【KAGOYA詐欺メール】「保留中の重要なメールが12通あります」は偽物！Cloudflare経由でActive! mailへ誘導するフィッシングを解析

夏休みや長期休暇の前後は、メール確認が遅れがちになる時期です。そこへ「重要なメールが12通保留されている」と届けば、慌てて確認したくなるかもしれません。しかし、今回の通知はその心理を利用した偽物でした。

届いたメールの内容

件名：要対応：保留中の重要なメールが12通あります

現在、12通の重要なメールの配送が保留されています。
これらのメールを配送するには、お客様による承認が必要です。
重要なメールを失わないよう、早急に手続きを行ってください。

こちらをクリックして、保留中のメールを承認してください

国内ホスティング事業者のセキュリティチーム

実際のメール画面。「12通」という具体的な数字で不安をあおっています。

送信経路から分かったこと

メールは、Amazon Web Servicesの東京リージョンにあるIPアドレスから、外部のメール送信サーバーへ認証付きで投入された形跡がありました。その後、受信側のメールサーバーへ配送されています。

• 認証付きSMTPの接続元：54.248.130.157
• SPF判定対象IP：133.18.188.244
• SPF：Pass
• DKIM：署名なし

クリック後は複数のサイトを経由

メール内のボタンは、いきなり偽ログイン画面へ移動するのではなく、韓国のメール配信サービスで使われる形式のクリック追跡URLを経由していました。その後、別サイトを挟み、最終的に偽ドメインへ移動します。

不審URLは安全のため非クリック化すると、次のようになります。

hxxps://au-activemail-kagoya-jp[.]com/kmail/login.html?__cf_chl_rt_tk=...

「セキュリティ検証」は安全の証明ではない

偽サイトへアクセスすると、最初にCloudflare風の「セキュリティ検証」画面が表示されました。こうした画面は正規サイトでも使われますが、表示されたから安全という意味ではありません。

URL末尾の__cf_chl_rt_tkは、アクセス時の検証で使われるトークンです。攻撃者はこの仕組みを利用し、自動解析ツールやセキュリティ調査を通りにくくしている可能性があります。

偽サイトの手前で表示されたセキュリティ検証画面。見慣れた表示でも油断は禁物です。

最終的にActive! mailの偽ログイン画面へ

検証を通過すると、企業や組織で利用されるWebメール「Active! mail」を模倣したログイン画面が表示されました。ここで入力したメールアドレスやパスワードは、攻撃者へ送信されるおそれがあります。

偽ドメインには「activemail」「kagoya」「jp」と、正規サービスを連想させる単語が並べられています。しかし、本当のドメインは最後の部分まで確認する必要があります。単語が入っているだけで公式サイトにはなりません。少々欲張って名前を詰め込みすぎたようにも見えますが、見慣れた語句が多いほど信じやすくなるため注意が必要です。

Active! mailを模倣したログイン画面。ここへ認証情報を入力してはいけません。

セキュリティ製品もフィッシングと判定

確認時には、ブラウザ側の警告に加え、Trend Microのウイルスバスタークラウドも誘導先をフィッシングサイトとして遮断しました。これは、当該ページが認証情報の窃取に利用されている可能性を強く示す材料です。

Trend Microによるフィッシングサイト警告。警告が表示された場合は先へ進まないでください。

リンク先ドメインの調査結果

届いたときの対処法

1. メール内のリンクを押さない。 保留メールの確認は、普段使っているブックマークや社内案内からWebメールへアクセスしてください。
2. ID・パスワードを入力しない。 セキュリティ検証画面を通過した後でも、URLが公式ドメインか確認してください。
3. 入力してしまった場合は直ちにパスワード変更。 同じパスワードを使い回しているサービスも変更し、多要素認証を設定してください。
4. 管理者へ連絡。 会社や組織のメールの場合は、情報システム担当者へ早めに報告してください。