「えきねっと」が中国のドメインメールで？！
またしても「えきねっと」に成りすますフィッシング詐欺メールが届きました。
本文の宛名は、受信者のメールアドレスの@前のアカウント名になっています。
書かれているのは、フィッシング詐欺メールの常套手段である第三者不正利用を疑うもの。
では、このメールもプロパティーから見ていきましょう。
件名は
「[spam] 【重要】えきねっとの緊急連絡、情報を更新してください。メール番号:4218220」
何だかつっけんどんな件名ですね。
末尾に書かれているメール番号は、このメールの信憑性を高めるために付加されたもので適当な数字です。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。
差出人は
「"" <support@service.jjsnxe.cn>」
「えきねっと」さんには、れっきとした”eki-net.com”ってドメインをお持ちです。
それなのにこのような”jjsnxe.cn”なんて中国のトップレベルドメインを使った
メールアドレスで大切なユーザーにメールを送るなんて絶対にあり得ません！
このIPアドレスの持つ脅威レベルは「高」
では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースを確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した「フィールド御三家」がこちらです。
| Return-Path: 「support@service.jjsnxe.cn」
”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。
|
| Message-ID:「F56777EA25A8403E45747903A24296A1@qluaqpmvc」
”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。
|
| Received:「from service.jjsnxe.cn (service.jjsnxe.cn [107.174.133.100])」
”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。
|
まずは、”service.jjsnxe.cn”について情報を取得してみます。
”107.174.133.100”がこのドメインを割当てているIPアドレス。
”Received”に書かれているのが”107.174.133.100”ですから全く同じですのでメールアドレスの偽装は
ありませんでした。
この中で一番重要なのは”Received”
これを紐解けば差出人の素性が見えてきます。
この差出人の利用したメールアドレスのドメインは、香港にある「WEST263 INTERNATIONAL LIMITED」と
言うレジストラで取得されたようです。
”Received”のIPアドレスは、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。
ピンが立てられたのは、アメリカテキサス州ダラス付近です。
よく見ると、このIPアドレスの持つ脅威レベルは「高」で、脅威の詳細は「サイバーアタックの攻撃元」
攻撃対象は「メール」とされていますから、悪意のある物として周知されているようです。
宛名がアカウント名のメールにはご注意を
では引き続き本文。
*** 様
最近の第三者による不正利用の急増に伴い、当社では「不正利用監視システム」を導入し、
24時間365日体制でアカウントの使用を監視しています。この度、ご本人が使用しているか
確認したい取引がありましたので、勝手ながら一部アカウントの使用を制限させて
いただきますのでご連絡させていただきます。また、以下のアクセスとアカウントの使用確認にご協力ください。ご回答を得られない場合は、
アカウントの使用制限が継続されることもございますので、予めご了承ください。 |
冒頭の宛名は、私のメールアドレスの@より前のいわゆるアカウント名部分。
普通、メールの宛名がアカウント名ってあり得ます？あり得ませんよね？(笑)
このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「アカウントのご利用確認のお知らせについてはこちら」って書かれたところに張られていて
リンク先のURLがこちらです。
このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。
いやいや、違う違う！全然安全じゃないです！！
このようなフィッシング詐欺サイトがこの評価ではあまりにも危険すぎます。
評価を変更していただけるよう早速申請しておきます。
このURLで使われているドメインは、サブドメインを含め”em.servehalflife.com”
このドメインにまつわる情報を取得してみます。
姑息っすね、このサイトで使われているドメインは、無料のドメインで有名なアメリカのNo-IPで取得した
Dynamic DNS(ダイナミックDNS)。
このドメインを割当てているIPアドレスは”34.84.153.182”
このIPアドレスを元にその割り当て地を確認してみます。
ピンが立てられのは「東京都杉並区」付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。
利用状況の確認はしなくていいの？
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。
まず表示されたのは、「えきねっと」と書かれたログイン画面。
もちろん偽サイトですから絶対にログインしないでください！
偽者には偽者と言うことで、危険なのを承知で適当にでたらめな情報を入力して「入力内容を確認」って
ボタンを押してみます。
続いてクレジットカードの情報入力画面に切り替わりました。
第三者不正利用の疑いなのに、なぜ個人情報やクレジットカードの情報を入れなければ
ならないのでしょうか？
ログインして不正利用状況だけ確認すれば済むことですよね？
まとめ
第三者不正利用を疑うのは、フィッシング詐欺メールの王道。
そんなメールが届いたらピンと来てください！
今回は、メールアドレスの偽装はありませんでしたが、しっかり偽装してくるメールも多いので
簡単に鵜呑みにせずしっかりと見極めた上で、リンクを利用せずスマホアプリを使用して
ログインするように御心掛けください。
いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; |