【要対応】お支払い方法の更新が必要です｜カード情報をご確認くださいNo.95134はメルカリを装うフィッシングメール

届いたメールの内容

件名は「【要対応】お支払い方法の更新が必要です｜カード情報をご確認くださいNo.95134」。カードの有効期限切れや利用停止を理由に、支払い方法の更新を求めています。

このたびはメルカリをご利用いただき、誠にありがとうございます。

■ お支払い機能が一時停止中です

ご登録いただいているクレジットカードの有効期限が切れている、
またはご利用が停止されていることが確認されたため、
現在以下の機能がご利用いただけない状態となっております。

・商品の購入および決済
・メルカリポイントの購入
・メルカリギフト券の購入

▼ カード情報の登録・更新はこちら
（メール上では正規サイトに見えるリンクを表示）

実際に届いた、カード情報の更新を促すメール画面

本文にはメルカリの正規URLに見える文字列が表示されていますが、実際の接続先は別ドメインでした。画面に見えるURLと、リンクの本当の行き先が同じとは限りません。

送信ルートと偽装のポイント

確認できた送信元IPは 20.121.196.49 で、Microsoft Corporationのクラウド基盤に割り当てられていました。クラウドサービスは正規企業も利用しますが、第三者に悪用されることもあります。

• SPF判定はpassでしたが、これは「表示されたブランドが本物」という意味ではありません。
• DKIMはヘッダー画像だけでは検証結果を確定できないため、本記事ではunknownとして扱います。
• 最重要の判断材料は、リンク先がメルカリ公式ドメインではないことです。

差出人名や認証結果の一部だけで安全と判断せず、最終的な接続先ドメインを確認することが大切です。

誘導先では二重に警告された

誘導先の hxxps://oravexilena[.]info/jp/ へアクセスすると、まずウイルスバスターがフィッシングサイトとして遮断しました。

ウイルスバスターが表示したフィッシングサイト警告

さらにChromeでも「危険なサイト」として赤い警告画面が表示されました。複数の安全機能から警告されている時点で、先へ進んではいけません。

Google Chromeが表示した危険サイト警告

警告の先には偽ログイン画面

警告を越えて表示されたのは、メルカリのデザインを模したログイン画面でした。メールアドレスまたは電話番号とパスワードを入力させる作りです。

メルカリ公式を模して作られた偽ログイン画面

見た目は本物に近くても、アドレス欄のドメインはメルカリ公式ではありません。攻撃者側も外見だけは随分きれいに整えていますが、住所にあたるドメインまではごまかせません。

フィッシングサイトのサーバー情報

誘導先ドメインは調査時点で 43.167.8.159 に名前解決され、Tencent Cloud系のホスティング基盤が使われていました。位置情報サービスでは日本国内として観測されています。

※IPアドレスの位置情報はサーバーやネットワーク設備の観測地点です。犯人やサイト運営者本人の居場所を示すものではありません。

受信したときの安全な対処法

1. メール内のリンクを開かない
   カード情報や利用制限が気になっても、メールのボタンから確認しないでください。
2. 公式アプリから確認する
   メルカリアプリを自分で起動し、お知らせや登録情報を確認します。
3. 入力してしまった場合は直ちに変更する
   パスワードを変更し、同じパスワードを使っている他サービスも変更してください。
4. カード会社へ連絡する
   カード番号などを入力した場合は、カード会社の公式窓口へ連絡し、利用停止や再発行を相談してください。

メルカリ公式も、不審なメールやSMSのリンクを開かず、公式アプリまたはブックマークから確認するよう案内しています。