国内企業がわざわざよその国のドメインを使う？ いつもご覧くださりありがとうございます！
いやいや、ヤマト運輸だけでは飽き足らず今度は佐川急便を騙ってきましたね。
それが証拠にこのメール、残念ながら差出人のメールアドレスは、中国のドメインを使ったもので明らかに佐川急便さんのものではありませんよね。ご案内メールアドレスについて言及 されている箇所がありましたのでリンクを貼っておきます。sagawa-exp.co.jp ”です。
このメールを疑ってここにいらした方はこれで解決です。
では、このメールを解体し詳しく見ていきましょう！ まずはプロパティーから見ていきます。
件名は『[spam] 再配達リクエストをご利用いただき、ありがとうございます。Thank you for using our Re-delivery Request service.』 ご承知の通り件名欄は、差出人が書き込むものですからいくらでも適当に記入できます。 この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。 このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている ものは全て迷惑メールと判断されたもの。 うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと 否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。
差出人は 『”佐川急便株式会社” <customer-support@wrxmx.cn >』 皆さんはご存じでしょうか？ この差出人欄は完全に自己申告制で、誰でもウソが書けるフィールド。 ですから、ここは信用できない部分です。
”.cn ”は、中国に与えられた国別ドメイン。
脅威レベルは既に高い！ では、このメールが悪意のあるメールであることを立証していきましょうか！ まず、このメールのヘッダーソースにある”Received ”を確認し調査してみます。 私が愛用のThunderbirdの場合、『表示(V )』⇒『メッセージのソース(O )』と進むと見られますよ。
ここに掲げた”Received ”は、ヘッダー内に複数ある”Received ”の中で時系列が一番古いもので このメールを差出したデバイスの情報と最初に通過したサーバーの情報が刻み込まれています。
末尾の4つに区切られた数字の集まりはIPアドレスと呼ばれるいわばインターネット上の住所や電話番号で 同じ数字の集まりは世界中に1つしかありません。 因みに、この数字の集まりじゃあまりにも煩雑でわかりにくいので、それに文字を割り当て分かり易くした ものがドメインと呼ばれるものです。
”Received ”の前半のドメイン部分は、往々にして偽装されていることが多いものですが、末尾のIPアドレスは 送信者のデバイスに割当てられたもので偽装することができません。
では、メールアドレスにあったドメイン”wrxmx.cn Grupo 』さんで調べてみます。
これによると”2.57.122.150 末尾のセグメントだけ異なりますが、これは同じグループ内であることを示すので”**** .wrxmx.cn zxh860126@163.com ”126.com ” ”yeah.com ”などのドメイン名がついたメールアドレスも存在します。
”Received ”に記載されているIPアドレスは、差出人が利用したメールサーバーの情報で これを紐解けば差出人の素性が見えてきます。 このIPアドレスを元に危険性や送信に使われた回線情報とその割り当て地を『IP調査兵団 』さんで 確認してみます。 (※IPアドレスから導き出された位置情報は、必ずしもそれほど正確ではありません)
このIPアドレスを元に割り出した危険度は『脅威レベル：高』 その詳細は『サイバーアタックの攻撃元』表示とされています。
代表地点として地図に立てられたピンの位置は、オランダの首都アムステルダム。 あくまで大雑把な代表地点なのをお忘れなく。 そして送信に利用されたプロバイダーは『Unmanaged LTD』 このメールは、この付近に設置されたデバイスから発信され、このプロバイダーのメールサーバー を介して届けられたようです。
詐欺サイトは中国湖北省の方のドメインで米国のサンノゼ付近で運営か？！ では引き続き本文。
この英訳はこのメールに信憑性を持たせるためでしょうか？
このメールは詐欺メールですから詐欺サイトへのリンクが付けられています。 そのリンクは、本文内に5箇所付けられていて、 そのリンク先をGoogleの『透明性レポート 』で検索するとサイトステータスはこのように レポートされていました。
既に危険なサイトとしてしっかりブラックリストに登録済みですね。
このURLで使われているドメインは”saveshawnee.com ” このドメインにまつわる情報を『Grupo 』さんで取得してみます。 中国湖北省の方が利用されているこのドメインを割当てているIPアドレスは”156.251.26.36 ” このIPアドレスを元にサイト運営に利用されているホスティングサービスとその割り当て地を 再び『IP調査兵団 』さんで確認してみます。 (※IPアドレスから導き出された位置情報は、必ずしもそれほど正確ではありません)
代表地点として地図に立てられたピンの位置は、米国のサンノゼ付近。 こちらもあくまで大雑把な代表地点でございます。 利用されているホスティングサービスは、米国アーバインに拠点を置く『Tcloudnet』 この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。
どうしても『八』を埋め込みたい詐欺犯 危険だと聞かされると余計に見に行きたくなるのが人間のサガ…(;^_^A それを承知で、しっかりとセキュリティーの整った環境下で見に行ってみました。
本物そっくりのログインページが開きました。 ただなぜだか月の部分に漢数字の『八』が埋め込まれています。
『再配達』ボタンを押してちょっとだけ先に進んでみます。
このページもなぜか『八』が無理やりのように埋め込まれていますね。(^^;)
『 合計： 110 円』とあるように、本物では徴収の無い再配達料金をクレジット決済で要求してきます。
まとめ 恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの フィッシング詐欺サイトが作られ消滅していきます。 次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。
いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;
