『詐欺メール』「【重要通知】：お客様のプライム 会員資格がキャンセルされます」と、来た件

「Amazon.co.jpお客様」から始まる

次から次へとよくもまあ出てきますね、Amazonを騙ったフィッシング詐欺メールが。
今回は、プライム会員を対象にしたものです。

書かれているのは、登録時の支払い方法でエラーが発生したのでリンクから支払方法を
再登録しろと言うもの。
「Amazon.co.jpお客様」から始まるメールなんて、ろくなもんじゃない！
だって、本当のAmazonなら私の本名知ってるはずだもん(笑)

では、このメールもプロパティーから見ていきましょう。

件名は
「[spam] 【重要通知】：お客様のプライム 会員資格がキャンセルされます」
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「”Amazon.co.jp” <amazone-cc-jppp@kpdivfm.cn>」
「Amazon」さんには、れっきとした”amazon.co.jp”ってドメインをお持ちです。
それなのにこのような”kpdivfm.cn”なんて中国のトップレベルドメインを使った
メールアドレスで大切なユーザーにメールを送るなんて絶対にあり得ません！
それに何ですか”amazone”って、”e”が一文字余分じゃないですか！

IPアドレスが割当てられていないドメイン

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

まずは、”kpdivfm.cn”について情報を取得してみます。

このドメインを割当てているIPアドレスがありません。
IPアドレスが割当てられていないドメインは利用できませんのでこの差出人はメールアドレスを
偽装したようです。
メールアドレスの偽装は、特定電子メール法違反となり処罰の対象とされます。
※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰するほか、法人に対して3000万円以下の罰金
しっかり罪を償っていただきましょう！

”Received”のIPアドレス”119.96.167.27”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

ピンが立てられたのは、「中国湖北省」付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

せっかちな詐欺師

では引き続き本文。

どうもせっかちな詐欺師ですね。
メール連絡で「1日以内」に再登録しろって言われたって、誰もがメールチェックしている
わけでもないし強引すぎます。
それにタイムスタンプが有るわけでもなくいつの時点を起点にしたら良いのかこのメールでは
判断できません。
関係の無い時によく件名にタイムスタンプ入れて来るくせに…(;^_^A

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「お支払い方法を再登録」って書かれたところに張られていて、リンク先の
URLがこちらです。

“.vip“なんてとても怪しいトップレベルドメインですね。

このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。

おっと、まだ「未評価」のようです。
このようなフィッシング詐欺サイトがこの評価ではあまりにも危険すぎます。
評価を変更していただけるよう早速申請しておきます。

このURLで使われているドメインは、”xafjkacuge5419.vip”
このドメインにまつわる情報を取得してみます。

登録者は、中国湖南省の方。
それ以外の情報は殆どプライバシー保護されています。

このドメインを割当てているIPアドレスは”107.172.209.4”
このIPアドレスを元にその割り当て地を確認してみます。

ピンが立てられのは「テキサス州ダラス」付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

安全な方法でリンク先の詐欺サイトに調査目的で訪れてみましたがアクセスができませんでした。

「localhost で接続が拒否されました」と書かれていますよね。
「localhost」とは、自局の事で簡単に言えば、今このサイトを見ているデバイスこのと。
私で言えば、このブログを書いているPC。
そんなところにウェブページなんて無いし、ましてやウェブサーバーも構築していませんから
表示されるわけがありません。

詐欺サイトは、捜査の手が及ぶのを恐れ、えてして時々姿をくらまします。
こうすることで少しでも捜査の手から逃れようとしているのです。
先程ご覧いただいた通り、IPアドレスとドメインは紐づけされたままなのでサイトは簡単に
復活することが可能な状態です。

まとめ

最近Amazonに限らず他のフィッシング詐欺サイトでも時々「localhost で接続が拒否されました」
と表示されることがあります。
これが最初から意図的にされたものなら、愉快犯か釣りでしょうけど、一時姿をくらましている可能性も
有るので絶対に油断しないでください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;