「Amazon.co.jpお客様」から始まる 次から次へとよくもまあ出てきますね、Amazonを騙ったフィッシング詐欺メールが。
今回は、プライム会員を対象にしたものです。 
書かれているのは、登録時の支払い方法でエラーが発生したのでリンクから支払方法を
再登録しろと言うもの。
「Amazon.co.jpお客様」から始まるメールなんて、ろくなもんじゃない！
だって、本当のAmazonなら私の本名知ってるはずだもん(笑) では、このメールもプロパティーから見ていきましょう。 件名は
「[spam] 【重要通知】：お客様のプライム 会員資格がキャンセルされます」
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。 差出人は
「”Amazon.co.jp” <amazone-cc-jppp@kpdivfm.cn>」
「Amazon」さんには、れっきとした”amazon.co.jp”ってドメインをお持ちです。
それなのにこのような”kpdivfm.cn”なんて中国のトップレベルドメインを使った
メールアドレスで大切なユーザーにメールを送るなんて絶対にあり得ません！
それに何ですか”amazone”って、”e”が一文字余分じゃないですか！
IPアドレスが割当てられていないドメイン では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。 | Return-Path: 「amazone-cc-jppp@kpdivfm.cn」 ”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。 | | Message-ID:「2408826A8665AA5AF3931A11CEE51796@nhgrqyow」 ”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。 | | Received:「from mail.(unknown [119.96.167.27])」 ”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。 | まずは、”kpdivfm.cn”について情報を取得してみます。 
このドメインを割当てているIPアドレスがありません。
IPアドレスが割当てられていないドメインは利用できませんのでこの差出人はメールアドレスを
偽装したようです。
メールアドレスの偽装は、特定電子メール法違反となり処罰の対象とされます。
※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰するほか、法人に対して3000万円以下の罰金
しっかり罪を償っていただきましょう！ ”Received”のIPアドレス”119.96.167.27”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。 
ピンが立てられたのは、「中国湖北省」付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。
せっかちな詐欺師 では引き続き本文。 | Amazon.co.jpお客様 プライムへ登録の際に設定いただいたお支払い方法認証の際にエラーが発生しました。
そのため、現在、お客様にはプライム会員特典をご利用いただけません。
特典をご利用いただくには、1 日以内にお支払い方法の再登録をお願いいたします。 - お客様のお支払い方法にアクセス
- Amazonプライムに登録したAmazon.co.jpのアカウントを使用してサインイン
- 登録済みのお支払手段の有効期限を更新、または新しく支払い手段を追加し、
「続行」ボタンをクリック エラーの原因は様々ですが、本エラーが発生する例としては、お支払い方法の有効期限が
切れている場合が多く見受けられます。
詳細の原因につきましてはご登録いただいたお支払手段の提供会社（クレジット会社等）にお問合せ下さい。 1日以内にお支払い方法が再登録されない場合、ご登録のAmazon プライム会員資格は自動的に
キャンセルされます。
今後ともAmazon.co.jpをよろしくお願いいたします。 | どうもせっかちな詐欺師ですね。
メール連絡で「1日以内」に再登録しろって言われたって、誰もがメールチェックしている
わけでもないし強引すぎます。
それにタイムスタンプが有るわけでもなくいつの時点を起点にしたら良いのかこのメールでは
判断できません。
関係の無い時によく件名にタイムスタンプ入れて来るくせに…(;^_^A このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「お支払い方法を再登録」って書かれたところに張られていて、リンク先の
URLがこちらです。 
“.vip“なんてとても怪しいトップレベルドメインですね。 このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。 
おっと、まだ「未評価」のようです。
このようなフィッシング詐欺サイトがこの評価ではあまりにも危険すぎます。
評価を変更していただけるよう早速申請しておきます。
このURLで使われているドメインは、”xafjkacuge5419.vip”
このドメインにまつわる情報を取得してみます。 
登録者は、中国湖南省の方。
それ以外の情報は殆どプライバシー保護されています。 このドメインを割当てているIPアドレスは”107.172.209.4”
このIPアドレスを元にその割り当て地を確認してみます。 
ピンが立てられのは「テキサス州ダラス」付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。 安全な方法でリンク先の詐欺サイトに調査目的で訪れてみましたがアクセスができませんでした。 
「localhost で接続が拒否されました」と書かれていますよね。
「localhost」とは、自局の事で簡単に言えば、今このサイトを見ているデバイスこのと。
私で言えば、このブログを書いているPC。
そんなところにウェブページなんて無いし、ましてやウェブサーバーも構築していませんから
表示されるわけがありません。 詐欺サイトは、捜査の手が及ぶのを恐れ、えてして時々姿をくらまします。
こうすることで少しでも捜査の手から逃れようとしているのです。
先程ご覧いただいた通り、IPアドレスとドメインは紐づけされたままなのでサイトは簡単に
復活することが可能な状態です。
まとめ 最近Amazonに限らず他のフィッシング詐欺サイトでも時々「localhost で接続が拒否されました」
と表示されることがあります。
これが最初から意図的にされたものなら、愉快犯か釣りでしょうけど、一時姿をくらましている可能性も
有るので絶対に油断しないでください。 いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; | 