『詐欺メール』「【TS CUBIC CARD】から緊急のご連絡、情報を更新してください。」と、来た件

TS CUBIC CARDを騙る

※ご注意ください！
このブログエントリーは、フィッシング詐欺メールの注意喚起拡散を目的とし
悪意を持ったメールを発見次第できる限り迅速にをもっとうにご紹介しています。
このようなメールを受け取っても絶対に本文中のリンクをクリックしてはいけません！
リンク先は正規サイトを模した偽のコピーサイトで、フォームにアカウント情報や
クレジットカードの入力させそれらの情報を詐取しようとします。
被害に遭わないために絶対にリンクはクリックせず、どうしても気になる場合は
ブックマークしてあるリンクを使うかスマホアプリをお使いになってログインするよう
心掛けてください！
また、気が付かずにログインしてしまった場合は、まず落ち着いてできる限り早く
パスワードの変更やクレジットカードの利用停止を行ってください。

1. ★フィッシング詐欺解体新書★

★フィッシング詐欺解体新書★

「マネー・ローンダリング」がトレンドワード

最近「マネー・ローンダリング」って言葉がフィッシング詐欺メールのトレンドとなってきているような
気がします。
昨日も「みずほ銀行」に成りすますメールにも出てきましたが、今回は「ティーエスキュービックカード」
に成りすましたものです。

「マネー・ロンダリング」とは、日本語で言うと「資金洗浄」のことで、麻薬取引、脱税、粉飾決算などの
犯罪によって得られた資金（汚れたお金）を、資金の出所をわからないように架空口座や他人名義口座などを
利用して転々と移転することを言うようです。

もっともらしい事書かれていますが、ところでこの赤丸付けた「や」って言葉は、どこから繋がってきた
「や」なのでしょうか？(笑)

では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。

件名は
「[spam] 【TS CUBIC CARD】から緊急のご連絡、情報を更新してください。」
「緊急」なんておどろおどろしいこと書いて焦らせるつもりなんでしょうけど
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「”TS CUBIC CARD” <mgfgpi@service.ohinge.cn>」
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

なんでトヨタ系の信販企業が”service.ohinge.cn”なんてあからさまに中国のドメインを
使うのでしょうか？
「TS CUBIC CARD」さんには、”tscubic.com”って正規ドメインをお持ちです。
正規ドメインが有るのにそれ以外のこのようなでたらめなドメインを使ったメールアドレスで
ユーザーさんにメールを送るなんて信用問題に関わる大きな問題です。

発信元サーバーはJR神田駅付近に設置？！

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースを確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した「フィールド御三家」がこちらです。

Return-Path: 「mgfgpi@service.ohinge.cn」

”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。

Message-ID:「20220926111700063885@service.ohinge.cn」

”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。

Received:「from service.ohinge.cn (unknown [210.150.121.127])」

”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。

では、メールアドレスにあったドメイン”service.ohinge.cn”について調べてみます。

このドメインの申請は「成都西维数码科技有限公司」と言う中国のドメイン申請代行業者によって
行われており、申請者の氏名は、私では読めない文字を含む漢字三文字の氏名の方です。

そして”210.150.121.127”がこのドメインを割当てているIPアドレス。
”Received”のIPアドレスと全く同じですからアドレス偽装はありません。

「フィールド御三家」の中で一番重要なのは”Received”
これを紐解けば差出人の素性が見えてきます。
”Received”のIPアドレス””は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上でご覧ください。
ピンが立てられたのは、「JR神田駅」付近です。
この辺りから発信されるフィッシング詐欺メールは実に多くあります。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

リンク先はかなり手の込んだものだった

では引き続き本文。

TS CUBIC CARDをご利用いただきありがとうございます。

現在弊社では、お客さまが弊社にご登録いただいている各種情報について、最新の情報かどうかを
確認をさせていただいております。URLの有効期限は、48時間です。
下記URLにアクセスし、お手続きを完了してください。

アカウントのご利用確認のお知らせについてはこちら

やテロリストへの資金供与の未然防止への対応がますます重要となってきております。
弊社におきましては、金融庁および経済産業省が公表している「マネー・ローンダリングおよび
テロ資金供与対策に関するガイドライン」等を踏まえ、お客さまが弊社にご登録いただいている
各種情報等について、現在の情報に更新されているかどうかを確認させていただいております。
お客さまにはお手数をおかけすることとなりますが、よろしくお願い申しあげます。

全部でたらめなのでどうでも良いですが、メールを突如送っておいて、確認サイトの有効期間が
48時間ってちょっと短くありません？(笑)

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「アカウントのご利用確認のお知らせについてはこちら」って書かれたところに
張られていて、リンク先のURLがこちらです。

このURLにある”https://translate.google.com/”ってのは、Googleの翻訳サイトのURLです。
一旦Googleの翻訳サイトに飛ばすようなふりをして実際に遷移されるURLは、その後ろに書かれている
こちらのURLになります。

このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。

このように既に危険サイトと認識されており、ブラックリストに登録済み。
そのカテゴリは「フィッシング」と書かれています。

じゃ、このサイトがフィッシング詐欺サイトかなと思うと、実はそうではなくて…(;^_^A
更にリダイレクト(自動転送)され最終的にはこちらのURLに飛ばされる仕組みになっていました。

詐欺師も用心深いようで手の込んだ事をしていますね。
このURLで使われているドメインは、サブドメインを含め”securisssty-admina.onedumb.com”
「ティーエスキュービックカード」には全く関連性の無いドメインが使われています。
では、このドメインの情報を取得してみます。

「Registrant Organization: changeip.com」とあるので、このドメインは、無料DDNSで有名な
「ChangeIP」で無料で借りられているもののようで、手の込んだ事をしているようで姑息な野郎です。(笑)