『詐欺メール』『楽天銀行からのお知らせ[追加認証を一時制限しました]』と、来た件

★フィッシング詐欺解体新書★

冒頭から笑わせてくれる

いついつも～♪
なんて演歌の歌詞みたいな冒頭で始まるメールが楽天銀行から届きました。(笑)

例によってメールアドレスのドメインは、中国の国別ドメインが使われていて、これだけ見ても
明らかに楽天銀行からではないことが分かりますね！

件名にも本文内に追加認証と言う言葉が何度か出てきますが、この追加認証とは、ユーザーの利用環境
（利用されているパソコンやネットワークなど）を総合的に分析し、普段と利用環境が異なり、本人か
どうかを確認する必要があると判断された場合に、行う認証で不正取引防止を図る機能です。
例の2段階認証と呼ばれたりする手法のことですね。

では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。

件名は『[spam] 楽天銀行からのお知らせ[追加認証を一時制限しました]』
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

差出人は
『”楽天銀行株式会社” <Rakuten1@hb0311.cn>』
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

もう多くを言う必要はありませんよね？
ドメインが”.cn”ですからこの差出人は楽天銀行の関係者ではありません。

このIPアドレスは、サイバーアタックの攻撃元

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、『表示(V)』⇒『メッセージのソース(O)』と進むと見られますよ。

では、メールアドレスにあったドメイン”hb0311.cn”が差出人ご本人のものなのか
どうかを調べてみます。
このドメインを割り当てているIPアドレスと”Received”に記載のIPアドレスが合致すれば
この差出人は『楽天銀行』の関係者でありこのメールは正規ルートから送られてきたものとなりましが
さて実際はどうなのでしょうか？

これがドメイン”hb0311.cn”の登録情報です。
これによると”95.215.108.55”がこのドメインを割当てているIPアドレス。
”Received”のIPアドレスと全く同じ数字なのでこのメールアドレスは、差出人ご本人さんのもので
間違いなさそうです。
但し楽天銀行には何の関わりもありませんが…
それにしてもこの『唐』が使われた氏名の人物は、詐欺メールの調査ではよく見掛けますが、どのような
人物なのでしょうか？

”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
記載されている末尾の数字は、そのサーバーのIPアドレスになり、これを紐解けば差出人の素性が
見えてきます。
このIPアドレスを元に危険性や送信に使われたホスト情報とその割り当て地を確認してみます。

最近よく見かける地図ですね…
犯人はこの辺りに『マルネット』のアジトを構築したのでしょうか？

このIPアドレスを元に割り出した危険度は『脅威レベル：高』
その詳細は『サイバーアタックの攻撃元』表示とされています。

送信に利用されたのは、『Global Internet Solutions LLC』と言うロシアのプロバイダーです。

位置情報は、IPアドレスを元にしているので、かなりアバウトな位置であることを
ご承知いただいた上でご覧ください。

代表地点としてピンが立てられたのは、ロシア第二の都市『サンクトペテルブルク』付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

またしても『サイバーアタックの攻撃元』

では引き続き本文。

『いついつも』が気になって仕方がありません…(笑)

このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは『制限の解除』って書かれたところに付けられていて、
そのリンク先のURLとトレンドマイクロの『サイトセーフティーセンター』での
危険度評価がこちらです。

既にしっかりブラックリストに登録済みですね。
リンクへ移動してもサイトはブロックされるでしょう。

このURLで使われているドメインは、サブドメインを含め”rakuten.bank.ruotui.cn”とこれまた
中国の国別ドメインです。
どこまでも中国なんですね！(;^_^A
このドメインにまつわる情報を取得してみます。

管理者は、メールにあったドメインと同一人物ですね。
このドメインを割当てているIPアドレスは”96.45.169.14”
このIPアドレスを元にサイト運営に利用されているホスト情報とその割り当て地を確認してみます。

またしても『サイバーアタックの攻撃元』とされています！

サイト運営に利用されているホストは、ロサンゼルスにある『Multacom Corporation』

こちらもIPアドレスを元にしているので、アバウトな位置であることをご承知いただいた上で
ご覧ください。
地図上にピンが立てられたのは、ロサンゼルスの『サンタクラリタ』付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険だと聞かされると余計に見に行きたくなるのが人間のサガ…(;^_^A
それを承知で、しっかりとセキュリティーの整った環境下で見に行ってみました。

最近よく見掛ける黄色を使った本物とはかけ離れた偽のログインページが開きました。
ここにIDとパスワードを入力してログインボタンを押してしまうと、その情報が詐欺師に流れてしまいます。
そして次に開いたページで個人情報を更新させると称しそれらの情報や、更にはカードの情報まで
詐取されることでしょう。

まとめ

あからさまな中国のドメインを使った詐欺メールや詐欺サイト。
これで騙せるとでも思っているのでしょうか？
でも、このようなメールを免疫の無い方が受け取ったりすると、焦ってしまいつい騙されてしまうのかも
知れませんね。

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;