詐欺師にとつて都合の良い本文
もう何度も何度も受け取ったこのフィッシング詐欺メールの本文。
見飽きて反吐が出そうです(-_-;)
詐欺師にとってはとても都合の良いメールの本文やタイトルです。
金融機関やカード会社の名前だけ変えれば、いくらでも転用できる内容ですから。
今回のカード会社は「イオンカード」に成りすましたようです。
では、このメールもプロパティーから見ていきましょう。
件名は
「[spam] 【イオンカード 】現在カードのご利用が一時停止されました」
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。
差出人は
「AEON <userid@aeon.co.jp>」
”aeon.co.jp”は確かに「イオングループ」のドメインですが、件名の”[spam]”を見せられた後では
全く信じられませんね。
その辺りを含め、次の項で見ていくことにしましょう。
あくまで”aeon.co.jp”と言い張るのですが
では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。
| Return-Path: 「userid@aeon.co.jp」
”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。
|
| Message-ID:「20220521185313714844@aeon.co.jp」
”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。
|
| Received:「from userid0.aeon.co.jp (tk2-123-61955.vs.sakura.ne.jp [153.121.71.209])」
おやおや？ここで”sakura.ne.jp”って大手レンタルサーバー企業の
「さくらインターネット」さんのドメインが出てきましたね。
”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。
|
”Received”のIPアドレス”153.121.71.209”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその情報を確認してみます。
ほらね、やっぱりそうでしょ！
このIPアドレスに割当てられているのは”sakura.ne.jp”で”aeon.co.jp”ではありません！
故にこの差出人のメールアドレスは偽装確定！！
それでは、このIPアドレスを使ってその割り当て地を確認してみます。
ピンが立てられたのは、「大阪市北区」付近です。
そう、「さくらインターネット」の本社は大阪市北区にあります。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。
嫌と言うほど見せられてきた本文
では引き続き本文。
【イオンカード】利用いただき、ありがとうございます。
このたび、ご本人様のご利用かどうかを確認させていただきたいお取引がありましたので、
誠に勝手ながら、カードのご利用を一部制限させていただき、ご連絡させていただきました。つきましては、以下へアクセスの上、カードのご利用確認にご協力をお願い致します。
お客様にはご迷惑、ご心配をお掛けし、誠に申し訳ございません。
何卒ご理解いただきたくお願い申しあげます。
ご回答をいただけない場合、カードのご利用制限が継続されることもございますので、
予めご了承下さい。 |
書かれているのは、第三者不正利用を疑う内容。
マジで何度も何度も目にし暗記するほど見飽きた本文です。
このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「■ご利用確認はこちら」って書かれたところに張られていて、リンク先の
URLがこちらです。
もし本当にイオンカードならURLのドメインは”aeon.co.jp”のはず。
でもこのURLにはどこにも見当たりません。
このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。
このように既に危険サイトと認識されており、カテゴリは「フィッシング」と書かれています。
このURLで使われているドメインは、サブドメインを含め”www2.aenoaoon.icu”
このドメインを割当てているIPアドレスを抽出してみます。
このドメインを割当てているIPアドレスは”172.245.33.83”
このIPアドレスを元にその割り当て地を確認してみます。
まず、利用しているプロバイダーは、アメリカの「ColoCrossing」
そしてピンが立てられのは、アメリカシカゴのシカゴ美術館西側付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。
危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。
開いたのは、イオンカードユーザー専用のインターネットサイト。
本物オンサイトを丸ごとダウンロードし複製されたサイトですからURL以外でが
本物と全く見分けが付きませんね。
ログインを求められていますが、もちろん偽サイトですから絶対にログインしないでください。
まとめ
ほんと、この本文は使いまわされていて、イオンに限らず三井住友カードやau PAYなどたくさんの
金融機関に成りすますフィッシング詐欺メールで使われています。
この本文を見たら、それは詐欺メールですからご注意ください。
いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; |