『詐欺メール』「ヨドバシドットコム：「お客様情報」変更依頼受付のご連絡」と、来た件

読み難いフォントに注意！

久しぶりに「ヨドバシドットコム」を騙るフィッシング詐欺メール。
気持ちの悪い中華フォントで書かれているので一目にそれと分かります。(笑)

では、このメールもプロパティーから見ていきましょう。

件名は
「ヨドバシドットコム：「お客様情報」変更依頼受付のご連絡 iadqw0gb2iw9」
末尾の文字列は通し番号のつもりなのでしょうか？
こんな滅茶苦茶な通し番号なんてありませんよね？
この件名には、いつもの”[spam]”って迷惑メールに付けられるスタンプが付けられていませんね。
でも、このフォントでピンときました。(笑)

差出人は
「yodobashi.com <mail@yodobashi.com>」
”yodobashi.com”は確かに「ヨドバシドットコム」さんのドメインですが、件名の”[spam]”を
見せられた後では全く信じられませんね。
その辺りを含め、次の項で見ていくことにしましょう。

差出人の本当のドメインは”xaqknka.cn”だった

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

この方、あくまで”yodobashi.com”だと言い張るようですね。
ならば、これからその偽装を暴いていきましょう！

まずは、ヨドバシさんの正規ドメイン”yodobashi.com”について情報を取得してみます。
このドメインを割当てているIPアドレスが”Received”に記載されているものと同じなら
差出人のメールアドレスだと認めますが、そうでない場合、特定電子メール法違反となり
処罰の対象とされます。
※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰するほか、法人に対して3000万円以下の罰金
さて、どう出るのでしょうか？

”23.67.198.168”がこのドメインを割当てているIPアドレス。
”Received”に書かれているのが”106.75.217.126”ですから全く異なるので、アドレス偽装確定！
しっかり罪を償っていただきましょう！

”Received”のIPアドレス”106.75.217.126”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

ピンが立てられたのは、フィッシング詐欺メールの一大生産地の北京にある「天安門広場東側」付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

因みに、このIPアドレスにはこのようなドメイン”xaqknka.cn”が割当てられていました。

登録した方のお名前は、私には読めない文字を含む漢字3文字の氏名の方。
このドメインは中国のIT企業のアリババに委託されているようなので、どこの国の方かは
想像つきますよね？

リンク先は空きドメインが使われている？！

では引き続き本文。

気になる部分は図中に書いておきました。
私、ヨドバシの会員ですが、届いたのは仕事用のアドレスで、このアドレスでは会員登録していません。

本文に書かれているのは、お客様情報の変更内容。
このような身に覚えの無い通知で、受信者を不安に陥れリンクを押させる手口です。
変更されたお客様情報は電話番号と書かれていますが、普通に考えたらその電話番号が書いてあるはず
ですが、何も書かれていません。
そして「ヨドバシ?ドット?コム」…(笑)
きっと文字化けなのでしょうけど、「？」に何が書かれていたのでしょうか？

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは、本文に直書きされていて、リンク先のURLがこちらです。

全くヨドバシさんに関連性の無いドメインが使われていますから、このサイトはヨドバシさんの
ものではありません。
それにこのリンク先、偽装されていますよ！
接続するとリダイレクトで別のサイトに飛ばされる仕組みで、実際に接続されるのがこちらのURL。

このサイトも使われているドメインはヨドバシさんには全く関連の無いもの。

このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。

おっと、新種なのでしょうね、まだ「未評価」のようです。
このようなフィッシング詐欺サイトがこの評価ではあまりにも危険すぎます。
評価を変更していただけるよう早速申請しておきます。

このURLで使われているドメインは、サブドメインを含め”www-yodoboshi-com.ywrzed.store”
このドメインにまつわる情報を取得してみます。

あらら、「対応するIPアドレスがありません」と書かれているようなので、現在は利用できないドメイン
のようですね。

もしやと思って、ムームドメインでこの”ywrzed.store”ってドメインが空いていないか確認してみると。

なんと「カートに追加」できるようなので、このドメインは使われていないことが判明です！
どおりでトレンドマイクロの「サイトセーフティーセンター」で「未評価」と判断されたのですね。

接続してみても当然アクセスできません。

これは閉鎖したのか、それとも釣りなのか私には判断付きません。
でも、詐欺サイトは、捜査の手が及ぶのを恐れ、えてして時々姿をくらまします。
こうすることで少しでも捜査の手から逃れようとしているのです。
果たしてこのサイトはどうだったのでしょうか？

まとめ

愉快犯なのでしょうか？
こんなことして何が楽しいのでしょうね。
でも、悪質な詐欺メールも多く見られるのでお気を付けくださいね！

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;