『詐欺メール』「【三井住友銀行】ご登録お客様情報の定期的な確認のお願いにつきまして」と、来た件

三井住友銀行が中国のドメインでメールを？

これは、三井住友銀行から送られてきたフィッシング詐欺メール。

三井住友銀行SMBCダイレクト利用のお客様に宛てられたメールで、セキュリティシステムが
更新されたので、リンクを辿り登録情報を確認を促すものです。

では、このメールもプロパティーから見ていきましょう。

件名は
「[spam] 【三井住友銀行】ご登録お客様情報の定期的な確認のお願いにつきまして」
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「”三井住友カード” <contact.vpass.ne.jp@rdomfsnp.cn>」
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

「三井住友カード」さんの正規ドメインは確かに”vpass.ne.jp”ですが、メールアドレスの
ドメインは＠より後ろ側で、＠より前はアカウント名。
このメールのドメインは”vpass.ne.jp”ではなく”rdomfsnp.cn”です。

正規ドメインが有るのにそれ以外のこのようなでたらめなドメインを使ったメールアドレスで
ユーザーさんにメールを送るなんて信用問題に関わる大きな問題です。

発信元サーバーは「天安門広場」付近に？！

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースを確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した情報がこちらです。

まずは、”rdomfsnp.cn”について情報を取得してみます。

このドメインの申請者は、私では読めない文字を含む漢字2文字の氏名の方。
ドメインの申請管理を中国のIT企業アリババに委託しているので、この方はその国の方でしょう。
そして申請に利用されたメールアドレスのドメインは”protonmail.com”であることから
スイスのジュネーブにある暗号化メールサービス「ProtonMail」を利用した模様。

そして”106.75.105.90”がこのドメインを割当てているIPアドレス。
”Received”のIPアドレスと同じなので、メールアドレスに偽装はありません。
”106.75.105.90”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上でご覧ください。

ピンが立てられたのは、フィッシング詐欺メールの一大生産地の北京にある「天安門広場東側」付近です。
よく見ると、このIPアドレスの持つ脅威レベルは「高」で、脅威の詳細は「サイバーアタックの攻撃元」
攻撃対象は「メール」とされていますから、悪意のある物として周知されているようです。

詐欺サイトは「トロント旧市役所」付近に？！

では引き続き本文。

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは、へーる本文に直書きされていて、リンク先のURLがこちらです。

このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。

このように既に危険サイトと認識されており、ブラックリストに登録済み。
そのカテゴリは「フィッシング」と書かれています。

このURLで使われているドメインは、”yzsjsjx.cn”
このドメインにまつわる情報を取得してみます。

申請者は、メールの際のドメインと同じ人物。

「対応するIPアドレスがありません」と書かれているので、他のサイトで確認してみました。

このドメインを割当てているIPアドレスは”172.67.132.79”
再びこのIPアドレスの割り当て地を確認してみると。

表示されたのは、カナダの「トロント旧市役所」付近。

危険でと言われると余計に行きたくなるのが人情と言うもの。
安全な方法でリンク先のサイトへ行ってみると。

表示されたのは、三井住友カードユーザー専用サイトの「Vpass」へのログイン画面。
もちろん偽サイトですから絶対にログインしないでください！

まとめ

メールアドレスが三井住友銀行の物では無いことに気付いてくださいね！
そうしないと本文に飲み込まれてしまいリンクに誘い込まれてしまいますよ！

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;