『詐欺メール』佐川急便から『【重要】お荷物の配達について重要なお知らせ』と、来た件

★フィッシング詐欺解体新書★

はたして佐川急便がメールアドレスを知ってるでしょうか？

いつもご覧くださりありがとうございます！

物流企業に成りすますフィッシング詐欺メールが後を絶ちません。
今回も『佐川急便』に成りすましています。
いつもは住所に不備があるなどと配送先に関する内容をネタにしているのですが、今回は『お荷物の配達について重要なお知らせ』なんてアバウト理由から本人確認が必要だとしてリンクに誘い込もうとしています。

実際には最近多く見られる『[%1-6个随机属性]』ってタグがいっぱい書かれているメールだったのですが、見ずらいので以下の本文はこれらのタグを排除して見易くしてあります。

皆さんおかしいと思いません？
送り状にメールアドレスなんて記載する場所は無いし、佐川急便のウェブサービスに会員登録もしていないのにどうして皆さんのメールアドレスを佐川急便が知っているのでしょうね？
そう考えればこのメールが普通じゃないことは一目瞭然でしょ！

それにこの件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

送信者として記載されているメールアドレスのドメイン(@より後ろ)は”eqno.com”
ここは送信者がいくらでもウソを書くことができる部分で絶対鵜呑みにしてはいけません。
先程も書いた通り、佐川急便からメールなんて届くはずが無いのですが、百歩譲ってこのメールが佐川急便からのものだとしても、同社が利用するドメインは『sagawa-exp.co.jp』になるはず。
故にこのメールは偽物からだと言うことになります。

では、送信者の素性が分かるメールヘッダーの『Receivedフィールド』から情報を探ってみます。
こちらがこのメールのReceivedフィールドがこちらです。

ドメイン”eqno.com”を割当てているIPアドレスと比較してみましょう。
こちらが『aWebAnalysis』さんで取得した”eqno.com”を割当てているIPアドレスです。

全然違いますよね、この結果からこの送信者が使ったとされる”eqno.com”を使ったメールアドレスは偽装であることが断定できます。

このReceivedフィールドの末尾にあるIPアドレスからメールの発信地を導き出してみると、中国の『南京市』付近であることが分かりました。

詐欺サイトはシンガポールの山中にあり

さて、本文の『[リンクをクリックして身元を確認する]』と書かれた部分に付けられた詐欺サイトへのリンクですがURLは以下の通りです。
【h**ps://xkctkx.asia/sagawacsa31exp/?m=000&t=000&ip=133.218.187.145&language=ja,en-US;q=0.9,en;q=0.8&d=000】
(直リンク防止のため一部の文字を変更してあります)
これまた『佐川急便』のドメインとは異なるものが利用されていますね。

『Whois』さんと『aWebAnalysis』さんでこのドメインに関する情報と割当てているIPアドレスを取得してみます。
まずは『Whois』さんから

『Registrant Contact』欄に『tian jin shi』とあるので取得されているのは、中国の天津市の方。

次に『aWebAnalysis』さんで割当てているIPアドレスを。

このIPアドレスからそのロケーション地域を調べると、シンガポールの山中であることが分かりました。

そしてこのリンクを辿ってみると、一旦はウイルスバスターにブロックされましたが解除して進むとこのようなページが開きました。

どうやら配送先住所が不明瞭だったようです。
ま、不明瞭と言う言い方も違和感がありますが…
結局このメールで何がしたいかと言うと、こうやってリンクに誘い込んで再配達料と言う名目でオンライン決済必要だとして、クレジットカードの情報を盗み取ろうとするものです。
もちろん本物の佐川急便さんでは再配達料なんてものは必要ありませんよね！

まとめ

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;