『詐欺メール』「日本ヤマトからゆうパックのお届け予定をお知らせします」と、来た件

★フィッシング詐欺解体新書★

郵便物ってのもどうかと思いますが…

例のヤマト運輸絡みの「配送情報をご補充ください」ってメール、内容を若干変えながら
相変わらず届き続けています。

今朝届いていたのはこちらの「【ヤマト運輸e届け通知】」って見出しが半分隠れてしまっている
このメール。

件名を変えずにそのまま流用しているので件名と本文の内容が乖離しているのが分かりますね。
冒頭に「日本ヤマトからゆうパックのお届け予定をお知らせします。」と書かれていますが
ものすごく違和感を感じるのは私だけではないはず。
署名にある「UPSワールドワイド・エクスプレス・セイバ」と相まって荷物が国際便であることを
強調したいのでしょうけね…(笑)

そしてもう一つおかしな点があります。
この差出人、「ゆうパック」は日本郵便が提供するサービスってこと知っていないのでしょうか？
まさかヤマト運輸をが「ゆうパック」を提供しているなんて思ってないですよね？(;^_^A

ではまずはプロパティーから見ていきましょう。

件名は
「[spam] 【ヤマト運輸】郵便物が配達できないため、配送情報をご補充ください。」
最近この件名のメール多いですよね？
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「”ヤマト運輸株式会社” <mail@kuronekoyamato.co.jp>」
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

メールアドレスにあるドメインは確かにヤマト運輸さんのドメインですが、件名に”[spam]”と
あるのでこのメールは詐欺メール故に偽装の疑いがあります。
その辺りを含め、次の項で見ていくことにしましょう。

差出人は「WebARENA Indigo」のユーザー？！

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースを確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した「フィールド御三家」がこちらです。

この差出人は、あくまで自分のドメインは”kuronekoyamato.co.jp”と言い張るようですね。
ならばその鼻っ柱をへし折ってやりましょうか！

先に書いた通り”Received”に記載のIPアドレスは差出人が利用したメールサーバーのもの。
このIPアドレスが差出人のメールアドレスのドメインに割当てられているものと一致すれば
メールアドレスの偽装は無かったことが証明されますが、そうでない場合、特定電子メール法
違反となり処罰の対象とされます。

※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰する

では、メールアドレスにあったドメイン”kuronekoyamato.co.jp”について調べてみます。

当然ちゃんと「ヤマト運輸株式会社」さんの持ち物です。
そして”23.56.171.47”がこのドメインを割当てているIPアドレス。
本来同じでなけれならない”Received”のIPアドレスが”157.120.45.52”ですから全く異なります。
これでアドレス偽装は確定。
この方にはしっかり罪を償っていただかなければなりませんね！

「フィールド御三家」の中で一番重要なのは”Received”
これを紐解けば差出人の素性が見えてきます。
”Received”のIPアドレス”157.120.45.52”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその詳細情報や割り当て地を確認してみます。

このIPアドレスには、”kuronekoyamato.co.jp”ではなく”indigo.static.arena.ne.jp”と言うドメインが
割当てられているようです。
このドメインは、「NTT PC Communications」が提供するウェブサービス「WebARENA Indigo」で
使われているもの。
ということは、この差出人はこのサービスを利用してこのメールを送ってきたことになります。

次に位置情報。
IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上でご覧ください。
ピンが立てられたのは、東京都港区西新橋付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

「ヤマト運輸e届け通知」なんてサービスは実在しませ

では引き続き本文。

お荷物追跡番号と書かれていますが、その番号がどこにも記載されていませんね(笑)
それに検索すれば分かりますが「ヤマト運輸e届け通知」なんてサービスは実在しません。。。(;^_^A

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「荷物をご確認願います」って書かれたところに張られていて、リンク先の
URLとトレンドマイクロの「サイトセーフティーセンター」での危険度評価がこちらです。

おっと、まだ「未評価」のようです。
このようなフィッシング詐欺サイトがこの評価ではあまりにも危険すぎます。
評価を変更していただけるよう早速申請しておきます。

このURLで使われているドメインは、サブドメインを含め”koyamato.cydooz.top”
このドメインにまつわる情報を取得してみます。

申請登録は、中国江蘇省から。

このドメインを割当てているIPアドレスは”198.55.120.131”
このIPアドレスを元にそのの危険度と割り当て地を確認してみます。

脅威のレベルは「高」で、SSHに対する攻撃とされています。

こちらもIPアドレスを元にしているので、アバウトな位置であることをご承知いただいた上で
ご覧ください。
ピンが立てられのは、詐欺サイトのメッカ、ロサンゼルス近郊のリトルトーキョーに程近い場所。
フィッシング詐欺サイトは、この付近に密集しています！
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

トレンドマイクロの「サイトセーフティーセンター」での危険度評価からすると、リンク先サイトは
どこからもブロックされることなく無防備に放置されていると思われます。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。

開いたのは「荷物お問い合わせシステム」と書かれたページ。

このページしかないのでしょうか？
送り状番号が記載されていますが、今までにいくつか届いたヤマト運輸を騙る詐欺メールのリンク先に
書かれているものと全くじです。

まとめ

件名を変えずに送ってくるし、ヤマト運輸なのに「ゆうパック」と書かれているし、リンク先は
いつも同じページだし。
あまりやる気の無い詐欺師のようですね。
でも、報道とか見ていると、やっぱりと言うか何と言うかしっかり騙される人いるんですよね。
残念で仕方ありません…

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;