「【American Express】重要なお知らせ」は詐欺！中国QQメール経由の送信痕跡と不審な.flv添付ファイルの正体
今回は少し毛色の違う一通をご紹介します。American Expressを騙るフィッシングメールなのですが、本文だけでなく「見慣れない拡張子の添付ファイル」まで付いていました。開封は絶対にしていませんが、その存在自体が重要な警告サインです。
ご覧の通り、このメールはAmerican Express公式を装った真っ赤な偽物です。添付ファイルも本文中のリンクも、絶対に開かないでください。
■ 届いたメールの内容
※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。
【AMERICAN EXPRESS】ご登録情報の再確認 この度は、アメリカン・エキスプレスのカードをご利用いただき、誠にありがとうございます。 昨今の第三者不正利用の急増に伴い、弊社では「不正利用監視システム」を導入し、24時間365日体制でカードのご利用をモニタリングしております。 このたび、ご本人様のご利用かどうかを確認させていただきたいお取引がありましたため、誠に勝手ながらカードのご利用を一部制限し、ご連絡させていただきました。 つきましては、下記リンクよりご利用確認にご協力をお願い申し上げます。 ［ご利用確認はこちら］ ご回答がいただけない場合、カードのご利用制限が継続される可能性がございます。ご不便をおかけいたしますが、ご理解のほどお願い申し上げます。 ※本メールは自動送信システムより配信されています。ご返信いただいても対応できませんのでご了承ください。 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 発行者：アメリカン・エキスプレス・インターナショナル, Inc. 掲載内容の無断転載・再配布は禁止されています。 © 2018 American Express International, Inc. All rights reserved. ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
実際に受信した詐欺メールの画面。件名の先頭に添付ファイルのアイコンが表示されている
■ 送信ルートおよび偽装判定
送信元IP（Received-SPFヘッダーより特定）：
4.193.113.11（HELO：mail.htpz.bzociknr.com）
回線情報（ip-sc.net確認）：
プロバイダ：Microsoft Corporation／AS8075（MICROSOFT-CORP-MSN-AS-BLOCK）／利用形式：hosting
所在地：シンガポール
SPF判定：
Pass
💡 用語解説：SPFが「Pass」でも安全とは限らない
SPFは「送信元サーバーが、名乗っているドメインの管理者から正式に許可されているか」を確認する仕組みです。今回の送信元ドメイン「htpz.bzociknr.com」自体が攻撃者が用意した偽ドメインのため、その持ち主（攻撃者）が自分でSPFを設定していれば普通に「Pass」と判定されます。SPF Passは「American Express本人からのメールである」ことの証明には一切なりません。
送信元アドレスは「admin@htpz.bzociknr.com」となっており、Amazon.co.jpとは無関係な文字列の羅列ドメインです。さらにメールヘッダーの Message-ID や X-QQ-Mailer の記載から、中国Tencent社のQQメール系の送信基盤を経由して作成・送信された痕跡が見つかりました。送信元サーバー自体はMicrosoft Azure（シンガポール）でホストされており、複数の海外インフラを組み合わせて送っていることがうかがえます。
■ 不審な添付ファイルについて
今回のメールには「IbJsRPqLI.flv」という動画ファイル（Flash Video）を装った添付ファイルが同梱されていました。感染リスクを避けるため、当ラボでは一切開封・実行しておりません。ビジネスメールを装いながら動画ファイルが添付されている時点で強い違和感があり、悪意あるプログラムやスクリプトを偽装したファイルである可能性を否定できません。
■ フィッシングサイト詳細解析
誘導先URL（伏せ字）：
hxxps://www.tonmc[.]com/
【サイトの状態】：
Google Chromeの安全ブラウジング機能（セーフブラウジング）がこのサイトを「危険なサイト」として警告していました。さらに確認時点では接続自体が拒否される状態（ERR_CONNECTION_REFUSED）になっており、サイトの運営自体が停止・遮断されているとみられます。
誘導先URLへアクセスしようとすると、Google Chromeのセーフブラウジング機能がフィッシングサイトとして警告した画面
確認時点では接続自体が拒否されており、サイトが停止している状態だった
■ 注意点と対処法
- 添付ファイルは絶対に開かない：特に見慣れない拡張子（.flv、.zip、.exe、.jsなど）が付いたファイルは、ビジネスメールを装っていても開いてはいけません。
- SPF Passを過信しない：「認証に成功している＝本物」ではありません。送信元ドメインそのものが偽物であれば意味がありません。
- 公式アプリ・ブックマークから確認：カードの利用制限や不正利用の心当たりは、必ずAmerican Express公式サイト・アプリから直接確認してください。
- セキュリティソフトの警告を無視しない：Chromeなどのブラウザが「危険なサイト」と警告した場合は、絶対にそのまま進まないでください。
添付ファイルという一手間を加えてきた今回のメールは、これまでのAmEx偽装メールよりも一段階手が込んでいます。「知っている手口だから大丈夫」と油断せず、見慣れないファイルが付いたメールは開かずに削除する習慣を徹底しましょう。この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。
Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
配色テーマ：Teal
今、拡散中の詐欺メール
