今日リニューアルをして明日から順次自動退会処理？ いつもご覧くださりありがとうございます！ 暑い日が続いております。
予想今日で7月も終わりですがいかがお過ごしでしょうか？
当地では今日も最高気温は37℃、これで1週間ぶっ通しで猛暑日が続くことになりますが
こんなで地球は大丈夫なのか心配になってしまいます。 さて、そんな暑苦しい中、更に暑苦しくなるようなこんなメールが届きました。
  JR西日本が運営する『おでかけネット』なるウェブサービスからのメールのようです。
この『おでかけネット』とは、関西を中心とした観光情報やイベント情報を提供する
ウェブサイトで、観光地やイベント情報、アクセス方法、施設の詳細などが掲載されていて
関西エリアでのお出かけ計画に役立つサイトです。
ところがこの『おでかけネット』は、JR東日本が運営する『えきねっと』同様に
これらの名前を騙るフィッシング詐欺メールが大変多く営業に支障をきたすほどだと
聞いております。
もちろんこのメールもその一種で、このサービスリニューアルに際した自動退会処理という
手口はずいぶん前からえきねっとで使われてきた手段です。
では、このメールに関していつものように寸劇からご覧ください。 あら、『おでかけネット』からメールが来てるわ。
なになに、リニューアルに伴って2年以上ログインしていないと
自動退会されるって？
8月1日より順次って、明日じゃない？
旅行好きでお友達とのお出かけによく使っているから
退会されたら困っちゃうわ… 僕にも来てるよ。
それほど使わないから自動退会されても困らないけど
でも今日リニューアルをして明日から順次自動退会処理って
全く猶予も無くJR西日本にしてはあまりにも横暴じゃない？ ふたり共ちょっと待って、これ『おでかけネット』からじゃないわよ！
差出人のメアドよく見て。
”dara19z.com”って『おでかけネット』のドメインとは異なるわ。
公式サイトのドメイン見てきたけど”jr-odekake.net”が
『おでかけネット』のドメインよ！ じゃこのメールは誰が何のために送ってきたんだろう？
そうだ、そんな時はHeartさんに聞くのが一番！
早速教えてもらおうよ。 よく気が付きましたね！
そう、このメールは『おでかけネット』を装った
フィッシング詐欺メールです。
本文中にあるリンクはちゃんと”jr-odekake.net”と
『おでかけネット』のドメインが使われているようにも見えますが
これも偽装されていて実際は別のURLに接続されるように
仕組まれています。
では、このメールを解体し詳しく見ていきましょう！
まずはプロパティーから見ていきます。 件名は『[spam] 【JR西日本:Club J-WEST】アカウントの自動退会処理について』
ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。 差出人は『”JR西日本 WESTER会員事務局” <jr-odekake@dara19z.com>』
皆さんはご存じでしょうか？
この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。
ですから、ここは信用できない部分です。 ”dara19z.com”は、明らかに『JR西日本:Club J-WEST』や『おでかけネット』の
ドメインではありません。
故に差出人はここに書いてあるような『JR西日本 WESTER会員事務局』からではありません。
米国のサンノゼ付近が発信元か？！ では、このメールが悪意のあるメールであることを立証していきましょうか！
まず、このメールのヘッダーソースにある”Received”を確認し調査してみます。
私が愛用のThunderbirdの場合、『表示(V)』⇒『メッセージのソース(O)』と進むと見られますよ。 ここに掲げた”Received”は、ヘッダー内に複数ある”Received”の中で時系列が一番古いものでこのメールを差出したデバイスの情報と最初に通過したサーバーの情報が刻み込まれています。 末尾の4つに区切られた数字の集まりはIPアドレスと呼ばれるいわばインターネット上の住所や電話番号で同じ数字の集まりは世界中に1つしかありません。
因みに、この数字の集まりじゃあまりにも煩雑でわかりにくいので、それに文字を割り当て分かり易くしたものがドメインと呼ばれるものです。 ”Received”の前半のドメイン部分は、往々にして偽装されていることが多いものですが、末尾のIPアドレスは送信者のデバイスに割当てられたもので偽装することができません。 では、”Received”にあったドメイン”mail3.dara19z.com”が差出人本人のものなのか
どうかを『Grupo』さんで調べてみます。
  これがドメイン”mail3.dara19z.com”の登録情報です。
これによると”38.59.116.243”がこのドメインを割当てているIPアドレス。
もちろんこのメールの差出人は偽物ですが”Received”のIPアドレスと全く同じ数字なので
このメールアドレスは差出人ご本人さんのもので間違いなさそうです。 ”Received”に記載されているIPアドレスは、差出人が利用したメールサーバーの情報で
これを紐解けば差出人の素性が見えてきます。
このIPアドレスを元に送信に使われた回線情報とその割り当て地を『IP調査兵団』さんで
確認してみます。
 
(※IPアドレスから導き出された位置情報は、必ずしもそれほど正確ではありません) 代表地点として地図に立てられたピンの位置は、米国のサンノゼ付近。
あくまで大雑把な代表地点なのをお忘れなく。
そして送信に利用されたプロバイダーは香港の『HONG KONG Megalayer Technology Co., Limited』
このメールは、この付近に設置されたデバイスから発信され、このプロバイダーのメールサーバーを介して届けられたようです。
シレっと『ワードサラダ』が仕込まれていた では引き続き本文。 何気なくコピペした本文ですが、この中に『CLJIH QEBGLM』と『02352 3219』の2箇所に不思議な文字が炙り出しのように浮かび上がってきました。
恐らくこれは受信サーバーにある迷惑メールを振り分ける『スパムフィルター』を
惑わすための『ワードサラダ』だと思われます。
でも子音メールの件名にある[spam]と言う見出しでわかる通りこのメールはしっかり
その網に引っかかっています。 このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。
そのリンクは本文に直書きされています。
このURLをコピペして接続すれば『おでかけネット』の公式サイトに接続されますが
このURLをクリックして接続すると、実際は全然違うサイトに接続されるように
仕組まれています。
そのリンク先をウェブサイトの安全性を無料でチェックくれる『gred』さんで確認してみると。
  既に『フィッシングサイト』としてしっかりブラックリストに登録済みですね。
似て異なる詐欺サイト このURLで使われているドメインは”www.rkjgmubktn.com”
このドメインにまつわる情報を『Grupo』さんで取得してみます。
  このドメインは、米国の『WhoisSecure』というところが所持しているとされていますが
この『WhoisSecure』と言うのは、ドメイン名登録情報（Whois情報）を保護するための
サービスで、プライバシー保護やセキュリティ向上が特徴で、ドメイン名の登録者の
個人情報（名前、住所、電話番号、メールアドレスなど）を公開Whoisデータベースから
隠すことを目的としています。
それを逆手に取りサイバー犯罪の温床にされることが多く、こういったフィッシングサイトの
運営にも一役買っているのです。 このドメインを割当てているIPアドレスは”154.217.132.43”
このIPアドレスを元にサイト運営に利用されているホスティングサービスとその割り当て地を
再び『IP調査兵団』さんで確認してみます。
 
(※IPアドレスから導き出された位置情報は、必ずしもそれほど正確ではありません) どうやら今回はアメリカが舞台のフィッシング詐欺のようですね。
代表地点として地図に立てられたピンの位置は、米国のダラス付近。
こちらもあくまで大雑把な代表地点でございます。
利用されているホスティングサービスも米国のカリフォルニアに拠点を置く『Enzu Inc』
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。 危険だと聞かされると余計に見に行きたくなるのが人間のサガ…(;^_^A
それを承知で、しっかりとセキュリティーの整った環境下で見に行ってみました。 するとまず真っ先にChromeが真っ赤な画面でブロックしてきました。
どうやらGoogleでも既に危険なサイトとしてブラックリストに登録済みのようです。
  構わず先に進むと、開いたのはJR西日本が運営するウェブサイト『WESTER』っぽい
ログインページが開きました。
  でも若干違う気が…
こちらが本物の『WESTER』のログインページ。  でも行き慣れていないと分かりませんよね！ ここにIDとパスワードを入力してログインボタンを押してしまうと、その情報が詐欺師に
流れてしまいます。
そして次に開いたページで個人情報を入力させられ、更にはカードの情報まで詐取される
ことでしょう。
まとめ だいたいJR東海のエリアにある私にこのようなメールが届くはずがありません。
更に言えばこのサービス自体知りませんでしたからね。 恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。 いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;
| 
