【ANA急増警報】仕事用アドレスにも到達！「マイルキャンペーン締切迫る」の正体を暴く――同日11件以上殺到した異常事態を解析

今回はいつもと少し違う形の記事です。本日午前だけで、ANAを騙る詐欺メールが編集部に11件以上、さらに私の仕事用アドレスにまで殺到するという異常事態が発生しました。まずはその実態を件名一覧でご覧いただき、そのうえで仕事用アドレスに届いた1通を詳しく解析します。

■ 本日午前、殺到したANAなりすましメール一覧

受信時刻順に並べると、9時30分から11時23分までのわずか2時間弱で、次々と異なる件名・差出人名のメールが届いていたことが分かります。

これほど短時間に、これほど多様な件名・差出人名でなりすましメールが届くのは異例の事態です。「マイル延長」「補償申請」「お客様情報の再登録」と、テーマを次々に変えながら大量配信していると見られ、当ラボでもマイル延長系については既に別記事で解析済みです。今回は、この波の中でも一般的な受信箱をすり抜けて仕事用アドレスにまで届いた1通を詳しく見ていきます。

■ 仕事用アドレスに届いた「マイルキャンペーン締切迫る」の詳細解析

■ メール本文の再現

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

ANAマイレージクラブからのご案内

いつもANAマイレージクラブをご利用いただき、誠にありがとうございます。
以下の内容に関して、マイルが自動的に加算されていないことを確認いたしました。
「ANAマイレージクラブ会員情報」をご確認いただき、必要に応じて修正をお願い申し上げます。

未加算マイル
25,152マイル

手続き期限
メール受信後3日以内

ご確認のお願い
ご登録情報と予約時の情報が一致しないため、マイルが自動加算されていません。
下記のボタンより情報をご確認のうえ、手動でマイルの加算をお願いいたします。

［手動で修正する］

※ URLの有効期限は72時間以内です。
※ 加算されたマイルの有効期限は積算日より1年間となります。

実際に届いたメールの画面。装飾を一切排したテキストメール形式

これまでご紹介してきた多くの詐欺メールと違い、色付きのボタンや画像を使った派手な装飾が一切ありません。淡々としたテキストメール形式のほうが、かえって業務連絡らしく見えて警戒心を下げる効果を狙っている可能性があります。「25,152マイル」という具体的な数字と「メール受信後3日以内」「URLの有効期限は72時間以内」という二重の期限設定で、焦りを煽る構成です。

■ 送信ルート及び偽装判定：日本の地域名を騙る多重偽装ヘッダー

今回のメールで最も注目すべきは、本文へたどり着くまでのヘッダー内に、日本の地域・組織を思わせる名称を持つ複数の偽装中継記録（Received行）が積み重なっていた点です。「smtp.form-resource.gr.jp」（非営利団体等が使う.gr.jpドメイン風）、「smtp.chain-systems.yamagata.jp」（山形県の地域ドメイン風）といった、いかにも日本の団体が使っていそうな名称が並んでいました。

しかし、これらの行に記載されたIPアドレスを実際に調べたところ、「.gr.jp」を名乗る行のIPは実際にはカザフスタン、「yamagata.jp」を名乗る行のIPは実際にはメキシコという、地名や組織名とは全く無関係な国であることが判明しました。さらに別の行では実在の大手プロバイダ「biglobe.ne.jp」まで登場しており、ヘッダー解析を複雑に見せかけて正当性を装う、非常に手の込んだ偽装工作です。実際の送信元を特定するには、必ず「Received-SPF」に記載された「client-ip」を基準にする必要があります。

■ フィッシングサイト詳細解析：どこにもブロックされない危険な着地

今回最も不気味だったのは、ウイルスバスターをはじめとするセキュリティソフトの警告が一切表示されなかった点です。これまでの記事でご紹介してきた事例の多くは、着地前に何らかの警告画面を挟んでいましたが、今回のリンクはどこからもブロックされることなく、あっさりと次の画面へ進んでしまいました。

まず表示されたのは、hCaptcha風の「I’m not a robot」というチェックボックスです。

実在のCAPTCHAサービスを模した確認画面。自動検知ツールを回避する目的とみられる

チェックを通過すると、ANA公式サイトとほぼ同じデザインの「会員ログイン」画面が表示されます。

最終着地点の偽ログイン画面。フッターのグループ企業情報リンクまで作り込まれている

添付ファイル「ana.trc」については、拡張子が不審なため当編集部では開封・解析していません。

■ 注意点と対処法

ANA公式の「ANAグループを装った詐欺メール・詐欺電話等にご注意ください」ページにも、実例や対処法が詳しく掲載されています。あわせてご確認ください。

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net

使用配色テーマ：Forest