『詐欺メール』「楽天e-NAVIアカウントの支払い方法を確認できず、注文を出荷できません. 」と、来た件

歴史のあるテンプレで送られてきた

これは、「楽天e-NAVI」になりすましたフィッシング詐欺メールです。
本文には、昔から楽天市場やアマゾンを騙って多く送られてきたテンプレが使われていますが、
それにしても相変わらず「必要・ェ」は直っていませんね(笑)

「楽天e-NAVI」とは、楽天カードユーザー専用のオンラインサービスで、月々のご利用明細や
利用可能額の確認などを行うことができます。

この本文を利用した「楽天e-NAVI」を騙るものは初めてでしたので敢えて今回はこのメールを
調査してみようと思います。

では、このメールもプロパティーから見ていきましょう。

件名は
「[spam] 楽天e-NAVIアカウントの支払い方法を確認できず、注文を出荷できません. 57」
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
末尾の「57」は、メールの信憑性を高めるために付けられた適当に付けられた連番だと思われます。

この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「”【楽天市場】” <pre_reg@ac.rakuten-bank.co.jp>」
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

「」さんには、””って正規ドメインをお持ちです。
正規ドメインが有るのにそれ以外のこのようなでたらめなドメインを使ったメールアドレスで
ユーザーさんにメールを送るなんて信用問題に関わる大きな問題です。

上手く化けているつもりでしょうけど…
”rakuten-bank.co.jp”は確かに「楽天銀行」さんのドメインですが、件名に”[spam]”とあるので
このメールは詐欺メール故に偽装の疑いがあります。
その辺りを含め、次の項で見ていくことにしましょう。

やるまでないけど偽装を立証してみる

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースを確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した「フィールド御三家」がこちらです。

やるまでないと思うのですが、ルーティーンなので一応やっときますか。
まずは、”rakuten-bank.co.jp”について情報を取得してみます。
このドメインを割当てているIPアドレスが”Received”に記載されているものと同じなら
差出人のメールアドレスだと認めますが、そうでない場合、特定電子メール法違反となり
処罰の対象とされます。
※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰するほか、法人に対して3000万円以下の罰金
さて、どう出るのでしょうか？

ご覧の通り、このドメインは「楽天銀行株式会社」さんの持ち物です。
そして”220.213.225.92”がこのドメインを割当てているIPアドレス。
本来同じでなけれならない”Received”のIPアドレスが”119.115.103.66”ですから全く異なります。
これでアドレス偽装は確定。
この方にはしっかり罪を償っていただかなければなりませんね！

因みに”rakuten.co.jp”はと言うと…

割り当てエチルIPアドレスは”133.237.16.234”ですから、これも全く異なります。

「フィールド御三家」の中で一番重要なのは”Received”
これを紐解けば差出人の素性が見えてきます。
”Received”のIPアドレス”119.115.103.66”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上でご覧ください。

ピンが立てられたのは、「中国 遼寧省 瀋陽市 瀋河区」付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

暗号化されてないIPアドレスむき出しの詐欺サイト

では引き続き本文。

もう見慣れすぎて暗唱できちゃいそうな本文。(笑)
しかし、どうして「必要・ェ」は直さないのでしょうか？(笑)

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「楽天e-NAVI ログイン」って書かれたところに張られていて、リンク先の
URLがこちらです。

あちゃ～、IPアドレスむき出しっすか？
いくら詐欺だと言えども少しくらいお金かけてドメイン位取得してくださいよ(笑)
そしてプロトコルが、”https“じゃなくて”http”ですか…(;^_^A
信用第一の信販企業のサイトがSSLで暗号化されていないなんて言語道断！
因みにSSL化されていないサイトにChromeで接続するとアドレスバーにはこのように表示されます。

このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。

このように既に危険サイトと認識されており、ブラックリストに登録済み。
そのカテゴリは「フィッシング」と書かれています。

このURLで使われているIPアドレスは”54.199.199.53”
このドIPアドレスにまつわる情報を取得してみます。

このIPアドレスには”ap-northeast-1.compute.amazonaws.com”と言うドメインが割当てられている
ようです。
そして、このIPアドレスは、アマゾンのウェブサービス「Amazon Web Services」で使われているもの
らしいので、リンク先の詐欺サイトは、このウェブサービス上で運営されているようです。

このIPアドレス”54.199.199.53”を元にその割り当て地を確認してみます。

IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上でご覧ください。

何やらヤバ気な情報が出てきましたよ！
このIPアドレスは既にブラックリストに登録されていて、脅威レベルは「高」と評されています。
そしてピンが立てられのは「福岡県春日市」付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。

相当ヤバいのか「Google Safe Browsing」でも危険なサイトとして評価されています。

危険を承知で、先に進むと、開いたのは「楽天e-NAVI」へのログイン画面。
もちろん偽サイトですから絶対にログインしないでください！
って、これだけブロックされれば誰もログインしたりしないよね？(笑)

おまけ

メールのフッター部分を何気に選択してみたら何やら隠し文字が出てきましたよ。

隠されていたのはこの部分。

「곸읖깷렶닊쎩큼」はハングルですよね？
Google先生にお願いして訳してもらうと「かっこいい」だそうです(笑)

もしかしてこれは「ワードサラダ」かも？
ワードサラダについては、こちらに特設会場を設けてありますので詳しくはこちらでご確認ください。

『詐欺メールに付き物』「ワードサラダ」とは？

ワードサラダは悪意のある証拠 ワードサラダは、フィッシング詐欺メールでよく使われる手法です。 上のメールを見てください。 これはメールの本文をHTML形式からTEXT形式に表示を切り替えたもの。 イエローでマーキング文字列は、HTML形式の...

ymg.nagoya

まとめ

今回のメールは、メールアドレスは偽装されているものの「必要・ェ」でわかっちゃいますよね？
そしてリンク先はむき出しのIPアドレスなんて馬鹿らしくてあり得ません。
それでも騙される人が居るからこういうメールは後を絶たないのです。

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;