の情報をメールアドレスしか知らないわけだから宛名なんて書きようがないからです。
どうせどこかから漏洩したメールアドレスのリストを入手し、そのメール宛に無選別でこういったメールを送信しているのでしょう。

リンク先のドメインを確認

さて、本文の『お支払方法の詳細』と書かれた部分に付けられた詐欺サイトへのリンクですがURLは以下の通りです。
【h**ps://www3.dgsdadc.cyou/%EF%BC%9Fmembers.tokyo-gas.co.jp/#https://members.tokyo-gas.co.jp/Bh8TSkJu】
(直リンク防止のため一部の文字を変更してあります)
これまた東京ガスのドメインとは異なるものが利用されていますね。
先程と同様にこのドメインに関する詳しい情報を『Grupo』さんで取得してみます。

『Registrant Organization』には『Super Privacy Service LTD c/o Dynadot』と記載されています。
これは、米国のドメインレジストラ『Dynadot』が提供するドメインプライバシー保護サービスで、このサービスを利用すると、ドメインの登録者の各種情報(名前、住所、電話番号、メールアドレスなど)が公開されるのを防ぐため、その代わりにこのように、Super Privacy Service LTD c/o Dynadotの情報が表示され、スパムや不正アクセスからの保護が強化することができます。
半面最近は、このサービスが藪蛇(やぶへび)になりこういったサイバー犯罪の温床とされることが多く見られます。

割当てているIPアドレスは『45.153.131.110』
『IP調査兵団』でこのIPアドレスからそのロケーション地域を調べると、先程とは異なるものの再び香港付近であることが分かりました。