『詐欺メール』『【くらしTEPCO web】電気料金・ご使用量等データ更新のお知らせ』と、来た件

★フィッシング詐欺解体新書★

誰でもわかる詐欺メール

いつもご覧くださりありがとうございます！

相変わらずヤマト運輸と東京電力(以降東電)を騙る詐欺メールが多いですね💦
いつになったら下火になるのか、Amazonを騙る詐欺メールがかわいく思えてしまいます。
今回もその東電を騙った詐欺メールのご紹介です。
そのメールがこちら。

これ、詐欺メールあるあるですが、差出人のメールアドレスのアカウント部分には
なぜか受信したメールアドレスのアカウントが埋め込まれています。
では今回も寸劇からどうぞ～

また来たぞ東電を騙る詐欺メール。
だからここは中電エリアだって！
アッまた差出人のメールアドレスのドメインが例の
『Gilt Groupe(ギルトグループ)』のドメインが使われてるぞ！

相変わらずね。
東電とヤマト運輸の詐欺メール、もううんざり。
いつまで続くのかしら…
朝、メールボックスが溢れそうよ…

末尾の署名付近って意味が分からんし。
こんなの100％偽物からだけどHeratさん解体してくれるかな？

ほんとヤマト運輸と東電を騙った詐欺メールは多いで。
このところこの2社を騙ったものが8割程度ありますね。

差出人のメールアドレスのドメインが東電の”tepco.co.jp”とは異なるので
彼が言う通り100％偽物が悪意を持って送ったメール。
差出人のちょぅさとリンク先をサラッとだけ見ておきますか！

件名は『[spam] 【くらしTEPCO web】電気料金・ご使用量等データ更新のお知らせ』
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

差出人は
『”【東京電力エナジーパートナー】くらしTEPCO web” <Lulu-*****@gilt.jp>』
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。

東電が中国浙江省金華市付近からメールを送るって？！

では、このメールが悪意のあるメールであることを立証していきましょうか！
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、『表示(V)』⇒『メッセージのソース(O)』と進むと見られますよ。

ここに掲げた”Received”は、ヘッダー内に複数ある”Received”の中で時系列が一番古いもので
このメールを差出したデバイスの情報と最初に通過したサーバーの情報が刻み込まれています。

今度は”creema.jp”なんて日本のドメインが使われていますが、これもウソでした。

末尾の4つに区切られた数字の集まりはIPアドレスと呼ばれるいわばインターネット上の住所や電話番号で
同じ数字の集まりは世界中に1つしかありません。
因みに、この数字の集まりじゃあまりにも煩雑でわかりにくいので、それに文字を割り当て分かり易くした
ものがドメインと呼ばれるものです。

”Received”の前半のドメイン部分は、往々にして偽装されていることが多いものですが
末尾のIPアドレスは送信者のデバイスに割当てられたもので偽装することができません。

この”Received”に記載されているIPアドレス”183.155.0.174”は、差出人が利用した
メールサーバーの情報でこれを紐解けば差出人の素性が見えてきます。
このIPアドレスを元に送信に使われた回線情報とその割り当て地を『IP調査兵団』さんで
確認してみます。

(※IPアドレスから導き出された位置情報は、必ずしもそれほど正確ではありません)

代表地点として地図に立てられたピンの位置は、中国浙江省金華市付近。
あくまで大雑把な代表地点ですが、東電がこのような場所からメールを送りますか？(笑)
そして送信に利用されたプロバイダーも中国の『Chinanet』
このメールは、この付近に設置されたデバイスから発信され、このプロバイダーのメールサーバー
を介して届けられたようです。

リンク先は既に閉鎖済み

では引き続き本文。

このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは『▼ 支払いの詳細リンク』って書かれたところに付けられてい

このリンク先のURLで使われているドメインは”czsma.cn”
このドメインにまつわる情報を『Grupo』さんで取得してみます。

このドメインは中国の方が取得されているようで、登録に利用されたメールアドレスも
足が付きにくいよう中国企業が提供しているフリーメールのアドレスが使われています。
割当てているIPアドレスは”43.153.162.115”
このIPアドレスを元にサイト運営に利用されているホスティングサービスとその割り当て地を
再び『IP調査兵団』さんで確認してみます。

(※IPアドレスから導き出された位置情報は、必ずしもそれほど正確ではありません)

代表地点として地図に立てられたピンの位置は、定番の『日本大学鶴ヶ丘高等学校総合グラウンド 研修館』付近。
こちらもあくまで大雑把な代表地点でございます。
利用されているホスティングサービスは中国の『Shenzhen Tencent Computer Systems Company Limited』
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

リンク先は『Not Found』と書かれた真っ白なページが開いたので既に閉鎖されたようです。
ホスティングサービス側が危険を察知して接続を遮断したのか、それとも犯人は既に目的を達成しサイトを閉じたのか。
今となっては知る由もありません。

まとめ

まだまだ続くんでしょうね、ヤマト運輸と東電を騙る詐欺メール。
同じ件名がずらずら並ぶメールボックスはもう本当にうんざりです。

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;