『詐欺メール』『【最終警告】ご登録のお支払い方法を更新してください』と、来た件

2025年3月22日

★フィッシング詐欺メール解体新書★

スマホやタブレットが普及し増々便利になる私たちが生活する世の中。
それに比例して増えてくるのが悪質な詐欺行為。
このブログエントリーは、フィッシング詐欺メールの注意喚起拡散を目的とし
悪意を持ったメールを発見次第できる限り迅速なご紹介を心掛けています。
もし気が付かずに詐欺サイトログインしてしまった場合は、まず落ち着いてできる限り早く
パスワードの変更やクレジットカードの利用停止を行ってください。

いつもご覧くださりありがとうございます！

☆当サイトでは、今の観点から不審なメールであるかどうかを解析して行きます☆

件名の見出しを確認
メールアドレスのドメインを確認
宛名を確認
リンク先のドメインを確認

できる限り分かりやすく説明していいます。
最後までお読みいただても5分程度ですのでごゆっくりご覧ください。
では、進めてまいります。

前書き

今回は、『Apple』に成り済ます不審なメールのご紹介となります。
この Apple の名を騙る怪しいメールも多いですよね。
最近よく見られるのは iCloud のサブスクの支払いが滞っているというものですが、今回も同様のメールが届いておりますので詳しく見ていくことにします。

以下、そのメールです。
※テキストだけコピペしてありますので、性質上文字化け等はご容赦ください。

メール本文

ここから本文
↓↓↓↓↓↓

件名：[spam] 【最終警告】ご登録のお支払い方法を更新してください
送信者："Apple" <support@xkxaoao.com>

==================================================
◆ 重要：お支払い方法を更新してください ◆
==================================================

いつもAppleをご利用いただき、ありがとうございます。

ご登録のお支払い方法に問題があるため、
Appleアカウントのサービス利用がまもなく制限される可能性があります。

引き続きサービスを快適にご利用いただくために、
以下のリンクより速やかにお支払い方法をご確認・更新ください。

▼ お支払い方法を更新する：
h**ps://apple-com.yogajudi.com/?offer=RmSkuJNMpu4nXCj9b4MOLGTMMkHHrCiN

※お支払い方法を更新されない場合、
– iCloudストレージプラン
– Apple Musicなどのサブスクリプション
– App Storeでの購入
など、ご利用中のAppleサービスが停止される場合がありますのでご注意ください。

———————————-
◆ お支払い方法の確認手順 ◆
———————————-

[1] 上記リンクをクリックしてApple IDにサインイン
[2] アカウント設定からお支払い方法を確認
[3] 必要に応じて最新の情報に更新

———————————-
◆ ご不明な点やサポートについて ◆
———————————-
Appleサポートページをご覧ください：
h**ps://apple-com.yogajudi.com/?support=EkjsBRjFq1EiF0npY1DRfXhHhp1eIUkq

またはAppleサポートセンターまでお問い合わせください。

今後ともAppleをよろしくお願いいたします。

———————————-

プライバシーポリシー | サービス規約 | サポート
アカウント | 購読する | 購読中止
==================================================

↑↑↑↑↑↑
本文ここまで

Appleとサブスク契約を結んでいない方は全く問題ないのでスルーするメールですが、例えば iCloud の iCloud+ など追加料金が必要ンあるプランをご契約の方は危うく騙されてしまうかもしれませんね。
このメール、誰がどのような目的で送っているのでしょうか？
1つ1つ見ていくと意外な結果が出ました。
ぜひ最後までお読みください。

件名の見出しを確認

この件名の見出しには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

メールアドレスのドメインを確認

送信者として記載されているメールアドレスのドメイン(@より後ろ)は『xkxaoao.com』
ここは送信者がいくらでもウソを書くことができる部分で絶対鵜呑みにしてはいけません。
因みに Apple が利用するメールアドレスのドメインは『@apple.com』です。
故にこのドメイン以外のメールアドレスで届いた同社からのメールは全て偽物と言うことになります。

では、送信者の素性が分かるメールヘッダーの『Receivedフィールド』から情報を探ってみます。
こちらがこのメールのReceivedフィールドがこちらです。

Received: from xkxaoao.com (172.174.143.34.bc.googleusercontent.com [34.143.174.172])

ここの末尾に記載のIPアドレスは、送信サーバーが自身で書き込むもので、偽装することはできません。
このドメイン『xkxaoao.com』に関する詳しい情報を『Grupo』さんで取得してみます。

割当てているIPアドレスとReceivedフィールドのIPアドレスが合致したので、この送信者は自身のメールアドレスを偽ることなく何食わぬ顔でこのメールを送信してきたことになります。
この情報が正しければ、このドメインの取得者の所在地は米国のアラバマ州で、その所持者は『Google Cloud』と書かれています。
あれ？ Apple が Goolge が所持するドメインでメールを？
それじゃ商売敵のドメインを使ってメールを送っていることになるんじゃないですか…(笑)

このReceivedフィールドの末尾にあるIPアドレスからメールの発信地を『IP調査兵団』で導き出してみると、シンガポールの山中であることが分かりました。

宛名を確認

通常メールの冒頭には『○□△ 様』と言ったように『宛名』が書かれていますが、でもサービスが停止されるかもしれない大切なメールにも関わらず宛名が存在しません。
でも仮にもしこれが本当に Apple からだとすれば、ユーザーの氏名やハンドル名を知っているはずですから宛名が無いのはとても不自然です。
ならどうしてこのような書き方をするのでしょうか？
その原因は、このメールの送信者は受信者の情報をメールアドレスしか知らないわけだから宛名なんて書きようがないからです。
どうせどこかから漏洩したメールアドレスのリストを入手し、そのメール宛に無選別でこういったメールを送信しているのでしょう。

リンク先のドメインを確認

さて、本文に直書きされた詐欺サイトへのリンクですが、当然偽装されていて、実際に接続されるサイトのURLは以下の通りです。
【h**ps://apple-com.yogajudi.com/?offer=RmSkuJNMpu4nXCj9b4MOLGTMMkHHrCiN】
(直リンク防止のため一部の文字を変更してあります)
これまた Apple のドメインとは異なるものが利用されていますね。
先程と同様にこのドメインに関する詳しい情報を『Grupo』さんで取得してみます。

珍しく所持者の氏名までしっかり描かれています。
この情報が正しければ、このドメインの取得者の所在地は米国イリノイ州シカゴです。

割当てているIPアドレスは『172.67.207.64』
『IP調査兵団』でこのIPアドレスからそのロケーション地域を調べると、詐欺サイトではありがちな、カナダのトロント市庁舎付近であることが分かりました。

リンクを辿ってみると、思いもよらぬこのようなページが開きました。

メンテナンス中って…
どうやらこのメールの送信者は愉快犯で、いたずらでこのメールを送ったようです。
幼稚ですね、どうしてこんなことするのでしょうか？
楽しいと思っているんでしょうかね、こんな時間があるんだったらその知恵をもっと良いことに使えばいいのにと思います。

まとめ

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんのフィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;