『詐欺メール』『【エポスカード】アカウントの不正ログインについてのお知らせ』と、来た件

★フィッシング詐欺解体新書★

『拝啓　EPOSカードサポートチーム様』って…

株式会社丸井グループの子会社で、クレジットカード会社の『エポスカード』から
このようなメールが届きました。

片言のような日本語で『私たち』を連呼するこのメールは、明らかに悪意を持った詐欺メールです。
だいたい冒頭の『拝啓　EPOSカードサポートチーム様』っておかしいでしょ？
末尾の『EPOSカードサポートチームより』を見る限り差出人のあなたが『EPOSカードサポートチーム』
なのではないのでしょうか？
これじゃこのメール自分に宛みたいじゃないですか…(;’∀’)

まあ詐欺メールに御託並べても仕方が無いので、早速このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。

件名は『【エポスカード】アカウントの不正ログインについてのお知らせ』
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。

差出人は
『”エポスカード” <member@epos-net.com>』
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

『エポスカード』さんのサイトでURLを見ればわかりますが、エポスカードさんの公式な正規ドメインは
”eposcard.co.jp”で、このメールアドレスに使われている”epos-net.com”ではありません。
故にこの差出人はエポスカードの可能性は低いと思われます。

空きドメインでメールを送る？

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まずはこのドメインに付いて調べてみましょう。

おや？『対応するIPアドレスがありません』とありますね。
もしかしてこのドメイン使われていないものかも知れませんよ！
そう思って『お名前.com』さんに行って取得可能か調べてみました。

やはりこのドメインは現在空いていていつでも取得できるようですよ！
と言うことは、現在このドメインをネット上で使うことはできませんよね。
これで差出人はメールアドレスを偽装していることは確定です。
これは特定電子メール法
違反となり処罰の対象とされます。

※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰する

次に、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、『表示(V)』⇒『メッセージのソース(O)』と進むと見られますよ。

”Received”に記載のIPアドレスは差出人が利用したメールサーバーのもので送信サーバーが自身で刻む
自局のホスト情報です。
記載されている末尾の数字は、そのサーバーのIPアドレスになり、これを紐解けば差出人の素性が
見えてきます。
このIPアドレスを元に送信に使われた回線情報とその割り当て地を確認してみます。

送信に利用されたのは、『Kamatera』と言うプロバイダーです。

位置情報は、IPアドレスを元にしているので、かなりアバウトな位置であることを
ご承知いただいた上でご覧ください。

代表地点としてピンが立てられたのは、『シカゴ』付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

『拝啓』から始まって『敬具』で終わる

では引き続き本文。

『拝啓』から始まって『敬具』で終わるこのメール、差出人は相当マナーを重んじる人なのでしょうね。(笑)
それにしても『私たち』ってフレーズがお好きなようですね。(笑)

このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは『クリックしてログインします』って書かれたところに付けられていて、
そのリンク先のURLとノートンの『セーフウェブレポート』での危険度評価がこちらです。

既にしっかりブラックリストに登録済みですね。

このURLで使われているドメインは、サブドメインを含め”eposa-net.3utilities.com”
このドメインにまつわる情報を取得してみます。

管理者は、無料でDynamic DNSを貸し出しているアメリカの『No-IP』
ここを利用すればタダでドメインを取得することができます。
姑息にもこの詐欺師、お金を掛けずにドメインを借りて利用しているようですね。

このドメインを割当てているIPアドレスは”173.82.219.77”
このIPアドレスを元にサイト運営に利用されているホスティングサービスとその割り当て地を確認してみます。

またここですか。
最近よく見かける『カリフォルニア州交通局』付近の地図ですね。
この辺りにリンク先詐欺サイトを営むウェブサーバーが設置されているようです。
そのウェブサーバーは『Multacom Corporation』と言うホスティングサービスのもののようです。

危険だと聞かされると余計に見に行きたくなるのが人間のサガ…(;^_^A
それを承知で、しっかりとセキュリティーの整った環境下で見に行ってみました。

本物そっくりのログインページが開きました。
ここにIDとパスワードを入力してログインボタンを押してしまうと、その情報が詐欺師に流れてしまいます。
そして次に開いたページで個人情報を更新させると称しそれらの情報や、更にはカードの情報まで
詐取されることでしょう。

まとめ

リンク先の詐欺サイトは、今日現在稼働中と言うことで十分ご注意いただきたいと思います。

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;