『詐欺メール』「【三井住友銀行】ご登録お客様情報の定期的な確認のお願いにつきまして」と、来た件

国内の信販会社が中国のドメインでメールを送る？！

三井住友銀行から唐突に登録情報確認しろと言う内容のメールが届きました。
差出人のメールアドレスとリンク先のURLのドメインはどちらも中国のもの。
日本の信販企業がわざわざ中国のドメイン使いますかね？使いませんよね…(笑)

では、このメールもプロパティーから見ていきましょう。

件名は
「[spam] 【三井住友銀行】ご登録お客様情報の定期的な確認のお願いにつきまして」
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「三井住友カード <contact.vpass.ne.jp@yurenzhijia.cn>」
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

三井住友カード会員向けサービス「Vpass」さんは、”vpass.ne.jp”って正規ドメインをお持ちです。
正規ドメインが有るのにそれ以外のこのようなでたらめなドメインを使ったメールアドレスで
ユーザーさんにメールを送るなんて信用問題に関わる大きな問題です。

差出人は無料のフリーメールアドレスだった

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースを確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した「フィールド御三家」がこちらです。

まずは、”yurenzhijia.cn”について情報を取得してみます。

このドメインの申請者は、当用漢字には無い漢字2文字の氏名の方。
登録に使われたメールアドレスのドメイン”protonmail.com”は、スイスのジュネーブにある
無料で借りることができるメールサービスのドメイン。
このドメインを割当てているIPアドレスは”106.75.36.58”で”Received”のドメインと同じなので
差出人のメールアドレスに偽装はありません。

この中で一番重要なのは”Received”
これを紐解けば差出人の素性が見えてきます。
”Received”のIPアドレスは、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上でご覧ください。

ルックアップされたロケーションは、「上海」付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

詐欺サイトはサンフランシスコにあり

では引き続き本文。

違和感があるとすればリンク先URLに使われているドメインが中国の物ってところくらいでしょうか。
そのリンク先のURLがこちらです。

このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。

このように既に危険サイトと認識されており、ブラックリストに登録済み。
そのカテゴリは「フィッシング」と書かれています。

このURLで使われているドメインは、”ziubang.cn”
このドメインにまつわる情報を取得してみます。

申請者は、メールアドレスのドメインと同じ方。

このドメインを割当てているIPアドレスは”104.21.66.112”
このIPアドレスを元にその割り当て地を確認してみます。

ルックアップされたロケーションは「サンフランシスコ」付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。

開いたのは見慣れた「Vpass」のログイン画面。
もちろん偽サイトですから絶対にログインしないでください！

まとめ

今回は、あからさまにメールアドレスが中国の物だったので一発で見分けることができましたね。
でも、偽装されているものも多いのでメールアドレスだけでの判断には注意が必要です。

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;