『詐欺メール』『税務署からのお知らせ【宛名の登録確認及び秘密の質問等の登録に関するお知らせ】』と、来た件

★フィッシング詐欺解体新書★

『e-Tax』アカウントの登録を促す

国税庁を名乗る者からこのようなメールが届きました。

『e-Tax』のアカウントをリンクから登録するよう促す内容となっていますが、アカウント登録以前に
いちラリーマンで税金は会社側が支払っている私のメールアドレスを国税庁はどこからどうやって
入手したのでしょうか？
実に怪しいメールですよね！？
確かに”nta.go.jp”は国税庁が利用する公式のドメインですが…

では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきましょう。

件名は『[spam] 税務署からのお知らせ【宛名の登録確認及び秘密の質問等の登録に関するお知らせ】』
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

差出人は
『”e-Tax（国税電子申告・納税システム）” <info@e-tax.nta.go.jp>』
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。
”nta.go.jp”は国税庁が利用する公式のドメインですが、このメールはお分かりの通り詐欺メールですから
このメールアドレスは明らかに偽装されています。

国税庁が香港のメールサーバーを利用？！

では、このメールが悪意のあるメールであることを立証していきましょうか！
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、『表示(V)』⇒『メッセージのソース(O)』と進むと見られますよ。

ここに掲げた”Received”はこのメールが差出人から送信された後最初に通過したサーバーのもので
すなわち差出人が使った送信サーバーの自局情報です。
ここに”mail5.hegwpfg.cn”なんて中国の国別ドメインを利用したものが記載されているので
この時点でもうこの差出人のメールアドレスのドメインは”e-tax.nta.go.jp”でないことは確定です。
末尾の4つに区切られた数字の集まりはIPアドレスと呼ばれるいわばインターネット上の住所や電話番号で
同じ数字の集まりは世界中に1つしかありません。
でもこの数字の集まりじゃあまりにも煩雑でわかりにくいので、それに文字を割り当て分かり易くした
ものがドメインと呼ばれるものです。

では、”ReceivedにあったIPアドレス”115.126.75.39”を調べてみます。
このIPアドレスを元に送信に使われた回線情報とその割り当て地を確認してみます。

送信に利用されたのは、香港に拠点を置く『Forewin Telecom Group Limited』と言うプロバイダーです。

位置情報は、IPアドレスを元にしているので、かなりアバウトな位置であることを
ご承知いただいた上でご覧ください。

代表地点としてピンが立てられたのは、香港の『葵青区(Kwai Tsing)』付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようですが
国の行政機関である国税庁が、わざわざ香港にあるメールサーバーを利用しますかね？(笑)

リンク先はPC接続を拒否

では引き続き本文。

宛名も連絡先も書かれていないビジネスマナーに反したこのようなメールは、行政機関の
風上にも置けませんね！

このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは、国税庁の公式ドメインを利用したURLで直書きされていますが、当然これも偽装。
リンク先の『Nortonセーフウェブレポート』での判定はこのようにレポートされていました。

既にしっかりブラックリストに登録済みですね。
リンクへ移動してもサイトはブロックされるでしょう。

このURLで使われているドメインは”workwithjustint.com”
このドメインにまつわる情報を取得してみます。

中国の安徽省(an hui)の方が管理されているこのドメインを割当てているIPアドレスは”155.94.158.104”
このIPアドレスを元にサイト運営に利用されているホスティングサービスとその割り当て地を確認してみます。

利用されているホスティングサービスはアメリカに拠点を持つ『QuadraNet Enterprises LLC』

こちらもIPアドレスを元にしているので、アバウトな位置であることをご承知いただいた上で
ご覧ください。
今度ピンが立てられたのもアメリカの『ロサンゼルス』付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

PC環境からリンク先を開いてみましたが例によって『localhost で接続が拒否されました』と書かれた
エラーページが表示され正常に開くことはできませんでした。
これは何らかの理由でPCからの接続を拒否し、タブレットやスマホからの接続のみを許可している
ものと思われます。

まとめ

今回は、国の行政機関を騙った悪質な詐欺メールでしたね。
このようなメールに騙されないように注意してください！

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;