『詐欺メール』続『【重要】dカードが利用停止のお知らせ』と、来た件

★フィッシング詐欺解体新書★

『UN セール』が急増中！

『UN セール Start! ブランド製品は全部8割引！』と『ヤマト運輸』を騙る詐欺メールが急増中！
Amazonや三井住友カードを大きく上回ってきましたね。

どちらも今までに詳しく解説しているので改めて取り上げることは致しませんが
皆さん十分にご注意ください。

さて今回取り上げようと思うのがこちらの『NTTドコモ』を騙る詐欺メール。

こちらも以前に同じ件名のものを一度ご紹介したことのあるメールで、その時のブログエントリーは
こちらです。

『詐欺メール』『【重要】dカードが利用停止のお知らせ』と、来た件

NTTドコモを騙る詐欺メールにご注意を ※ご注意ください！ このブログエントリーは、フィッシング詐欺メールの注意喚起拡散を目的とし 悪意を持ったメールを発見次第できる限り迅速にをもっとうにご紹介しています。 このようなメールを受け取っても絶...

ymg.nagoya

今回のものは差出人のメールアドレスが何故だか不思議なことに『三井住友銀行』のものが
使われていて面白そうなので改めて続編として取り上げてみることにします。

なそれにしてもこのメール、全く同じ内容の本文が署名を挟んで2つ書いてありますが
これにはどのような意味があるのでしょうか？
まさか2つ書けば重要性が高まるとでも思っているのでしょうか？(笑)

では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。

件名は『[spam] 【重要】dカードが利用停止のお知らせ』
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

差出人は
『”株式会社NTTドコモ” <contact@smbc.co.jp>』
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

先に書いたように”smbc.co.jp”は、こちらのサイトでURLを確認すればわかりますが
『三井住友銀行』さんの公式ドメインです。
まさか三井住友銀行がNTTドコモのメール配信代行なんてしていると思えないのでこのメールは
NTTドコモからではないと断定できます。

ではさらに確信を持たせるためその辺りを次の項で少し詳しく見ていくことにします。

メールの発信地は中国の深セン

では、このメールがフィッシング詐欺メールであることを立証していきましょうか！
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、『表示(V)』⇒『メッセージのソース(O)』と進むと見られますよ。

”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
記載されている末尾の数字”183.253.225.146”は、そのサーバーのIPアドレスになり
これを紐解けば差出人の素性が見えてきます。
このIPアドレスを元に送信に使われたホスト情報とその割り当て地を確認してみます。

送信に利用されたのは、世界最大の携帯電話事業者で中国の『China Mobile』が運営するプロバイダー。

位置情報は、IPアドレスを元にしているので、かなりアバウトな位置であることを
ご承知いただいた上でご覧ください。

代表地点としてピンが立てられたのは、『中国 広東省 深セン』付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

詐欺サイトはオランダで運営中

では引き続き本文。

このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは『ご利用確認はこちら』って書かれたところに付けられていて、
そのリンク先のURLとトレンドマイクロの『サイトセーフティーセンター』での
危険度評価がこちらです。

既にしっかりブラックリストに登録済みですね。
リンクへ移動してもサイトはブロックされるでしょう。

このURLで使われているドメインは”www.ixsn.cc”
このドメインにまつわる情報を取得してみます。

このドメインは中国で管理さてていて、割当てているIPアドレスは”194.124.216.154”
このIPアドレスを元にサイト運営に利用されているホスト情報とその割り当て地を確認してみます。

サイト運営に利用されているホストは、ドイツにある『xTom GmbH』

こちらもIPアドレスを元にしているので、アバウトな位置であることをご承知いただいた上で
ご覧ください。
地図上にピンが立てられたのは、オランダのアムステルダム付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険だと聞かされると余計に見に行きたくなるのが人間のサガ…(;^_^A
それを承知で、しっかりとセキュリティーの整った環境下で見に行ってみました。

本物そっくりのログインページが開きました。
ID、パスワードとそれぞれを入力させた後、個人情報や更にはカードの情報まで詐取されることでしょう。

まとめ

先回ご紹介したブログエントリーにアクセスが集中しているようなのでこのメールに関心が高いことが
よくわかります。
携帯電話会社からこんなメールが来れば慌てますもんね！

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;