『詐欺メール』「EFT 送金で支払われた請求書のリストを見つける」と、来た件

★フィッシング詐欺解体新書★

広島県のホテルから

このようなウイルスが添付された危険なメールが複数うちの社のインフォメールアドレスに届きました。

ここで出てくる「EFT 送金」とは、お金などの受け渡しによらずに、コンピューターネットワークを
通じて資金移動を行うこと言います。

冒頭の「支払いが送信されました に: info@*****.***」
なんだか日本語の使い方間違っていますよね…(;^_^A

添付されていたファイルは「HTML/Phishing.CYP!tr」で、サーバー側で自動削除されたようです。
このファイル「脅威百科事典」で調べてもらいました。

トロイの木馬に分類されるマルウェアでリモートによりデバイスが乗っ取られ様々な悪さを行うようです。

では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。

件名は
「EFT 送金で支払われた請求書のリストを見つける」
この件名にはいつも危険なメールに付けられる”[spam]”とスタンプがありませんね。
これはサーバーの怠慢です。
でも、ウイルスは自動削除されたので良しとします(笑)

差出人は
「info <yoyaku@hotelmakoto.co.jp>」
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

このメールアドレスからすると、差し出したのは広島県にある「宮島ホテルまこと」と言うことになります。
アカウント名が”yoyaku”とされているので、予約専用のメールアドレスなのでしょうね。
もしかしたら「宮島ホテルまこと」さんにもこのメールが送られて運悪く感染してしまいウイルスメールの
発信元の温床となってしまったのでしょうか？
その辺り含め、次の項で見ていくことにしましょう。

お気の毒に…

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースを確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した「フィールド御三家」がこちらです。

では、メールアドレスにあったドメイン”hotelmakoto.co.jp”について調べてみます。

んー、これによると、このドメインはやはりAmazonが管理を委託されているようですね。
増々「宮島ホテルまこと」さんが被害に遭っている公算が高くなってきましたね。

”54.95.36.87”がこのドメインを割当てているIPアドレス。
まずこのIPアドレスを逆引きしてみます。

やはり”compute.amazonaws.com”と”Received”と全く同じ内容が記載されていますね。
残念ながら「宮島ホテルまこと」さんからの発信であることがほぼ確定。
このようなトロイの木馬に感染してしまうと、デバイス内に保存されているメールアドレスに対し
このようなウイルス付きのメールを機械的に発信してしまうので、ホテルと言うことで、利用客や
取引業者なと相当数のメールアドレスが漏洩し、その大量のメールアドレスに対してもこのような
メールを配信してしまうため「宮島ホテルまこと」さんは火消しに躍起になって大変なことになって
いるものと思われます。
お気の毒です…

まとめ

最近特にこのようなウイルスの添付されたメールが多くなっているように感じます。
うちの場合は幸いにサーバー側で自動削除さましたが、全部のサーバーがそのようなセキュリティーを
施しているものではないので、注意が必要です。
知っている相手でも不用意に添付ファイルは開かず、必ずセキュリティーソフトにてウイルスチェックを
行ってから注意深く扱うようにしてください。

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;