ご丁寧にデバイスやIPアドレスまで書いてある 「ETC利用照会サービス」を騙る新たな手口のフィッシング詐欺メールが到着。
今回は、アカウントの期限切れではなくアカウントへ異常なログインがあり利用を一時停止したというもの。
ご丁寧に、異常に接続したデバイスの情報やIPアドレスまで記載されています。 では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。 件名は
「[spam] 【重要】普段と異なる環境からのログインを検知しました（ETC利用照会サービスピューロー）」
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
ここにある「サービス・ビューロー」とは、他社の業務を料金を取って請け負う事業または会社のことです。
何故だかフィッシング詐欺メールは難しい言葉を並べて受信者を困惑させようとしますね。 この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。 差出人は
「ETC利用照会_ <admin@ml.etc-meisai.jp>」
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。
差出人名が中途半端ですね、ちゃんと「ETC利用照会サービス」と書いてください！(笑) 上手く化けたつもりしょうか？…
”etc-meisai.jp”は確かに「ETC利用照会サービス」さんのドメインですが、
件名に”[spam]”とあるのでこのメールは詐欺メール故に偽装の疑いがあります。
その辺りを含め、次の項で見ていくことにしましょう。
あっさりと偽装が判明 では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースを確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した「フィールド御三家」がこちらです。 | Return-Path: 「rcw@hgsy.com.cn」 ”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されます。
でも、ここには”.cn”なんて中国のドメインを使ったメールアドレスが書かれています。
と言うことは、差出人のメールアドレスはウソですね！ | | Message-ID:「202210141236491621527@hgsy.com.cn」 ”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。 | | Received:「from hgsy.com.cn (unknown [103.14.35.110])」 ”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。 | 先に書いた通り”Received”に記載のIPアドレスは差出人が利用したメールサーバーのもの。
このIPアドレスが差出人のメールアドレスのドメインに割当てられているものと一致すれば
メールアドレスの偽装は無かったことが証明されますが、そうでない場合、特定電子メール法
違反となり処罰の対象とされます。 ※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰する では、メールアドレスにあったドメイン”ml.etc-meisai.jp”について調べてみます。
当然ちゃんと「中日本高速道路株式会社」さんの持ち物です。
そして”202.211.207.9”がこのドメインを割当てているIPアドレス。
本来同じでなけれならない”Received”のIPアドレスが”103.14.35.110”ですから全く異なります。
これでアドレス偽装は確定。
この方にはしっかり罪を償っていただかなければなりませんね！ では次に「フィールド御三家」内にあったドメイン”hgsy.com.cn”について調べてみます。
今度は”Received”のIPアドレスが”103.14.35.110”と合致しましたね！
これでこの方のメールアドレスのドメインは”hgsy.com.cn”であると判明しました。 「フィールド御三家」の中で一番重要なのは”Received”
これを紐解けば差出人の素性が見えてきます。
”Received”のIPアドレス”103.14.35.110”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。
IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上でご覧ください。 ピンが立てられたのは、香港の「Central and Western」付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。
詐欺サイトはドイツにあり！ では引き続き本文。 | ETCサービスをご利用のお客様へ： アカウントに異常なログイン記録があります。アカウントの安全のために、 アカウントを停止いたしました。通常のご利用に影響を与えないよう、お早めにアカウントを
有効にしてください。 アカウントのアクティブ化の手順 あなたがETCの所有者である場合、ETCの異常なログイン行動を取り除くために、私たちは
あなたの個人情報の有効性を検証する必要があります。 アカウントをアクティブ化するには、以下のリンクをクリックするだけです。 会員情報の管理ページで確認 ご確認いただきたいログイン操作】 検知日時
2022/10/11 IPアドレス
133.200.194.64 (JPN) OS Windows 10 ブラウザ:
Chrome ご利用ありがとうございます、どうぞよろしくお願いいたします。
ご不明な点がございましたら、以下までお問い合わせください。 ＊48時間以内にあなたのアカウント情報を更新しない場合、私たちは残念ながらあなたにお知らせします。
私たちはあなたのアカウントを無効にしなければなりません。＊このメールは送信専用です。
このアドレスに送信いただいても返信いたしかねますので、あらかじめご了承願います。
＊このメールも重要なシステム通知としてメールを受けたくない顧客に送信されます。 ETC利用照会サービス事務局East Nippon
ExpresswayCompany Limited，West Nippon Expressway Company
Limited.Copyright(C)2021 | 書いてあるのは、他の詐欺メールでよくある異常なログインについて。
検知日時には10月11日とありますが、と言う割には時刻が書かれていません。
それに、このメールを受け取ったは10月14日。
ちょっと遅くないですか？ ご丁寧に”133.200.194.64”とIPアドレスまで書いてあるので、一応割り当て地を確認してみると
東京都千代田区と出ました。 このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「会員情報の管理ページで確認」って書かれた黄色いボタンに張られていて、
リンク先のURLがこちらです。
でもこれは偽装されていて、接続するとリダイレクト(自動転送)されてこちらのURLに飛ばされる
仕組みになっています。
 このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。
このように既に危険サイトと認識されており、ブラックリストに登録済み。
そのカテゴリは「フィッシング」と書かれています。 このURLで使われているドメインは、サブドメインを含め”etrc-info-etc.jp.nongy.com.cn”
またしても”.cn“と中国のドメインが使われています。
このドメインにまつわる情報を取得してみます。
残念ながら申請者など詳しい情報は取得できませんでした。 かろうじて分かったこのドメインを割当てているIPアドレスは”165.227.154.147”
このIPアドレスを元にその割り当て地を確認してみます。
おっと、既にこのIPアドレスも既にブラックリストに登録されて、脅威レベルは「高」
その詳細はWebによるサイバーアタックとされています。
そしてピンが立てられのは、ドイツのフランクフルト付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。 危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。 すると当たり前のように「ETC利用照会サービス」と書かれたログインページが表示されました。
もちろん偽サイトですから絶対にログインしないでください。
もし誤ってログインしてしまった場合は、ETCカードに記載のあるお問い合わせ先へ
至急連絡を入れてください。
まとめ 思えば「ETC利用照会サービス」関連が連投になってしまいました。
それだけこちらを騙る詐欺メールが多いということです！ 恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。 いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; | 