『詐欺メール』「【重要なお知らせ】お客様のSAlS0Nカードの口座から不正に出金する手口です」と、来た件

違和感しかない

特に珍しいことでもありませんが、セゾンカードに成りすますフィッシング詐欺メールが届きました。
なんか件名と本文に書かれている「SAISON」って文字に違和感がありますよね？

本文は、例によって詐欺メールテンプレで作られています。
えっ、「0570-0041980004428980」ってなにこれ？ナビダイヤルってこんなに長いの？(笑)
違和感を覚えて「06-6445-3501」って番号も調べてみたら
「三井住友カード株式会社大阪本社／総合インフォメーション」って出てきましたよ？？
あなたセゾンカードじゃなかったの？？

では、このメールもプロパティーから見ていきましょう。

件名は
「[spam] 【重要なお知らせ】お客様のSAlS0Nカードの口座から不正に出金する手口です」
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。

ここに書かれている「SAlS0N」の文字。違和感しかありません。
ちょっと調べてみると…
まず「SAlS0N」の”l”を再変換させてみました。

この文字は”アイ”ではなくて”エル”であることが分かりました。

次に怪しいのは「SAlS0N」の”0”を再変換。

この文字も”オー”ではなく数字の”ゼロ”でした。
なぜこのようなことをしているのかは不明…(;^_^A

この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「SAlS0N <SAlS0N-update1@ogjvhaw.cn>」
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

ここに書かれている「SAlS0N」も件名同様に文字が変えられています。

「セゾンカード」さんには、”saisoncard.co.jp”って正規ドメインをお持ちです。
正規ドメインが有るのにそれ以外のこのような中国のドメインを使ったメールアドレスで
ユーザーさんにメールを送るなんて信用問題に関わる大きな問題です。

発信元のサーバーはカンボジアの首都「プノンペン」付近に設置

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースを確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した「フィールド御三家」がこちらです。

まずは、”ogjvhaw.cn”について情報を取得してみます。

”202.36.54.148”がこのドメインを割当てているIPアドレス。
”Received”のIPアドレスも”202.36.54.148”ですからメールアドレスに偽装はありません。
このドメインの持ち主は、私には読めない文字を含む漢字三文字の氏名の方。
申請代行は中国のアリババが行っているようなので、その国の方でしょうね。

この中で一番重要なのは”Received”
これを紐解けば差出人の素性が見えてきます。
”Received”のIPアドレス”202.36.54.148”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上でご覧ください。

ピンが立てられたのは、カンボジアの首都「プノンペン」付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

文字変えて何が楽しい？

では引き続き本文。

まずは気になる「𝘚𝘈l𝘚O」の文字。
それ以前に末尾の”N”が抜けてませんかって話、これじゃ「セゾ」です。(笑)

では先程と同じように気になる文字を再変換してみましょう。
まずは「𝘚𝘈l𝘚O」の”𝘚”

これは”S”ではなくて「環境依存」の文字。

次に「𝘚𝘈l𝘚O」の”𝘈”

これまた”A”ではなくて「環境依存」の文字。

そして「𝘚𝘈l𝘚O」の”l”

これも”アイ”ではなくて”エル”…

「𝘚𝘈l𝘚O」の”O”はちゃんと”オー”でした(笑)

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「→ご利用確認はこちら」って書かれたところに張られていて、リンク先の
URLがこちらです。

このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。

このように既に危険サイトと認識されており、ブラックリストに登録済み。
そのカテゴリは「フィッシング」と書かれています。

このURLで使われているドメインは、サブドメインを含め”gfdsx.xkxhike.cn”
このドメインにまつわる情報を取得してみます。

当たり前だと言われれば当たり前ですが、申請者は、メールのドメインと同じ人物。

このドメインを割当てているIPアドレスは”155.94.140.213”
このIPアドレスを元にその割り当て地を確認してみます。

ピンが立てられのは、詐欺サイトのメッカ、ロサンゼルス近郊のリトルトーキョーに程近い場所。
フィッシング詐欺サイトは、この付近に密集しています！
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。

開いたのは、セゾンカードユーザー専用のインターネットサイト「Netアンサー」
もちろん偽サイトですから絶対にログインしないでください。

まとめ

それにしてもなぜ文字を変えているのでしょうか？
そうすることで何か有益なことがあるのでしょうか？
私にはさっぱり分かりません。

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;