『詐欺メール』「【NHKカスタマーセンター】日本放送協会からのお知らせ」と、来た件

★フィッシング詐欺解体新書★

なぜNHKが私のメールアドレスを知ってるの？

NHKから突然受信料の未払いに関するメールが届きました。

このメールはNHKを騙った詐欺メールです。
もちろん善良な市民ですから自動振替によりしっかり支払わせていただいておりますので
そんなメールが来るはずはありません！
それに何より、NHKが私のメールアドレスを知るはずもありませんしね！

リンクをたどって支払い状況の確認を促すように書かれていますが、そのリンク先は詐欺サイト。
そこで個人情報やクレジットカードの情報を盗み出し悪用しようとするのがこのメールの目的です。

では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。

件名は
「[spam] 【NHKカスタマーセンター】日本放送協会からのお知らせ」
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「”NHK” <info@cstv-nhk.buzz>」
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

”.buzz”と言うドメインは「バズ・騒音・うなり」などを表すドメインです。
国営放送を営む放送局がそのようなドメインを使うはずがありません！
「NHK」さんには、ちゃんと”nhk.or.jp”って正規ドメインをお持ちです。
正規ドメインが有るのにそれ以外のこのようなでたらめなドメインを使ったメールアドレスで
ユーザーさんにメールを送るなんて信用問題に関わる大きな問題です。

危険なIPアドレス

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースを確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した「フィールド御三家」がこちらです。

では、”Received”にあったドメイン”mail.cstv-nhk.buzz”について調べてみます。

このドメインを割当てているIPアドレスは”104.218.166.197”で”Received“に記載のものと一致。
この差出人は、本当のNHKのメールアドレスとは異なるものの、自身が取得しているアドレスを
使いこのメールを私のところへ送ったようです。
そしてこのドメインの取得を代行した登録者は、匿名で登録代行をすることで知られている
アメリカの「PrivacyGuardian.org」
匿名故にサイバー犯罪の温床になると問題視されている代行企業です。

「フィールド御三家」の中で一番重要なのは”Received”
これを紐解けば差出人の素性が見えてきます。
”Received”のIPアドレス”104.218.166.197”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその危険性と割り当て地を確認してみます。

このIPアドレスの持つ脅威レベルは「高」で、脅威の詳細は「サイバーアタックの攻撃元」
攻撃対象は「メール」とされていますから、悪意のある物として周知されているようです。

位置情報は、IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上で
ご覧ください。
ピンが立てられたのは、ベトナムのホーチミン付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

記載されている電話番号を調べると…

では引き続き本文。

リンク先を確認する前に気になったのは、「050－3465－1640」と言う電話番号。
これを「Jpnumbe」さんで調べてみるとこのような結果が…

どうやらこの番号は、フィッシング詐欺で使われているとして情報登録されています。
電話を掛けるとどのような対応をされるのか、少々興味があります…(笑)

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは、本文内に2箇所張られていて、リンク先のURLとトレンドマイクロの
「サイトセーフティーセンター」での危険度評価がこちらです。

おっと、まだ「未評価」のようです。
このようなフィッシング詐欺サイトがこの評価ではあまりにも危険すぎます。
評価を変更していただけるよう早速申請しておきます。

このURLで使われているドメインは、”japa-nihk-cstv.buzz”とこれまたNHKとは全く関連性の無い
ドメインが使われていますね！
このドメインにまつわる情報を取得してみます。

またもや「PrivacyGuardian.org」が登録代行を行っているドメインですね。

そしてこのドメインを割当てているIPアドレスは”43.243.111.204”
このIPアドレスを元にその割り当て地を確認してみます。

こちらもIPアドレスを元にしているので、アバウトな位置であることをご承知いただいた上で
ご覧ください。
今度ピンが立てられのは、香港の荃湾(Tsuen Wan)付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

「サイトセーフティーセンター」での危険度評価から、おそらくどこからもブロックされることなく
無防備に放置されているであろうリンク先のサイトへ、安全な方法で訪れてみました。

すると開いたのは「受信料の窓口」と書かれた支払い手続きのページ。

氏名の入力フォームが出ていますが、この下にさらに連絡先のメールアドレスや住所など
個人情報の入力フォームが続き、最後に支払いコースの選択が表示されています。

いちいち確認はしませんが、全てのフォームを埋め、「お客様情報の入力を完了する」と書かれた
ボタンを押すと、次にはきっとクレジットカード情報を急力するフォームが開くものと思われます。
そこまで埋めてしまうと、詐欺が成立してしまうわけです。

まとめ

差出人のメールアドレスや、リンク先のURLなどをよく注意していれば必ず詐欺とわかります。
このようなメールが届き焦ってしまうことがとても危険です。
落ち着いてしっかり判断できる目を持つようにしてください。

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;