『詐欺メール』『UN 8月4日 セール Start! ブランド製品は全部8割引！』と、来た件

★フィッシング詐欺解体新書★

8割引きを謳い文句に詐欺サイトに誘い込む

なんだかまたおかしなメールが届きましたよ。

すいか、フルーツ、スマホ、炊飯器、どうやらセール商品の案内メールのようです。
左側の価格が通常売価で、右側が特価価格なのでしょうか？
8割引きだなんて、私のように買い物好きな人間だとついつい引き込まれてしまいますね。
でもいけませんよ！このメールは、悪意を持って送られてきた詐欺メールです。

送信者欄には『un』とありますが、メールアドレスのドメインが『三菱UFJ銀行』さんのものに
なっている不思議なメール。
これ以外にも同じメールが4通届いていますが、それぞれ差出人はこのようになっていました。
・”un” <kr@un.net>
・”un” <ypkwi@un.com>
・”un” <gvpn@yahoo.org>
・”un” <ipcxzbrlc@un.org>
なぜメールアドレスを隠す必要があるのでしょうか？
どうやら正々堂々と商売ができない理由がありそうです。

では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。

件名は『[spam] UN 8月4日 セール Start! ブランド製品は全部8割引！』
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

差出人は
『”un” <roywfaxp@bk.mufg.jp>』
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

先にも書きましたが、このドメインは『三菱UFJ銀行』さんのもの。
これは偽装ですね。

メールの署名欄には『発行：株式会社ベイクルーズ』と書いてありますね。
この住所と会社名で調べると実在する企業のようですが、まあ普通に考えれば、これも嘘で
この会社さんもある意味被害者です。

メールサーバーは『中国 遼寧省 瀋陽市』にあり

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、『表示(V)』⇒『メッセージのソース(O)』と進むと見られますよ。

明らかに偽装なのでいちいち”bk.mufg.jp”とこのIPアドレスとの照合は今回はしません。
因みに偽装は特定電子メール法違反となり処罰の対象とされます。

※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰する

”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
記載されている末尾の数字は”175.150.72.194”そのサーバーのIPアドレスになり
これを紐解けば差出人の素性が見えてきます。
このIPアドレスを元に送信に使われたホスト情報とその割り当て地を確認してみます。

送信に利用されたのは、中国の『China Unicom Liaoning Province Network』と言うプロバイダーです。

位置情報は、IPアドレスを元にしているので、かなりアバウトな位置であることを
ご承知いただいた上でご覧ください。

代表地点としてピンが立てられたのは、『中国 遼寧省 瀋陽市』付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

サイトの危険性はしっかり周知済み

では引き続き本文。

このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは『UNログイン』って書かれたところに付けられていて、
そのリンク先のURLとトレンドマイクロの『サイトセーフティーセンター』での
危険度評価がこちらです。

既にしっかりブラックリストに登録済みですね。
リンクへ移動してもサイトはブロックされるでしょう。

このURLで使われているドメインは”ifavoritebuy.com”
このドメインにまつわる情報を取得してみます。

このドメインは中国の江蘇省の方が管理されているようです。

このドメインを割当てているIPアドレスは”43.135.10.199”
このIPアドレスを元にサイト運営に利用されているホスト情報とその割り当て地を確認してみます。

おっと！
このIPアドレスの危険性は既に周知されているようですね。
サイバーアタックの攻撃元だそうです…(;^_^A

サイト運営に利用されているホストは、シンガポールにある『Aceville Pte.ltd』

こちらもIPアドレスを元にしているので、アバウトな位置であることをご承知いただいた上で
ご覧ください。
地図上にピンが立てられたのは『香港』付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険だと聞かされると余計に見に行きたくなるのが人間のサガ…(;^_^A
それを承知で、しっかりとセキュリティーの整った環境下で見に行ってみました。

クリックすると拡大しますが、中国チックな文字が所々に散見されますね。
ショッピングサイトを装い、カートの品物を購入させる際にカード情報を聞きだすのが
この詐欺の手口ですから要注意です！

まとめ

こんなメールが立て続けに5通も来たら誰だって怪しいと感じると思います。
1通にしておけば良いものを…(笑)

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;