『詐欺メール』「【SAlSON】から重要なお知らせ」と、来た件

セゾンカードが中国のトップレベルドメインで？！

セゾンカードユーザー専用のインターネットサイトのNetアンサーに成りすました
フィッシング詐欺メールが到着。
今回は、このメールが詐欺メールであることを分かりやすく解説してみたいと思います。

本文の内容は、いつものように第三者不正利用の疑いがあるのでリンクから利用確認をしろ
と書かれています。

では、このメールもプロパティーから見ていきましょう。

件名は
「[spam] 【SAlSON】から重要なお知らせ」
【SAlSON】に【】が必要なのでしょうか？(笑)
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「SAlSON顧客サービス <SAlSON-support2@zb1j6yv3.cn>」
「セゾンカード」さんには、れっきとした”saisoncard.co.jp”ってドメインをお持ちです。
それなのにこのような”zb1j6yv3.cn”なんて全く関連性の無い中国のトップレベルドメインを使った
メールアドレスで大切なユーザーにメールを送るなんて絶対にあり得ません！
怪しいメールは必ず差出人のメールアドレスのドメインをご確認ください！

発信元は千代田区付近

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

まずは、”zb1j6yv3.cn”について情報を取得してみます。

”202.61.130.233”がこのドメインを割当てているIPアドレス。
”Received”に書かれているのと全く同じですからこのメールアドレスは差出人の物で
偽装はされていませんでした。

”Received”のIPアドレスは、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

IPアドレスからの抽出でアバウトな位置だと言うことを承知の上でご覧いただくとし
ピンが立てられたのは、東京都千代田区付近です。
利用プロバイダー名「CTG Server Ltd」は中華系のプロバイダー。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

このサイトはあなたを騙そうとしている可能性があります

では引き続き本文。

上からツラツラと読み進めていくと、急に「信頼性·正当性を高めるため」って所でなぜか途切れる…
この先はどこへ行った？？(笑)

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「ご利用確認はこちら」って書かれたところに張られていて、リンク先の
URLがこちらです。

このURLに愛用ブラウザのFirefoxで接続してみようとすると…

URLの@より前の「yahoo%2Eco%2Ejp」って部分は、ユーザー名なんですね。

このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。

このように既に危険サイトと認識されており、カテゴリは「フィッシング」と書かれています。

このURLで使われているドメインは、サブドメインを含め”khgfg.cwdioge65.cn”
セゾンカードの影の形もありませんね、それに”.cn”なんて中国のトップレベルドメインで。
このドメインにまつわる情報を取得してみます。

当然かもしれませんが、持ち主はメールドメインで調べて出てきた方と同じ人物。

このドメインを割当てているIPアドレスは”155.94.133.30”
このIPアドレスを元にその割り当て地を確認してみます。

ピンが立てられのは、詐欺サイトのメッカのロサンゼルス近郊のリトルトーキョーに程近い場所。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。
国内の信販企業がこのようなところにウェブサーバーを置くなんて…

危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。

ちゃんとパズルまでしっかり用意されています(汗)
それもそのはず、詐欺サイトは、本物のサイトを丸ごとダウンロードし、それを自身のサーバーに
アップロードしているから言わばクーロンサイト。
だから本物と全く見分けが付かないのです。

まとめ

今回のメールでは、まず差出人のメールアドレスに不審がありましたね。
そして本文では、中途半端に途切れるくだりがあり、とどめはセゾンカードに全く所縁の無い
リンク先のURL。
これだけ揃えばだれがどう見たって見分けが付くはずです。
このようなメールのリンクは不用意に絶対に開かないでください！

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;