セゾンカードが中国のトップレベルドメインで？！
セゾンカードユーザー専用のインターネットサイトのNetアンサーに成りすました
フィッシング詐欺メールが到着。
今回は、このメールが詐欺メールであることを分かりやすく解説してみたいと思います。
本文の内容は、いつものように第三者不正利用の疑いがあるのでリンクから利用確認をしろ
と書かれています。
では、このメールもプロパティーから見ていきましょう。
件名は
「[spam] 【SAlSON】から重要なお知らせ」
【SAlSON】に【】が必要なのでしょうか？(笑)
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。
差出人は
「SAlSON顧客サービス <SAlSON-support2@zb1j6yv3.cn>」
「セゾンカード」さんには、れっきとした”saisoncard.co.jp”ってドメインをお持ちです。
それなのにこのような”zb1j6yv3.cn”なんて全く関連性の無い中国のトップレベルドメインを使った
メールアドレスで大切なユーザーにメールを送るなんて絶対にあり得ません！
怪しいメールは必ず差出人のメールアドレスのドメインをご確認ください！
発信元は千代田区付近
では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。
| Return-Path: 「SAlSON-support2@zb1j6yv3.cn」
”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。
|
| Message-ID:「202205211248262881721@zb1j6yv3.cn」
”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。
|
| Received:「from zb1j6yv3.cn (unknown [202.61.130.233])」
”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。
|
まずは、”zb1j6yv3.cn”について情報を取得してみます。
”202.61.130.233”がこのドメインを割当てているIPアドレス。
”Received”に書かれているのと全く同じですからこのメールアドレスは差出人の物で
偽装はされていませんでした。
”Received”のIPアドレスは、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。
IPアドレスからの抽出でアバウトな位置だと言うことを承知の上でご覧いただくとし
ピンが立てられたのは、東京都千代田区付近です。
利用プロバイダー名「CTG Server Ltd」は中華系のプロバイダー。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。
このサイトはあなたを騙そうとしている可能性があります
では引き続き本文。
|
SAISONカードからのお知らせ
SAISONカードをご利用のお客さま
利用いただき、ありがとうございます。
このたび、ご本人様のご利用かどうかを確認させていただきたいお取引がありましたので、
誠に勝手ながら、カードのご利用を一部制限させていただき、ご連絡させていただきました。
つきましては、以下ヘアクセスの上、カードのご利用確認にご協力をお願い致します。
お客様にはご迷惑、ご心配をお掛けし、誠に申し訳ございません。
何卒ご理解いただきたくお願い申しあげます。
ご回答をいただけない場合、カードのご利用制限が継続されることもございますので、
予めご了承下さい。
ご利用確認はこちら
弊社は、インターネット上の不正行為の防止·抑制の観点からサイトとしての信頼性·正当性を高めるため
＊このメールはNetアンサーから自動配信しております。
＊このメールでは、第三者による不正使用の可能性を検知しましたので、ご連絡を差しあげました。
＊本メールにご返信いただきましても、ご質問？ご依頼などにお答えできませんので、あらかじめご了承ください。
＊メールに関する各種お手続き方法につきましては、以下をご確認ください。 |
上からツラツラと読み進めていくと、急に「信頼性·正当性を高めるため」って所でなぜか途切れる…
この先はどこへ行った？？(笑)
このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「ご利用確認はこちら」って書かれたところに張られていて、リンク先の
URLがこちらです。
このURLに愛用ブラウザのFirefoxで接続してみようとすると…
URLの@より前の「yahoo%2Eco%2Ejp」って部分は、ユーザー名なんですね。
このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。
このように既に危険サイトと認識されており、カテゴリは「フィッシング」と書かれています。
このURLで使われているドメインは、サブドメインを含め”khgfg.cwdioge65.cn”
セゾンカードの影の形もありませんね、それに”.cn”なんて中国のトップレベルドメインで。
このドメインにまつわる情報を取得してみます。
当然かもしれませんが、持ち主はメールドメインで調べて出てきた方と同じ人物。
このドメインを割当てているIPアドレスは”155.94.133.30”
このIPアドレスを元にその割り当て地を確認してみます。
ピンが立てられのは、詐欺サイトのメッカのロサンゼルス近郊のリトルトーキョーに程近い場所。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。
国内の信販企業がこのようなところにウェブサーバーを置くなんて…
危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。
ちゃんとパズルまでしっかり用意されています(汗)
それもそのはず、詐欺サイトは、本物のサイトを丸ごとダウンロードし、それを自身のサーバーに
アップロードしているから言わばクーロンサイト。
だから本物と全く見分けが付かないのです。
まとめ
今回のメールでは、まず差出人のメールアドレスに不審がありましたね。
そして本文では、中途半端に途切れるくだりがあり、とどめはセゾンカードに全く所縁の無い
リンク先のURL。
これだけ揃えばだれがどう見たって見分けが付くはずです。
このようなメールのリンクは不用意に絶対に開かないでください！
いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; |