でも中国の漢字じゃねこのところ「ファミペイ」を騙った詐欺メールが横行しておりAmazonなどとトレンドの上位を
争っています。
今日もこのように中国の漢字を自在に操る詐欺目的のメールが届きました。 
書いてあるのは以前この時にご紹介した内容と全く同じものです。 『詐欺メール』「＜緊急!FamiPay 重要なお知らせ＞」と、来た件
本文の内容に関してはそちらをご覧いただくとして、さっそくこのメールを解体し詳しく
見ていきましょう！
まずはプロパティーから見ていきましょう。 件名は
「[spam] 【重要】ファミペイ からの緊急の連絡」
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。 差出人は
「”FamiPay” <info@family.co.jp>」
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。 ”family.co.jp”は確かに「」のドメインですが、件名に”[spam]”とあるのでこのメールは詐欺メール故に
偽装の疑いがあります。
その辺りを含め、次の項で見ていくことにしましょう。
あくまでドメインは”family.co.jp”と言い張るようなのででは、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースを確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した「フィールド御三家」がこちらです。 | Return-Path: 「auc@family.co.jp」 ”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。 | | Message-ID:「8FB34196D4C05A78462874D1CC4D486E@family.co.jp」 ”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。 | | Received:「from family.co.jp (unknown [180.76.149.175])」 ”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。 |
この差出人は、あくまで自分のドメインは”family.co.jp”と言い張るようですね。
ならばその鼻っ柱をへし折ってやりましょうか！ 先に書いた通り”Received”に記載のIPアドレスは差出人が利用したメールサーバーのもの。
このIPアドレスが差出人のメールアドレスのドメインに割当てられているものと一致すれば
メールアドレスの偽装は無かったことが証明されますが、そうでない場合、特定電子メール法
違反となり処罰の対象とされます。 ※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰する では、メールアドレスにあったドメイン”family.co.jp”について調べてみます。 
当たり前ですが、このドメインは「株式会社ファミリーマート」さんの持ち物です。
そして”202.232.114.4”がこのドメインを割当てているIPアドレス。
本来同じでなけれならない”Received”のIPアドレスが”180.76.149.175”ですから全く異なります。
これでアドレス偽装は確定。
この方にはしっかり罪を償っていただかなければなりませんね！ 「フィールド御三家」の中で一番重要なのは”Received”
これを紐解けば差出人の素性が見えてきます。
”Received”のIPアドレス”180.76.149.175”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。 
IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上でご覧ください。 代表地点としてピンが立てられたのは、フィッシング詐欺メールの一大生産地の北京にある
「天安門広場東側」付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。
押せないリンクボタンでは引き続き本文。 | こんにちは ファミペイ アカウントが第三者に悪用されたことが検出され，アカウントが制限されました。メールを受信したらすぐに关连情报を确认して制限を解除してください。リンクをクリックしない场合は注意してください。以下の12时间以内の确认のため，アカウントは常に制限されます。ご容赦ください。ファミペイチームは常にお客様の资产情报のセキュリティ保护に取り组んでいます。
情报を确认すると，5000円のショッピング割引が适用されます。ご协力ありがとうございます。
ファミペイ サインイン ありがとうございました
ファミペイショッピングチーム敬具 |
本文をそのままコピペしてあるので文字化け等はご容赦ください。 このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「ファミペイ サインイン」って書かれたところに張られていて、リンク先の
URLはこんな感じなっています。 | file:///D:/%E6%8C%AA%E7%A7%BB/%E4%B8%BB%E6%9C%BA%E5%8F%91%E4%BB%B6/%E5%85%A8%E5%AE%B6pay/%E6%94%B9/3-%E7%85%A4%E7%82%89/Supmailer/http://www.famipay.famldiigi.a3822.cn/ |
前もそうでしたが、”file:///D:”から始まっているので、このURLはPCの”Dドライブ”を示し
ローカル環境下でのURLになっています。(笑)
なのでこのリンクボタンは有効ではなく何度押しても無反応です。
恐らくこの方は赤字で示したURLにリンクをさせようとしたのでしょう。
このURLをトレンドマイクロの「サイトセーフティーセンター」での危険度評価がこちらです。 
このように既に危険サイトと認識されており、ブラックリストに登録済み。
そのカテゴリは「フィッシング」と書かれています。 このURLで使われているドメインは、サブドメインを含め”www.famipay.famldiigi.a3822.cn”
このドメインにまつわる情報を取得してみます。 
このドメインの持ち主さんは、中国の有限会社。
「ファミペイ」を騙る詐欺メールのリンク先ドメインはいつもこの企業が持ち主ですね。 このドメインを割当てているIPアドレスは”204.44.88.69”
このIPアドレスを元にその割り当て地を確認してみます。 
こちらもIPアドレスを元にしているので、アバウトな位置であることをご承知いただいた上で
ご覧ください。
代表地点としてピンが立てられのは、詐欺サイトのメッカ、ロサンゼルス近郊のリトルトーキョーに程近い場所。
フィッシング詐欺サイトは、この付近に密集しています！
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。 危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。 
開いたのはこれまでにも何度か見たことのある「FamilyMart」と書かれたログインページ。
もちろん詐欺サイトですから絶対にログインしてはいけません。
ここに電話番号とパスワードを入力してログインしてしまうと、そのアカウント情報が
詐欺班に盗み取られてしまい詐欺を実行されてしまいます。
まとめリンクボタンが押せなくては騙されたくても不可能です。(笑)
犯人側もちゃんと接続できるかどうかチェックしないのでしょうかね？ でも恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。 いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; | 
