『詐欺メール』「【イオンカード 】現在カードのご利用が一時停止されました」と、来た件

詐欺師にとつて都合の良い本文

もう何度も何度も受け取ったこのフィッシング詐欺メールの本文。
見飽きて反吐が出そうです(-_-;)
詐欺師にとってはとても都合の良いメールの本文やタイトルです。
金融機関やカード会社の名前だけ変えれば、いくらでも転用できる内容ですから。
今回のカード会社は「イオンカード」に成りすましたようです。

では、このメールもプロパティーから見ていきましょう。

件名は
「[spam] 【イオンカード 】現在カードのご利用が一時停止されました」
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「AEON <userid@aeon.co.jp>」
”aeon.co.jp”は確かに「イオングループ」のドメインですが、件名の”[spam]”を見せられた後では
全く信じられませんね。
その辺りを含め、次の項で見ていくことにしましょう。

あくまで”aeon.co.jp”と言い張るのですが

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

”Received”のIPアドレス”153.121.71.209”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその情報を確認してみます。

ほらね、やっぱりそうでしょ！
このIPアドレスに割当てられているのは”sakura.ne.jp”で”aeon.co.jp”ではありません！
故にこの差出人のメールアドレスは偽装確定！！

それでは、このIPアドレスを使ってその割り当て地を確認してみます。

ピンが立てられたのは、「大阪市北区」付近です。
そう、「さくらインターネット」の本社は大阪市北区にあります。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

嫌と言うほど見せられてきた本文

では引き続き本文。

書かれているのは、第三者不正利用を疑う内容。
マジで何度も何度も目にし暗記するほど見飽きた本文です。

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「■ご利用確認はこちら」って書かれたところに張られていて、リンク先の
URLがこちらです。

もし本当にイオンカードならURLのドメインは”aeon.co.jp”のはず。
でもこのURLにはどこにも見当たりません。

このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。

このように既に危険サイトと認識されており、カテゴリは「フィッシング」と書かれています。

このURLで使われているドメインは、サブドメインを含め”www2.aenoaoon.icu”
このドメインを割当てているIPアドレスを抽出してみます。

このドメインを割当てているIPアドレスは”172.245.33.83”
このIPアドレスを元にその割り当て地を確認してみます。

まず、利用しているプロバイダーは、アメリカの「ColoCrossing」
そしてピンが立てられのは、アメリカシカゴのシカゴ美術館西側付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。

開いたのは、イオンカードユーザー専用のインターネットサイト。
本物オンサイトを丸ごとダウンロードし複製されたサイトですからURL以外でが
本物と全く見分けが付きませんね。
ログインを求められていますが、もちろん偽サイトですから絶対にログインしないでください。

まとめ

ほんと、この本文は使いまわされていて、イオンに限らず三井住友カードやau PAYなどたくさんの
金融機関に成りすますフィッシング詐欺メールで使われています。
この本文を見たら、それは詐欺メールですからご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;