『詐欺メール』「【ヤマト運輸】お届け先の住所が正しくなくて、お届けできません。すぐに対応してくださ」と、来た件

★フィッシング詐欺解体新書★

「重要なお荷物」って、中身見たの？

ヤマト運輸を騙る詐欺メールなんですが、なんかすべてに中途半端なんですよね…(汗)

件名は途中で途切れちゃってるし、冒頭からおかしなところで改行されてるし、リンク部分も
意味不明な途切れ方だし。
とにかく中途半端に改行が入れられている上に所々スペースが割り込まれているので読みにくくて
仕方ありません。(-_-;)

目を凝らして読んでみると、書いてある内容も支離滅裂。
件名には届け先の住所が正しくないとあるけど、本文には荷物に不備があると書かれているし
次には受取人と連絡が取れないとも…(;^_^A
それに「重要なお荷物」って、どうしてこの荷物が重要だと分かるのでしょうか？
もしかして中身見たの？(笑)

では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。

件名は
「[spam] 【ヤマト運輸】お届け先の住所が正しくなくて、お届けできません。すぐに対応してくださ」
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
どうしてこう中途半端なんでしょうね？
文字制限でもあったのでしょうか？
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「ヤマト運輸 <mae@cgsundi.cn>」
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

へぇ～っ、ヤマト運輸さんって中国企業でしたっけ？
だってメールアドレスのドメインが”.cn”って中国のものになってるじゃない？(笑)
「ヤマト運輸」さんには、”kuronekoyamato.co.jp”って正規ドメインをお持ちです。
正規ドメインが有るのにそれ以外のこのようなでたらめなドメインを使ったメールアドレスで
ユーザーさんにメールを送るなんて信用問題に関わる大きな問題です。

発信サーバーは上海にあり！

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースを確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した「フィールド御三家」がこちらです。

では、”Received”ドメイン”mail.cgsundi.cn”について調べてみます。

”124.71.200.202”がこのドメインを割当てているIPアドレス。
”Received”のIPアドレスと全く同じなので、ヤマト運輸のドメインではないもののメールアドレスの
偽装は認められませんでした。

「フィールド御三家」の中で一番重要なのは”Received”
これを紐解けば差出人の素性が見えてきます。
”Received”のIPアドレス”124.71.200.202”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその接続プロバイダーと割り当て地を確認してみます。

まず接続に利用されたプロバイダーは、ファーウェイが提供しているオンラインストレージ
「Huawei Cloud Service data center」です。

次にこのIPアドレスの割り当て地。
IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上でご覧ください。

代表地点としてピンが立てられたのは、中国上海付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

またしても中国の国別ドメインが

では引き続き本文。

そのままコピペしたので読みにくい点はご容赦ください。
このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは、冒頭の「ヤマト運輸」って部分と「て受け取り情報を確認くだ」って書かれた
ところに張られていて、リンク先のURLとサイトのトレンドマイクロの「サイトセーフティーセンター」
での危険度評価がこちらです。

このように既に危険サイトと認識されており、ブラックリストに登録済み。
そのカテゴリは「フィッシング」と書かれています。

このURLで使われているドメインは、サブドメインを含め”kuronekoyemato.3aep.cn”と
またしても中国の国別ドメインです。
このドメインにまつわる情報を取得してみます。

このドメインの持ち主さんは、私には読めない漢字を含み2文字の氏名の方。(「強」とはちょっと違う漢字)

このドメインを割当てているIPアドレスは”39.109.114.97”
このIPアドレスを元にその割り当て地を確認してみます。

こちらもIPアドレスを元にしているので、アバウトな位置であることをご承知いただいた上で
ご覧ください。

代表地点としてピンが立てられのは、香港付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

再配達料金と称しカード情報を求めてくる手口

危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。

おっと、さっそくウイルスバスターがブロックしてきました。
こりゃ相当ヤバそうです。

安全な方法でブロックされたサイトに行ってみると、アプリの更新画面ではなく
このような画面が開きました。

これは配送の進捗を示すページのようですね。
「すぐに更新」ボタンを押してみます。

開いたのは個人情報入力ページです。
「再発送しましから」って、さすがに詐欺メール、滑稽ですよね(笑)

適当に入力して更に「続行」と書かれた母店を押してみます。
すると開いたのは、なぜだかカード情報の入力ページ。

ありもしない再発送料金を理由にしてカード情報を盗み取ろうとしているのですね。
百歩譲って再配達料が発生するとしても、着払いだってあるんだから直接ドライバーに料金を支払っても
良さそうなもの。
カード払いに固執しているのが詐欺らしいですね(笑)

まとめ

今のところどこの配送業者にしても再配達に料金の発生はありません。
そのようなメールは詐欺ですからご注意ください。
確認してみると「ヤマト運輸」さんのサイトでも詐欺に関する注意喚起が行われていましたので
相当数の詐欺メールが送られてきているようです。

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;