『詐欺メール』『【りそな銀行】【要返信】お客様の直近の取引における重要な確認について』と、来た件

★フィッシング詐欺解体新書★

一方的に利用停止って…

いつもご覧くださりありがとうございます！

さいきん『りそな銀行』を騙る詐欺メールが多いですね。
今日もこのように深夜にも関わらず怪しいメールが届いています。

では、いつものように進めてまいります。

なんかりそな銀行からメール来てる。

勝手に利用制限されてるっぽいが
一方的すぎないだろうか？

ああ、これおかしいわ！
差出人のメールアドレスのドメインがりそなさんの物ではない気がする。

本当だ！
それにリンクのドメインもおかしいぞ！

りそな銀行さんのオフィシャルサイト内に送信元メールアドレスって
ページがあるわ。
メールアドレスとURLのドメインはどちらも該当しないじゃない！

そうなんです。
このメールは明らかにりそな銀行さんからのものではありません。

ではこのメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきます。

件名は『[spam]【りそな銀行】【要返信】お客様の直近の取引における重要な確認について』
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

差出人は
『りそな銀行 <no-reply@wxnxsvoigbevt.com>』
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

東京の方が取得のドメインを香港で使用

では、このメールが悪意のあるメールであることを立証していきましょうか！
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、『表示(V)』⇒『メッセージのソース(O)』と進むと見られますよ。

ここに掲げた”Received”は、ヘッダー内に複数ある”Received”の中で時系列が一番古いもので
このメールを差出したデバイスの情報と最初に通過したサーバーの情報が刻み込まれています。

末尾の4つに区切られた数字の集まりはIPアドレスと呼ばれるいわばインターネット上の住所や電話番号で
同じ数字の集まりは世界中に1つしかありません。
因みに、この数字の集まりじゃあまりにも煩雑でわかりにくいので、それに文字を割り当て分かり易くした
ものがドメインと呼ばれるものです。

”Received”の前半のドメイン部分は、往々にして偽装されていることが多いものですが、末尾のIPアドレスは
送信者のデバイスに割当てられたもので偽装することができません。

では、”Received”にあったドメイン”mail6.wxnxsvoigbevt.com”が差出人本人のものなのかどうかを
『Grupo』さんで調べてみます。

これがドメイン”mail6.wxnxsvoigbevt.com”の登録情報です。
どうやら東京の方もしくは東京のレジストラが所持しているドメインですね。
これによると”192.252.176.172”がこのドメインを割当てているIPアドレス。
もちろんこのメールの差出人は偽物ですが”Received”のIPアドレスと全く同じ数字なので
このメールアドレスは差出人ご本人さんのもので間違いなさそうです。

”Received”に記載されているIPアドレス”192.252.176.172”は、差出人が利用したメールサーバーの情報で
これを紐解けば差出人の素性が見えてきます。
このIPアドレスを元に送信に使われた回線情報とその割り当て地を『IP調査兵団』さんで
確認してみます。

(※IPアドレスから導き出された位置情報は、必ずしもそれほど正確ではありません)

代表地点として地図に立てられたピンの位置は、香港の九龍(Kowloon)地区
あくまで大雑把な代表地点なのをお忘れなく。
そして送信に利用されたプロバイダーも香港に拠点を置く『CTG Server Limited』
このメールは、この付近に設置されたデバイスから発信され、このプロバイダーの
メールサーバーを介して届けられたようです。

詐欺サイトは遠くブルガリアで運営中

では引き続き本文。

※詐欺サイトへのリンクは、直リンクを防止するためURLの一部の文字を変更しています。

このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは、本文内に直書きされていて、リンク先をコンピュータセキュリティブランドの
トレンドマイクロの『サイトセーフティーセンター』で検索するとその危険度はこのように
評価されていました。

既に『フィッシングサイト』としてしっかりブラックリストに登録済みですね。

このURLで使われているドメインは”bildwelt.com”
このドメインにまつわる情報を『Grupo』さんで取得してみます。

このドメインは国内最大級のドメイン公式登録サービス『お名前.com』さんが取得しています。
割当てているIPアドレスは”87.121.112.54”
このIPアドレスを元にサイト運営に利用されているホスティングサービスとその割り当て地を
再び『IP調査兵団』さんで確認してみます。

(※IPアドレスから導き出された位置情報は、必ずしもそれほど正確ではありません)

代表地点として地図に立てられたピンの位置は、ブルガリアの
首都であるソフィア付近。
こちらもあくまで大雑把な代表地点でございます。
利用されているホスティングサービスもブルガリアを拠点とする
『Neterra servers infrastructure』
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは
構築されているようです。

危険だと聞かされると余計に見に行きたくなるのが人間のサガ…(;^_^A
それを承知で、しっかりとセキュリティーの整った環境下で見に行ってみました。

開いたのはりそな銀行ユーザー専用のインターネットバンキングサイト『マイゲート』への
ログインページです。

本物そっくりのログインページですね。
ここにログインID入力して次へと書かれたを押してしまうと
その情報が詐欺師に流れてしまいます。
その時点で万事休す。
犯人は入手したログインIDを使いマイゲートにログインし
第三者の不正利用を行い詐欺に遭うことになります。

まとめ

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;