サイトアイコン HEARTLAND

『詐欺メール』「東京総合病院から音声メッセージが2通あります」と、来た件

病院から音声メッセージって?!
※ご注意ください!
このブログエントリーは、フィッシング詐欺メールの注意喚起拡散を目的とし
悪意を持ったメールを発見次第できる限り迅速にをもっとうにご紹介しています。

このようなメールを受け取っても絶対に本文中のリンクをクリックしてはいけません!
リンク先は正規サイトを模した偽のコピーサイトで、フォームにアカウント情報や
クレジットカードの入力させそれらの情報を詐取しようとします。
被害に遭わないために絶対にリンクはクリックせず、どうしても気になる場合は
ブックマークしてあるリンクを使うかスマホアプリを
お使いになってログインするよう
心掛けてください!
また、気が付かずにログインしてしまった場合は、まず落ち着いてできる限り早く
パスワードの変更やクレジットカードの利用停止を行ってください。

★フィッシング詐欺解体新書★

実在しない医療機関から音声ファイルが

朝から怪しげなメールが2通立て続けに…(;^ω^)

本文はこんな感じ。

なんと差出人も宛先もなぜだか自分…(笑)
なのに本文内には「東京総合病院」と。
私、中部地方に在住しているので「東京総合病院」なんて心当たりがありません。
調べてみると、この名称の医療機関は存在しないようで、敢えて該当するとすれば「JR東京総合病院」
もちろん、私はその存在すら知らなかったのでそのような医療機関からメールなんて来るはずもないし
百歩譲って私が患者だったとしても、メールアドレスなんて医療機関が知るはずもありませんよね。

そして、このメールにはもっと恐ろしいことが隠されていて、本文には音声ファイルが添付されていると
書かれており、その添付ファイル部分にはこのように書かれています。

「The file [☎.htm] has been detected containing virus [HTML/Phishing.CYP!tr], and has been removed.」

直訳してみると

「ファイル [☎.htm] はウイルス [HTML/Phishing.CYP!tr] を含んでいることが検出され、削除されました。」

その添付ファイルはhtmファイルで、なんと「HTML/Phishing.CYP!tr」と呼ばれるウイルスが
付いていたようで、サーバー通過時にすでに駆除された模様です。
[HTML/Phishing.CYP!tr]と言うウイルスを「脅威百科事典」で調べてみました。

これによると、その添付ファイルは「トロイの木馬」と呼ばれるマルウェアで、リモートアクセスの
確立と書かれているので、感染するとデバイスを乗っ取られてしまうようです。

いったいこのような危険なメール、誰が送り付けてきたのでしょうか?
では、このメールを解体しわかる範囲で調べてみることにします。
まずはプロパティーから見ていきましょう。

件名は
「Email to ******」
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
「*****」部分には私のメールアドレスのアカウント部分(@より前の部分)が書かれていました。

差出人部分には、私のメールアドレスが記載されています。
皆さんはご存じでしょうか?
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは全く信用できない部分です。


Amazonのクラウドサービスを利用して

では、このメールがフィッシング詐欺メールであることを立証していきましょうか!
まず、このメールのヘッダーソースを確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した「フィールド御三家」がこちらです。

Return-Path: 「****@*****.***」

Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
ここも私のメールアドレスが記載されていましたが、ここは誰でも簡単に偽装可能な
フィールドですからこう書いたのでしょう。

Message-ID:「e1e71310-8cb6-42de-bc54-231799c250b6@*****.***」

Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、私のメールアドレスと同じドメインが書かれていました。
ここも偽装可能で鵜呑みにはできません。

Received:「from [127.0.0.1] (ec2-3-112-69-161.ap-northeast-1.compute.amazonaws.com [3.112.69.161])」

Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。

Received”を見ると”amazonaws.com”と書かれているので、恐らくこの差出人はAmazonの
運営するクラウドサーバーを利用してこの危険なメールを送信しているようです。

「フィールド御三家」の中で一番重要なのは”Received
これを紐解けば差出人の素性が見えてきます。
Received”のIPアドレス”3.112.69.161”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上でご覧ください。

代表地点としてピンが立てられたのは、「東京都渋谷区元代々木町」付近です。
どうやらこのメールは、この付近に設置されたAmazonクラウドのメールサーバーを介して
私に届けられたようです。


まとめ

もしも、私が利用している実在する医療機関からのメールで、サーバーやPCにセキュリティーが
施されていなかったらと思うとぞっとします。
人の弱みに付け込む本当に悪質なメールです!

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;


こういった詐欺まがいのブラッキーなメールは、本文中のリンクをクリックしないことが大切!
そしてOS付随のセキュリティーは充てにせず、必ず自身でセキュリティーソフトを導入し
防御することが大切です。
丸腰の方、躊躇しないで「ポチっ」としてご安全に!(*^^*)

モバイルバージョンを終了