りそなデビットカード「ご利用および利用代金引落しのご連絡」は詐欺！具体的な利用明細で信憑性を演出する手口と北米分散型インフラを解析
お盆前のこの時期、カードの利用明細をこまめにチェックしている方も多いのではないでしょうか。今回はその習慣を逆手に取った、細部まで作り込まれたデビットカード偽装メールをご紹介します。
📋 調査レポート：概要
| 件名 | [spam] りそなデビットカード（Visa）ご利用およびご利用代金引落しのご連絡 |
| 表示上の送信者 | “会員通知メール” <mail15@mail15.kvhtsji.cn> |
| SPF／DKIM判定 | ともにPass（※安全の証明にはなりません） |
| 送信元 | アメリカ・ワシントン州・シアトル（HostPapa／Hostwinds） |
| 誘導先 | カナダ・トロント／アメリカ・バッファロー（2拠点に分散） |
★★★★☆
（両誘導先ともウイルスバスターが検知・ブロック済み）
⚠️ 本文中のリンクは絶対にクリックしないでください。具体的な利用金額が記載されていても、それは正規メールの証明にはなりません。
届いたメールの内容
実際に届いたメールの画面です。
実際に届いたりそなデビットカード偽装メールの表示画面
今回の特徴は、「ご利用日時」「ご利用金額」「承認番号」「ご利用加盟店名」まで具体的な数字を記載している点です。本物の利用通知メールに極めて近い体裁で、身に覚えのない金額を見て「不正利用では」と不安になり、つい内容を確認しようとしてしまう心理を突いています。
ただし、こうした具体的な数字は攻撃者が自由に設定できるものであり、それらしい数字が書かれていること自体は正規メールの証拠にはなりません。むしろ「身に覚えのない利用明細が届いた」時点で、詐欺を疑うサインと捉えるべきです。
送信ルートと偽装の判定
※メールヘッダー詳細は個人情報保護のため非掲載です。当ラボで確認した要点のみお伝えします。
送信元の認証はSPF・DKIMともに「Pass」でしたが、これも攻撃者が用意した独自ドメインが自分自身を正しく認証しているだけです。実際の送信元IPをip-sc.netで確認したところ、アメリカ・ワシントン州シアトルのホスティング事業者（HostPapa／Hostwinds）でした。
フィッシングサイト詳細解析
メール本文中には2つの誘導リンクが設置されていました。それぞれ異なるドメインでしたが、名前解決したところ、興味深いことに2つとも異なる国・異なるホスティング事業者に着地する「分散型」の構成であることが分かりました。
誘導先①：カナダ・オンタリオ州トロントのホスティング事業者（Netminders Server Hosting）に着地。ホスト名はabshire.obversuaded.us.orgという、機械的に自動生成されたと思われる不自然な文字列でした。
誘導先②：アメリカ・ニューヨーク州バッファローのホスティング事業者（HostPapa／Colocrossing）に着地。ドメイン名自体は「旅行会社」や「ワイン農園」を思わせる一般的な単語が使われており、詐欺とは無関係なドメインが乗っ取られたか、なりすまして取得されたものと考えられます。
いずれのリンクも、アクセスすると以下のような「アクセス確認」画面が表示される多段構成になっていました。
「アクセス確認」を装ったボット判定画面（初期表示）
「アクセス確認」を装ったボット判定画面（処理中表示）
これは機械的な調査ツールを足止めするためのクローキングと考えられます。今回、2つのリンクともウイルスバスター クラウドが以下の通り検知・ブロックしていました。
誘導先①（トロント）：ウイルスバスター クラウドによる検知・ブロック
誘導先①：Chromeセーフブラウジングによる警告
誘導先②（バッファロー）：ウイルスバスター クラウドによる検知・ブロック
誘導先②：Chromeセーフブラウジングによる警告
両方ともセキュリティソフトによって早期にブロックされていましたが、万が一すり抜けた場合には、以下のような精巧な偽ログイン画面が表示されると考えられます。
本物そっくりに作られた「りそな銀行 マイゲート」偽ログイン画面
ロゴ・配色ともに本物のマイゲートを精巧に模しており、ここにログインID・パスワードを入力してしまうと、攻撃者に口座情報が渡ってしまいます。
注意点と対処法
- メール内のリンクは絶対にクリックしないでください。利用明細の確認は公式アプリまたはブックマーク済みの公式サイトから行ってください。
- 具体的な金額や加盟店名が書かれていても、それだけでは正規メールの証拠にはなりません。
- 身に覚えのない利用明細が届いた場合は、メール内のリンクではなく、公式サイトや電話（公式に確認済みの番号）で直接確認してください。
- セキュリティソフトの警告が出た場合は、絶対に「このまま進む」を選択しないでください。
- 万が一ログイン情報を入力してしまった場合は、該当サービスのパスワードをすぐに変更し、カード会社にもご連絡ください。
具体的な数字が書かれているほど、つい信じてしまいがちです。「詳しいから本物」ではなく「詳しいからこそ疑う」意識を持つことが、被害を防ぐ一番の武器になります。
Data Provided by Heartland-Lab Security Research Unit
送信元IPの詳細情報はip-sc.netの公開データを参照しています。
使用配色テーマ：Forest
今、拡散中の詐欺メール
