『詐欺メール』『【Amazon】お支払い情報の再確認が必要です』が大量に届いた件

★フィッシング詐欺解体新書★

愉快犯か詐欺師か？！

一昨日ころから『お支払い情報の再確認が必要です』と言うタイトルのAmazonと称すメールが
大量に届いています。

もちろん愉快犯による迷惑メールか、もしくは詐欺メールの類なのですが、こんなに送ってくると言うことは
恐らく愉快犯。
こんなに大量に同じメールを送ったら絶対に怪しまれるので詐欺メールではなさそうです。

では、この中から1通をチョイスして解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。

件名は『[spam] 【Amazon】お支払い情報の再確認が必要です』
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

差出人は
『"Amazon.co.jp" <southern-8ca83226b9dc23f577f53821a2d1b4a3@amazon.co.jp>』
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

Amazonの公式ドメインを使ったメールアドレスですが、このように長ったらしく無意味なアカウント名を
使うはずがありませんし、本文の内容からしてAmazonの関係者からのメールでないことは明らかですから
このメーラアドレスは偽装されています。

最近よく見掛けるドメインが

では、このメールが悪意のあるメールであることを立証していきましょうか！
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、『表示(V)』⇒『メッセージのソース(O)』と進むと見られますよ。

最近多く見掛けますね、この”VM-*-**-centos.localdomain”と言うドメイン。
恐らく同一犯の仕業でしょう。

もうこのメールは明らかにアドレスを詐称しているので特定電子メール法違反となり
処罰の対象とされます。

※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰する

”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字”43.133.177.18”は、そのサーバーのIPアドレスになります。
これを紐解けば差出人の素性が見えてきます。
このIPアドレスを元に送信に使われた回線情報とその割り当て地を確認してみます。

またしても『杉並区和泉2丁目公園』付近。
まあ同一犯の仕業なので当然と言えば当然でしょうけど。

送信に利用されたのは、『Shenzhen Tencent Computer Systems Company Limited』と言う中国の
プロバイダーです。
このメールは、杉並区和泉2丁目公園付近に設置されたメールサーバーを介して私に届けられたようです。

リンクタグが露出

では引き続き本文。

(直リンク防止のためURLの一部の文字を変更してあります)

おやおや、ミスりましたね。
リンクのURL部分にHTMLの”href”タグが露出してしまっています。
恐らくHTMLで『アカウント情報の更新ページへ』って文字部分にリンクを付けたかったのでしょうね。

このURLの『Nortonセーフウェブレポート』での判定はこのようにレポートされていました。

既にしっかりブラックリストに登録済みですね。
リンクへ移動してもサイトはブロックされるでしょう。

このURLで使われているドメインは、サブドメインを含め”openseameta.com”とAmazonには
全く関連性の無いものが使われています。

このドメインにまつわる情報を取得してみます。

『Registrant State/Province: jiang xi』とあるので、このドメインは中国江西省で管理されています。
そしてこのドメインを割当てているIPアドレスは”193.43.72.23”
このIPアドレスを元にサイト運営に利用されているホスティングサービスとその割り当て地を確認してみます。

利用されているホスティングサービスは『Cgi Global Limited』

こちらもIPアドレスを元にしているので、アバウトな位置であることをご承知いただいた上で
ご覧ください。
今度ピンが立てられたのは、アメリカの『フリーモント』付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険だと聞かされると余計に見に行きたくなるのが人間のサガ…(;^_^A
それを承知で、しっかりとセキュリティーの整った環境下で見に行ってみました。

本家Amazonの公式サイトが開くと思ったら、ちゃんと本物そっくりの詐欺サイトが開きました。
もしかして愉快犯ではなく本気で詐欺しようとしていたのかもしれません！

ここにIDとパスワードを入力してログインボタンを押してしまうと、その情報が詐欺師に流れてしまいます。
そして次に開いたページで個人情報を更新させると称しそれらの情報や、更にはカードの情報まで
詐取されることでしょう。

まとめ

どちらにしてもこのように同じ件名のメールを大量に送っていては騙すことはできませんよ！

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;