『詐欺メール』続『e-Tax税務署からの【未払い税金のお知らせ】』と、来た件

★フィッシング詐欺解体新書★

国税庁がなぜ私のメアドを知ってるの？

いつもご覧くださりありがとうございます！

以前何度かこれと同じ件名のメールをご紹介したことがありますが、あれから半年以上が過ぎ年滅に向けてまたこの件名のメールの増加傾向がみられるので、タイトルに『続』を付加して改めて取り上げてみることにいたします。

最近この『[%1-6个随机属性]>[%1-6个随机属性]>』と意味の分からないタグのような記号と漢字を使った呪文が記載されているメールが多く見られますが、これ一体何の意味があるのでしょうね？
因みに『个随机』は中国語で、翻訳してみると『ランダム』と言う意味らしいです。

このままだと非常に見難いので本文だけこの呪文を取り除いたものも掲載しておきます。

だいたい国税庁がどうして皆さんのメールアドレスを知っているのって話しですよね！(笑)

この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

送信者として記載されているメールアドレスのドメイン(@より後ろ)は”oawv.com”
ここは送信者がいくらでもウソを書くことができる部分で絶対鵜呑みにしてはいけません。
もしこれが本当に国税庁や税務署からのメールであればこれらは国の機関になるので使用されるドメインは必ず『go.jp』となるはずで、国税庁ならば『e-tax.nta.go.jp』となります。
故にこの偽物と言うことになります。

では、送信者の素性が分かるメールヘッダーの『Receivedフィールド』から情報を探ってみます。
こちらがこのメールのReceivedフィールドがこちらです。

ドメイン”oawv.com”を割当てているIPアドレスと比較してみましょう。
こちらが『aWebAnalysis』さんで取得した”oawv.com”を割当てているIPアドレスです。

全然違いますよね、この結果からこの送信者が使ったとされる”oawv.com”を使ったメールアドレスは偽装であることが確定されました。

このReceivedフィールドの末尾にあるIPアドレスからメールの発信地を導き出してみると、中国 浙江省 舟山市 付近であることが分かりました。

詐欺サイトのドメインを調べると

さて、本文の『お支払いへ⇒』と書かれた部分に付けられた詐欺サイトへのリンクですがURLは以下の通りです。
【h**ps://vividcolour.cn/guoshuieqEwDFGGDF435534WERRWR?m=000&t=000&ip=133.218.187.145&language=ja,en-US;q=0.9,en;q=0.8&d=000】
(直リンク防止のため一部の文字を変更してあります)
これまた国税庁のドメインとは異なるものが利用されていますね。

先程と同様に『Grupo』さんでこのドメインに関する情報と割当てているIPアドレスを取得してみます。

これによるとこのドメインは中国人っぽい氏名の方が中国の『阿里云計算有限公司』と言うレジストラを介して取得されています。

割当てているIPアドレスからそのロケーション地域を調べると、『東京都杉並区和泉2丁目』付近であることが分かりました。

リンクを辿ってみると、一旦はウイルスバスターにブロックされましたが解除して先に進むとこのようなページが開きました。

いちいちこの先を辿って確認はしませんが、恐らく個人情報を入力させられた上で未納の税金をオンライン決済にて支払わせるふりをしてクレジットカードの情報を盗み出して詐欺を働くものと思われます。

まとめ

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;