『詐欺メール』新「【TS CUBIC CARD】本人情報緊急確認」と、来た件

迷惑メール

カード会社からのメールは信用できなくなってきた
※ご注意ください!
このブログエントリーは、フィッシング詐欺メールの注意喚起拡散を目的とし
悪意を持ったメールを発見次第できる限り迅速にをもっとうにご紹介しています。

このようなメールを受け取っても絶対に本文中のリンクをクリックしてはいけません!
リンク先は正規サイトを模した偽のコピーサイトで、フォームにアカウント情報や
クレジットカードの入力させそれらの情報を詐取しようとします。
被害に遭わないために絶対にリンクはクリックせず、どうしても気になる場合は
ブックマークしてあるリンクを使うかスマホアプリを
お使いになってログインするよう
心掛けてください!
また、気が付かずにログインしてしまった場合は、まず落ち着いてできる限り早く
パスワードの変更やクレジットカードの利用停止を行ってください。

当たり前のように中国ドメイン

以前一度この件名でご紹介したことのある「TS CUBIC CARD」に成りすましたフィッシング詐欺メール。
その時は、残念ながら詐欺サイトは既に閉鎖された状態でしたが、今回はつながるのを確認できたので
あらためてご紹介と解説を。

では、今回もプロパティーから見ていきましょう。

件名は
「[spam] 【TS CUBIC CARD】本人情報緊急確認」
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「”【TS CUBIC CARD】” <ts3card.com@shelingjing.cn>」
”@”より前が”ts3card.com”って…
「TS CUBIC CARD」さんには、れっきとした”tscubic.com”ってドメインをお持ちです。
それなのにこのような”shelingjing.cn”なんて中国のトップレベルドメインを使った
メールアドレスで大切なユーザーにメールを送るなんて絶対にあり得ません!


超危険なIPアドレスだった!

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

Return-Path: 「ts3card.com@shelingjing.cn」

Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。

Received:「from shelingjing.cn (unknown [117.50.182.13])」

Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。

まずは、”shelingjing.cn”について情報を取得してみます。

117.50.182.13”がこのドメインを割当てているIPアドレス。
Received”に書かれているのも”117.50.182.13”ですからアドレス偽装はありません。
このドメインの持ち主は、私には読めない文字を含む漢字2文字の氏名の方でドメイン管理は
中国のIT企業アリババに委託されています。

Received”のIPアドレス”117.50.182.13”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

ピンが立てられたのは、フィッシング詐欺メールの一大生産地の北京にある「天安門広場東側」付近です。
よく見ると、このIPアドレスの持つ脅威レベルは「高」。
それに脅威の詳細は「サイバーアタックの攻撃元」で攻撃の対象はWeb,メール,SSHとオンパレード。
かなり危険な香りがします。


長ったらしいURLの詐欺サイト

では引き続き本文。

残念ながら、私たちはあなたのアカウントを更新できませんでした。
今回は、カードが期限切れになってるか、請求先住所が変更されたなど、
さまざまな理由でカードの情報を更新できませんでした。
アカウント情報の一部が誤っている故に、お客様のアカウントを維持するため
アカウントの 情報を確認する必要があります。
下からアカウントをログインし、情報を更新してください。

まぁ、見慣れた本文ですね。

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは本文に直書きされていて、リンク先のURLがこちらです。

何と言うクソ長いURLですこと…

このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。

このように既に危険サイトと認識されており、カテゴリは「フィッシング」と書かれています。

このURLで使われているドメインは”talingjing.cn
このドメインにまつわる情報を取得してみます。

持ち主は、メールのドメインと同じ人物です。

このドメインを割当てているIPアドレスは”104.21.48.186
このIPアドレスを元にその割り当て地を確認してみます。

ピンが立てられのは、カナダの「トロント旧市役所」付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。

表示されたのは、TS CUBIC CARDの偽サイト。

まるまるダウンロードしてコピーされているので、本物のサイトと全く見分けが付きません。
もちろん詐欺サイトですから絶対にログインしないでください!


まとめ

今回は、メールアドレスが中国のドメインだったのですぐに見分けることができましたね。
でも、偽装されている場合も多いのでメールアドレスだけで本物だと断定するのは
危険すぎます。
メールからリンクを辿る際は、必ずリンク先のURLにあるドメインを確認してログインして下さい!

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;


こういった詐欺まがいのブラッキーなメールは、本文中のリンクをクリックしないことが大切!
そしてOS付随のセキュリティーは充てにせず、必ず自身でセキュリティーソフトを導入し
防御することが大切です。
丸腰の方、躊躇しないで「ポチっ」としてご安全に!(*^^*)

タイトルとURLをコピーしました