『詐欺メール』新「【えきねっと】重要なお知らせ」と、来た件

「えきねっと」が中国のドメインで？！

相変わらず「えきねっと」の名を借りたフィッシング詐欺メールが横行しています。
今朝もこのようなメールが届きました。

今までに同じ件名のメールを3度ほどご紹介していますが、その都度内容が異なっています。
今回もまた本文が異なるので改めて”新”として解説していこうと思います。

では、このメールもプロパティーから見ていきましょう。

件名は
「[spam] 【えきねっと】重要なお知らせ」
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「「えきねっと」 <eki-net-tester@nsnygd.cn>」
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

「えきねっと」さんには、”eki-net.com”って正規ドメインをお持ちです。
正規ドメインが有るのにそれ以外のこのような中国のドメインを使ったメールアドレスで
ユーザーさんにメールを送るなんて信用問題に関わる大きな問題です。

発信元サーバーは都庁付近か？！

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースを確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した「フィールド御三家」がこちらです。

まずは、”nsnygd.cn”について情報を取得してみます。

”134.122.252.114”がこのドメインを割当てているIPアドレス。
”Received”のIPアドレスと全く同じですからメールアドレスの偽装は行われていなうようです。

この中で一番重要なのは”Received”
これを紐解けば差出人の素性が見えてきます。
”Received”のIPアドレス”134.122.252.114”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上でご覧ください。

ピンが立てられたのは、東京都庁付近です。
あくまで代表地点ですよ。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。
利用されたプロバイダーは、シンガポールにある「RackIP Consultancy Pte. Ltd.」です。

冒頭のあいさつが過去形って

では引き続き本文。

なんで冒頭のあいさつが「ありがとうございました」と過去形なんでしょうか？
普通なら「ありがとうございます」ですよね？

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「確認用アカウント」って書かれたところに張られていて、リンク先の
URLがこちらです。

このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。

おいおい、待て待て待て、、、(汗)
アカンでしょ「安全」なんて…
このようなフィッシング詐欺サイトがこの評価ではあまりにも危険すぎます。
評価を変更していただけるよう早速申請しておきます。

このURLで使われているドメインは、サブドメインを含め”ekimin.naipou.cn”
またしても中国のトップレベルドメインです。
このドメインにまつわる情報を取得してみます。

申請者は、メールドメインと同じ方。

このドメインを割当てているIPアドレスは”149.57.128.169”
このIPアドレスを元にその割り当て地を確認してみます。

ピンが立てられのは、アメリカアリゾナ州フェニックス付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。
やはりウイルスバスターにブロックされることなくあっさりと開いてしまいました。
このような詐欺サイトが無防備で野放しにされていることはとても危険です。
申請が迅速に通り一刻も早く遮断されることを切に願います。

まとめ

本物の「えきねっと」さんでは、サイトのトップページに注意喚起へのリンクが付けられ
このようにPDFによる説明文が付けられています。
標的にされたJR東日本も良い迷惑ですよね。

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;