『詐欺メール』『【さくらのクラウド】クレジットカードご確認のお願い』と、来た件

★フィッシング詐欺解体新書★

クレジット使えないんじゃ？

国内でホスティングサービスを展開する『さくらインターネット』からクレジットカードの認証に
失敗したとメールが入りました。

実はその昔、こちらでサーバーをレンタルさせていただいたことがありましたがそれはもう10年以上
前のことで、現在は契約を切ってあります。
ですからこのような請求は身に覚えがありません。
それに、クレジットカードが使えないと書いてあるにもかかわらずそれ以降の行にこのように書いてあります。
『今月末までに問題が解消されない場合、会員メニューからのクレジット決済または 銀行振込みいただくことになります。』
クレジット決済ってカード払いのことでしょ？
使えないんじゃないの？
意味わかりませんわ…(;^_^A

更にリンクに使われているドメインもさくらインターネットの公式ドメインじゃないものが使われています。
ホスティングサービスを生業にするIT企業が自社ドメインを使わないなんて怪しさしかありません！

では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。

件名は『[spam] 【さくらのクラウド】クレジットカードご確認のお願い』
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

差出人は
『”さくらインターネット” <nefp@dengdaiwl.com>』
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

このドメインもさくらインターネットの公式ドメイン”sakura.ad.jp”と異なりますから
この差出人はさくらインターネットの関係者ではありません！
その辺りを次の項で少し詳しく見ていくことにします。

なんと詐欺師もさくらインターネットユーザー？！

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、『表示(V)』⇒『メッセージのソース(O)』と進むと見られますよ。

この”Received”に記載のIPアドレスは差出人が利用したメールサーバーのもの。
このIPアドレスが差出人のメールアドレスのドメインに割当てられているものと一致すれば
メールアドレスの偽装は無かったことが証明されますが、そうでない場合、特定電子メール法
違反となり処罰の対象とされます。

※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰する

それ以前にこのドメイン”dengdaiwl.com”が胡散臭いんで『お名前ドットコム』さんで空き状態を
確認してみると、このような結果が出ました。

『〇』が付いているのでこのドメインが現在取得可能な空きドメイン。
当然空きドメインのメールアドレスなんて使えるはずがありませんからこの差出人が使ったとされる
メールアドレスはウソ！
これでアドレスの偽装は確定です！

”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
記載されている末尾の数字”133.242.232.245”は、そのサーバーのIPアドレスになり
これを紐解けば差出人の素性が見えてきます。
このIPアドレスを元に送信に使われたホスト情報とその割り当て地を確認してみます。

送信に利用されたのは、なんと『さくらインターネット』(;^_^A
この方自身がユーザーだったんですね…(-_-;)

そして位置情報。
IPアドレスを元にしているので、かなりアバウトな位置であることをご承知いただいた上でご覧ください。

代表地点としてピンが立てられたのは、日本武道館に程近い『東京都千代田区九段南』付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

サーバー乗っ取りと思いきや

では引き続き本文。

(直リンク防止のためリンクURLの一部の文字を変更してあります)

このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは本文内に直書きされていていますが、そのリンク先のURLとトレンドマイクロの
『サイトセーフティーセンター』での危険度評価がこちらです。

既にしっかりブラックリストに登録済みですね。
リンクへ移動してもサイトはブロックされるでしょう。

このURLで使われているドメインは、サブドメインを含め”secure-sakura-ad.jp.amxon-nak.com”
このドメインにまつわる情報を取得してみます。

このドメインを管理しているのは、中国遼寧省割瀋陽の方。
そして割り当てているIPアドレスは”198.55.106.215”
このIPアドレスを元にサイト運営に利用されているホスト情報とその割り当て地を確認してみます。

サイト運営に利用されているホストはアメリカの『QuadraNet Enterprises LLC』

こちらもIPアドレスを元にしているので、アバウトな位置であることをご承知いただいた上で
ご覧ください。
地図上にピンが立てられたのは、詐欺サイトのメッカ『ロサンゼルス』付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険だと聞かされると余計に見に行きたくなるのが人間のサガ…(;^_^A
それを承知で、しっかりとセキュリティーの整った環境下で見に行ってみました。

本物そっくりのログインページが開きました。
ここにIDとパスワードを入力してログインボタンを押してしまうと、その情報が詐欺師に流れてしまいます。
興味があったので適当に入力して次に進んでみました。

サーバーの乗っ取りかと思ったら、しっかりカードの情報を聞いてきました。
カード詐欺だったのですね！

まとめ

それにしてもしっかり作りこまれた偽サイトですね。
こんなことに労力を使うんだったらもっと世のためになることに尽力すれば良いと思うのですが…

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;