『詐欺メール』「北海道電力利用料金のご請求です【重要なお知らせ】」と、来た件

★フィッシング詐欺解体新書★

北海道電力？沖縄電力？ETC利用照会サービス？

北海道電力と名乗るメールが届きました。

どうやら私、北海道電力に対し20,000円の電力料金の未払いがあるみたいです。

以前規制緩和の電力自由化に伴い、決められた電力会社以外のところから電力の供給が受けられるように
なったのは記憶に新しいところです。
私の住む地域でも、それまでの中部電力以外の東邦ガスやTOKAIでんきなど複数の企業から選択
できるようになりました。
でも、いくら何でも北海道電力ってのはどうなんでしょうか？(笑)

このメール、ケチの付け所が多く、我慢できずに色々落書きしちゃいました。(;^_^A
上から順に見ていくと。

まず差出人のメールアドレス。
”admin@ml.etc-eisai.jp”これ、『ETC利用照会サービス』さんのドメイン”etc-meisai.jp”と
酷似していませんか？(^^;)
ひょっとしてこの差出人、ETC利用照会サービスの詐欺メールにも加担しているのでしょうか？

そして、なぜだか本文中に『沖縄電力アドレス』なんて文字が…
北海道電力なのかETC利用照会サービスなのか、それとも沖縄電力なのか、、、はっきりしてほしいです。

でもって、驚いたのは支払期限日。
本文には『支払い期限：2023年6月13日 （支払期日の延長不可）』と書いてありますが、このメールの
送信日時が『2023年06月13日(火) 20:10:43』って…
全く猶予がありませんね、これじゃ何時、どこで、どうやって支払えばよいのでしょうか？…

では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。

件名は「[spam] 北海道電力利用料金のご請求です【重要なお知らせ】」
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

空きドメインでメールって送れるの？

では、メールアドレスにあったETC利用照会サービスさんのドメインと酷似したドメイン”ml.etc-eisai.jp”が
本当に使われているものなのかどうか『お名前.com』さんで空き状況を核にしてみると。

おやおや、このドメイン取得可能と出ましたよ！
ってことは、現在このドメインは空きドメインなのでどうやったってメール送信になんて利用できません。
故に、この差出人はやはりメールアドレスを偽装しているようです。
これは特定電子メール法違反となり処罰の対象とされます。

※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰する

では、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。

”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
記載されている末尾の数字は、そのサーバーのIPアドレスになり、これを紐解けば差出人の素性が
見えてきます。
このIPアドレスを元に危険性や送信に使われた回線情報とその割り当て地を確認してみます。

送信に利用されたのは、中国の「Beijing Baidu Netcom Science and Technology Co., Ltd.」と言う
プロバイダーです。

位置情報は、IPアドレスを元にしているので、かなりアバウトな位置であることを
ご承知いただいた上でご覧ください。

代表地点としてピンが立てられたのは、北京にある「天安門広場」東側付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

北海道電力が、ETC利用照会サービスさんのドメインによく似た空きドメインを使ったメールアドレスで
中国のプロバイダーを利用して、北京市にあるメールサーバーを介してメールをユーザーに送る…
絶対にあり得ません！！

詐欺サイトはロサンゼルスに

では引き続き本文。

相変わらず『リンクエント』なんて意味不明の言葉が使われていますね。

このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは「支払いの詳細リンクエント」って書かれたところに付けられていて、
そのリンク先はGoogleの「透明性レポート」のサイトステータスはこのようにレポートされていました。

既にしっかりブラックリストに登録済みですね。
リンクへ移動してもサイトはブロックされるでしょう。

このURLで使われているドメインは、サブドメインを含め”fineartprints.com.cn”
このドメインを割当てているIPアドレスを取得してみます。

このドメインを割当てているIPアドレスは”155.94.145.8”
このIPアドレスを元にサイト運営に利用されているホスティングサービスとその割り当て地を確認してみます。

利用されているウェブサーバーは『PACIFICRACK』と言う、カリフォルニアにあるホスティングサービス
の持ち物のようです。

こちらもIPアドレスを元にしているので、アバウトな位置であることをご承知いただいた上で
ご覧ください。
地図上にピンが立てられたのは『ロサンゼルス』付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

詐欺サイトに訪れてみる

危険だと聞かされると余計に見に行きたくなるのが人間のサガ…(;^_^A
それを承知で、しっかりとセキュリティーの整った環境下で見に行ってみました。

『Ｗｅｂ料金お知らせサービス』と書かれたログインページです。
本家のログインページを確認してみると、全く同じながら、最下段のコピーライト部分が画像切れ
していますね。。。(笑)
ここにIDとパスワードを入力してログインボタンを押してしまうと、その情報が詐欺師に流れてしまいます。
そして次に開いたページで個人情報を更新させると称しそれらの情報や、更にはカードの情報まで
詐取されることでしょう。

まとめ

これ以外にも、東京電力、関西電力、東京ガスなどのライフラインを供給する企業になりすます
不信な詐欺メールがいくつも届いています。
恐らく未払いがあってもメールで通知されることは無いと思いますので、これらの企業からメールで
未払いの督促があった場合は、詐欺と想定してご対処ください。

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;