『詐欺メール』「【ご注意】三井住友銀行カードご利用確認」と、来た件

★フィッシング詐欺解体新書★

「おメール」なんて妙にご丁寧ですね！(笑)

三井住友カードを騙ったフィッシング詐欺メールも多く見られます。
今月の支払い金額を確認を偽ったり、第三者の不正利用を騙ったり。
今回もその類の怪しいメールが届いたので、いち早くご紹介すべくブログを書いております。

そのメールがこちらです。

なんでもクレジットカードに問題が検出されたとのこと。
それを理由にカード利用を一時停止していると書かれています。

確かに私、こちらのカードを持っていますが、登録に用いたメールアドレスはこのメールアドレスでは
無くこのアドレスに三井住友カードからメールが届くのは不信です。
それにここに表示されているアカウント登録したものではありません。

ツラツラと読み進めていると「おメール」ってくだりに目が止まります(笑)
「おメール」ってあまりにも丁寧すぎませんか？
この差出人は日本人なのでしょうか？

では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。

件名は「[spam] 【ご注意】三井住友銀行カードご利用確認 5/17/2023」
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「三井住友カード株式会社 <member-smbc-card.com@togo2590.cn>」
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

本文の箇条書き部分にこのように書かれています。

これは、三井住友カードは”smbc-card.com”というドメインから送るので、このドメインからのメールを
拒否しないように受信設定をするように書かれていますよね？
あれれ？でもこのメールの差出人のアドレスのドメインは”togo2590.cn”ってどういうこと？
これじゃ頭隠して尻隠さずじゃないですか…(笑)

それに「お願いたします」って日本語間違っていますよね？
粗探しをしているわけじゃありませんが「い」が一つ不足しており、本来「お願いいたします」と
なるはずです。

発信元サーバーはシカゴ

もう既にこのメールは詐欺メール確定ですが、もう少し踏み込んで調査していきましょう！
まず、このメールのヘッダーソースにあるを”Received”確認してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。
ソースから抜き出した”Received”がこちらです。

”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。

これを紐解けば差出人の素性が見えてきます。
”Received”のIPアドレス”43.231.233.98”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその通信情報と割り当て地を確認してみます。

この差出人が利用したホスティングサービスは、アメリカニューヨークに本社を置く「Kamatera」

そして割り当て地。
IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上でご覧ください。

代表地点としてピンが立てられたのは、アメリカのシカゴ付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

リンクは偽装

では引き続き本文。

(直リンク防止のため直書きURLは一部文字を変更しています)

リンク先のURLは”smbc-card.com”と、いかにも三井住友カードの正規サイトのように書かれていますが
もちろんこれは大嘘！
試しにクリックしてみるとThunderbirdがこのようなメッセージを発しました。

どうやらリンク先のドメインは”nguyel.biz”だとのこです。

既に危険なサイトとして周知済み

リンク先のURLをトレンドマイクロの「サイトセーフティーセンター」で確認してみます。
その危険度評価がこちらです。

このように既に危険なフィッシングサイトと周知されていました。

このURLで使われているドメインは”nguyel.biz”
このドメインにまつわる情報を取得してみます。

このドメインの申請者は、中国の甘粛省の方。
そしてこのドメインを割当てているIPアドレスは”23.94.179.49”
このIPアドレスを元にその割り当て地を確認してみます。

こちらもIPアドレスを元にしているので、アバウトな位置であることをご承知いただいた上で
ご覧ください。
代表地点としてピンが立てられのは、アメリカニューヨークにあるバッファロー付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。

開いたのは三井住友カード会員専用のウェブサイトVpassへのログイン画面。
「重要なお知らせ」ってところに詐欺メールについて言及しているところが笑えますね。
これは、本家サイトを丸ごとダウンロードして、それを自分のウェブサイトにアップしているので
完全クーロンで本当のサイトとまったく見分けがつきません。
ユーザーの方は、間違っても絶対にログインしてはいけませんよ！

まとめ

深追いしてしまいましたが、差出人のメールアドレスを一目見れば詐欺メールと分かるメールでしたね。
でも中には巧妙なもの多く注意が必要です。

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;