『詐欺メール』「「au pay」本人確認を完了してください」と、来た件

★フィッシング詐欺解体新書★

本人確認にご注意を！

日々様々な迷惑メールや詐欺メールが届くのですが、今回は「au PAY」からこのようなメールが
仕事用のメールアドレスに届きました。

私、確かにauユーザーですが、もちろん仕事用のアドレスではユーザー登録していません。
なのになぜauがそのアドレスを知っているのでしょうか？
そう、それはこのメールが詐欺メールだからです！
末尾の署名も「© 2016 KDDI/au Commerce & Life, Inc.」なんて簡単な一行だけで済ましているし。
これじゃ連絡先もわからないのでビジネスメールのマナー違反です。

最近、このように意味不明な理由で本人確認を求める詐欺メールがかなり増えています。
auに限らず、メール本文に書かれたリンクから本人確認サイトへ誘導するメールには
注意が必要です！
それにしても狙われるキャリアはいつもauばかりですね…

では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。

件名は
「[spam] 「au pay」本人確認を完了してください」
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
細かいようですが、正式には「au pay」ではなく「au PAY」です。
大文字小文字を分け合って使い分けているので、正式なメールなら当然正規表現が使われるはずです。

それにこの件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「info@auone.jp <norelay@vumehq.cn>」
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

せっかく差出人名を”info@auone.jp“と名乗っているんだから、ウソでもよいので
メールアドレスにも”info@auone.jp”を使って欲しかったと思うのは私だけではないはず。(笑)
だって”norelay@vumehq.cn”なんてメールアドレスじゃ偽物って言っているようなものです。
それに”.cn”なんて中国の国別ドメインだし…

偽物だがメールアドレスの偽装は無し

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースを確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した「フィールド御三家」がこちらです。

では、メールアドレスにあったドメイン”vumehq.cn”について調べてみます。

このドメインの持ち主は、私には読むことのできない文字を含む漢字3文字の氏名の方。
そして”106.75.19.178”がこのドメインを割当てているIPアドレス。
”Received”のIPアドレスと全く同じですので、偽物ではあるもののメールアドレスの偽装は
行われていません。

「フィールド御三家」の中で一番重要なのは”Received”
これを紐解けば差出人の素性が見えてきます。
”Received”のIPアドレス”106.75.19.178”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上でご覧ください。

中国「Beijing Haidian」と書かれているので、代表地点としてピンが立てられたのは、北京市 海淀区
付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

リンク先は「ルクセンブルク」で運営中

では引き続き本文。

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「ログイン」って書かれたところに張られていて、リンク先の
URLとトレンドマイクロの「サイトセーフティーセンター」での危険度評価がこちらです。

おっと、まだ「未評価」のようです。
このようなフィッシング詐欺サイトがこの評価ではあまりにも危険すぎます。
評価を変更していただけるよう早速申請しておきます。

このURLで使われているドメインは、サブドメインを含め”jpau.cam”
このドメインにまつわる情報を取得してみます。

申請登録は、アメリカのホスティングサービス「Dynadot」
恐らくここに取得の代行を依頼したのでしょう。

このドメインを割当てているIPアドレスは”198.251.84.188”
このIPアドレスを元にその割り当て地を確認してみます。

今度ピンが立てられのは、ルクセンブルクのメルシュ付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。

開いたのは「au ID」と書かれたログインページです。
因みにこちらが本物のログインページ。

若干異なるようですが、見比べないとわからないレベルですね。(;´･ω･)

まとめ

このようなメールは、どこかで入手したアドレス宛に当たれば儲けものって感じで無差別的に
送られてくるものなのでauユーザーであろうが無かろうが奴らにはそんなこと構ったことじゃありません。
それにしても、いつも狙われるキャリアはauばかりです。
何かauにうらみでもあるのでしょうかね？(;^_^A

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;