『詐欺メール』「ヤマト運輸」に化けた詐欺メールが大量に届く件

★フィッシング詐欺解体新書★

こんなに送ったら逆に怪しまれない？

これ、昨夜から今日午前中にかけて届いた『ヤマト運輸』に化けたフィッシング詐欺メール。
私にこれだけ届いているんで、きっと皆さんのお手元にもたくさんのメールが届いていることでしょう。

どれも全部件名の見出しに”[spam]”とスタンプされているので全て悪意のあるメールです。
1通だけにしときゃ良いものをこんなに送ったら逆に怪しまれるでしょ…(;^_^A

件名はそれぞれこんな感じです。
『[spam] 【クロネコメンバーズ】大至急❗️配達状況お問い合わせ」』
『[spam] 【ヤマト運輸】お届け時ご不在のご連絡』
『[spam] 【ヤマト運輸】重要なお荷物が届きましたが、受取人と連絡が取れませんでした』
『[spam] 【ヤマト運輸】サービスをご利用頂き、誠にありがとうございました。』
『[spam] 【ヤマト運輸】郵便物が配達できないため、配送情報をご補充ください』
今のところこの5種類。

件名は5種類有るものの、本文は2種類。
1つは受取人に連絡が取れないので受取人情報を更新をネタにリンクに誘い込むもの。
もう一つは、シンガボールからの国際郵便物が宛先と電話番号に誤りがあるので、リンクから
情報を更新しろと言うもの。
差出人のメールアドレスは、どれもヤマト運輸の公式ドメインが使われた
”info@kuronekoyamato.co.jp”とされています。
もちろん偽装です。

中国奥地にあるメールサーバーから

では、このメールの中から一番新鮮なものを選び、フィッシング詐欺メールであることを
立証していきましょう。
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、「表示(V)」⇒「メッセージのソース(O)」と進むと見られますよ。

先に書いた通り”Received”に記載のIPアドレスは差出人が利用したメールサーバーのもの。
このIPアドレスが差出人のメールアドレスのドメインに割当てられているものと一致すれば
メールアドレスの偽装は無かったことが証明されますが、そうでない場合、特定電子メール法
違反となり処罰の対象とされます。

※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰する

では、メールアドレスにあったドメイン”kuronekoyamato.co.jp”が差出人本人のものなのかどうかを
調べてみます。

持ち主は当然『ヤマト運輸株式会社』とされています。
これによると”23.43.249.24”がこのドメインを割当てているIPアドレス。
基本的にこのIPは”Received”のIP”182.144.53.123”と同じ数字の羅列になるはずですが、
それが全く異なるのでこのメールのドメインは”kuronekoyamato.co.jp”ではありません。
これでアドレスの偽装は確定です！

”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
記載されている末尾の数字は、そのサーバーのIPアドレスになり、これを紐解けば差出人の素性が
見えてきます。
このIPアドレスを元に送信に使われた回線情報とその割り当て地を確認してみます。

送信に利用されたのは、中国最大の固定電話回線サービス「Chinanet」が営むプロバイダーです。

位置情報は、IPアドレスを元にしているので、かなりアバウトな位置であることを
ご承知いただいた上でご覧ください。

代表地点としてピンが立てられたのは、中国奥地「中国 四川省 雅安市」付近です。
こんな場所にヤマト運輸さんがメールサーバーを持ってるはずがないですよね！”

ヤマト運輸がロスにウェブサーバーを？！

このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンク先のURLとNorton「Safe Web」での危険度評価がこちらです。

既にしっかりブラックリストに登録済みですね。
リンクへ移動してもサイトはブロックされるでしょう。

このURLで使われているドメインは、サブドメインを含め”www.kueroanaskayasetn.co.jp.denggw.cn”
このドメインにまつわる情報を取得してみます。

このドメインの登録者は、ヤマト運輸を騙る詐欺メールでは良く見掛ける中国の企業。
このドメインを割当てているIPアドレスは”155.94.143.9”
このIPアドレスを元にサイト運営に利用されているホスティングサービスとその割り当て地を確認してみます。

利用されているウェブサーバーは『Public Network』なんてホスティングサービスのようです。

こちらもIPアドレスを元にしているので、アバウトな位置であることをご承知いただいた上で
ご覧ください。
地図上にピンが立てられたのは『ロサンゼルス』付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

リンク先は、このような情報変更を依頼するページ。

面倒なので先には進みませんが、この先で個人情報を入力させられた上に再配達料金と称し
100円をカードから支払うよう促されカード情報を盗み取ろうとしてきます。

まとめ

だいたいヤマト運輸がどうして私のメールアドレスをご存じなのでしょう？
リンクを押す前に、まずそこに気が付かなければなりません！

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;