『詐欺メール』池上彰業証券会社から『ご多用のところ失礼いたします』と、来た件

★フィッシング詐欺解体新書★

ご本人も注意喚起する投資詐欺

いつもご覧いただきありがとうございます！

どこで私のメールアドレスを仕入れたのか知りませんが、時々こういった有名人を引き合いに出し
いかがわしいサイトへ引きずり込んで暴利をむさぼろうとするメールが届きます。

今回はあの『池上 彰氏』を祀り上げて投資法をレクチャーすることをネタにしています。
そのメールがこちら。

改行が少なくものすごく読み難いメールで、眉間のあたりがジリジリします…(^^;)
『こちらは池上彰業証券会社の広告です。』と、堂々と氏の名前を騙っていますが、これは明らかな
投資詐欺！
池上彰氏ご本人もyoutubeチャンネル『池上彰と増田ユリヤのYouTube学園』で『池上彰が投資を
すすめる広告はすべて詐欺です！！』と語られています。

『池上彰業証券会社』を検索しても何もヒットしないのでこれも架空の企業名でしょう。

では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきます。

件名は『[spam] ご多用のところ失礼いたします』
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

差出人は
『”ご多用のところ失礼いたします” <succ@ahoqlau.cn>』
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

タイトルと差出人名が一緒ってのもなんだかなぁ～って感じですよね？
因みに”ahoqlau.cn”は中国のドメインです。
あんな賢い方がわざわざ怪しさ満点の中国のドメインメールで勧誘メールを送りますかね？
送りませんよね～(笑)

池上さんがサンノゼから中国ドメインのメールを？！

では、このメールが悪意のあるメールであることを立証していきましょうか！
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、『表示(V)』⇒『メッセージのソース(O)』と進むと見られますよ。

ここに掲げた”Received”は、ヘッダー内に複数ある”Received”の中で時系列が一番古いもので
このメールを差出したデバイスの情報と最初に通過したサーバーの情報が刻み込まれています。

末尾の4つに区切られた数字の集まりはIPアドレスと呼ばれるいわばインターネット上の住所や電話番号で
同じ数字の集まりは世界中に1つしかありません。
因みに、この数字の集まりじゃあまりにも煩雑でわかりにくいので、それに文字を割り当て分かり易くした
ものがドメインと呼ばれるものです。

”Received”の前半のドメイン部分は、往々にして偽装されていることが多いものですが、末尾のIPアドレスは
送信者のデバイスに割当てられたもので偽装することができません。

では、メールアドレスにあったドメイン”ahoqlau.cn”が差出人本人のものなのかどうかを調べてみます。

これがドメイン”ahoqlau.cn”の登録情報です。
これによるとこのドメインは、中国の方が申請されて利用されているようで、”38.12.253.200”が
このドメインを割当てているIPアドレス。
”Received”のIPアドレス”38.12.253.200”とぴったり一致していますね。
当然『池上彰業証券会社』なる企業からのものではありませんが、このメールアドレスは
差出人ご本人さんのもので間違いなさそうです。

”Received”に記載されているIPアドレスは、差出人が利用したメールサーバーの情報で
これを紐解けば差出人の素性が見えてきます。
このIPアドレスを元に送信に使われた回線情報とその割り当て地を確認してみます。

(※IPアドレスから導き出された位置情報は、必ずしもそれほど正確ではありません)

地図に立てられたピンの位置は、アメリカカリフォルニア州サンノゼ近郊。
そして送信に利用されたプロバイダーは、アメリカに拠点を置く『Cogent Communications』
池上彰さんがサンノゼから中国ドメインのメールをね…(^^;)

ショッピングサイトのようなドメインを使ったサイト

では引き続き本文。

※直リンク防止のためURLの一部の文字を変更しています。

改行の少ない非常に読みずらいメール本文ですね。
このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは、本文内にに直書きされています。
そのリンク先は、コンピュータセキュリティブランドのトレンドマイクロの
『サイトセーフティーセンター』での危険度はこのように評価されていました。

こういったサイトはの評価は難しいですよね。
サイト自体に詐欺サイトのようにクレジットカードや個人情報を入力するページが有るわけでもないし
単に投資を勧めているだけなので…
但しこのメールにしてもサイトにしても悪徳広告なのは間違いなさそうです！

このURLで使われているドメインは”kkrizigp.shop”とメールのドメインとは異なりショッピングサイトの
ような怪しいドメインが使われていますね。
このドメインにまつわる情報を取得してみます。

アメリカアリゾナ州から申請されたこのドメインを割当てているIPアドレスは”104.21.44.202”
このIPアドレスを元にサイト運営に利用されているホスティングサービスとその割り当て地を確認してみます。

(※IPアドレスから導き出された位置情報は、必ずしもそれほど正確ではありません)

地図に立てられたピンの位置は、カナダのトロント市庁舎付近。
ここには実にたくさんの詐欺サイトが存在します！
利用されているホスティングサービスは『Cloudflare』
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

トレンドマイクロの『サイトセーフティーセンター』での危険度評価からすると、リンク先の
詐欺サイトは、当然どこからもブロックされることなく無防備な状態で放置されていると思われます。
そんなサイトに、調査を目的で安全な方法を利用して訪れてみることにします。

ちゃっかりご本人さんの写真まで使っていますね。
先程のYoutubeチャンネルでも分かる通り『池上彰が投資をすすめる広告はすべて詐欺です』
ということなのでこのサイトは広告詐欺サイトですのでご注意ください！

まとめ

まれにこういった投資詐欺のメールが届きます。
まあ、このようなことを不特定多数にメールを送るなんてこと自体怪しいですよね。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;