『詐欺メール』『メルカリ事務局からのお知らせご利用確認のお願い』と、来た件

★フィッシング詐欺解体新書★

詐欺メールにわざわざ電子署名まで付けて…

いつもご覧くださりありがとうございます！

今年も『メルカリ』を騙るメールにも悩まされそうです。
今日もこのように『メルカリ事務局』に成りすました詐欺メールが届いております。

このメール、いくつかおかしな点があるので、まずはそちらから見ていきましょう。
まずは添付ファイル。
このメールにはなぜか『smime.p7s』と言う添付ファイルが付けられています。
この”.p7s”と言う拡張子は、電子署名に関連するファイル形式で、通常は暗号化されたメールやデジタル署名に使用されます。
まあ簡単に言えば、このメールの信用性を高めるために付けられたものです。
まあこのメールは詐欺メールなので無用の長物ですし、拡張子なんていくらでも変えられるので実際このファイルはウイルス感染していたり、はたまたトロイの木馬なのかも知れないので、触らないに越したことはありません。

次に冒頭の宛名。
『○□△ 様、』としてありますが、実際はここに受信したメールアドレスのアカウント名(@以前)が記載されています。
この送信者は、当然こちらの情報をメールアドレスしか知らないので敢えて宛名を書くとすればこのようになるわけです。

次にお問合せ欄にある『050-3412-4323』と言う電話番号。
日本では、050から始まる番号はインターネットを利用したIP電話に割り当てられています。
これは検索してみてもこれと言った利用者は分かりませんでした。

この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

発信元を突き止める！

送信者として記載されているメールアドレスのドメイン(@より後ろ)は”angmeda.com”
ここは送信者がいくらでもウソを書くことができる部分で絶対鵜呑みにしてはいけません。
明らかにメルカリさんのドメインではありませんよね！
メルカリさんによると、メルカリから届くメールは「@mercari.jp」のドメインから送信されます。メルカリShopsからのメールは「no-reply@mercari-shops.com」のドメインから届きます。と説明されています。
故にこれ以外のドメインを利用したメールアドレスで届いたメルカリだとするメールは偽物です。
まあこの”angmeda.com”と言うドメインも本物かどうか眉唾ですけどね！

では、送信者の素性が分かるメールヘッダーの『Receivedフィールド』から情報を探ってみます。
こちらがこのメールのReceivedフィールドがこちらです。

ほらほら、ここにはまた『syhemp.framalistesdeac.com』なんて別のドメインが記載されていますよ！

じゃまずドメイン”angmeda.com”を割当てているIPアドレスとReceivedフィールドを比較してみましょう。
こちらが『aWebAnalysis』さんで取得した”angmeda.com”を割当てているIPアドレスです。
全然違いますよね、この結果からこの送信者が使ったとされる”angmeda.com”を使ったメールアドレスは偽装であることが断定できます。

次に『syhemp.framalistesdeac.com』
こちらは『Grupo』さんでより詳しい情報を取得してみます。

このドメインを割当てているIPアドレスはReceivedフィールドのものとぴったり一致しているので、このドメインが送信者の本当のメールアドレスに使われているものと断定できます。
そして米国 ノース・カロライナ州 Charlotte(シャーロット) にお住まいの方がこのドメインを申請取得されています。

このIPアドレスからメールの発信地を導き出してみると、『ロサンゼルス』付近であることが分かりました。

リダイレクトされ本物のメルカリサイトへ接続

さて、本文に直書きされた詐欺サイトへのリンクですがURLは以下の通りです。
【h**ps://condition.mercar-ipa.com/vip=m36285873651】
(直リンク防止のため一部の文字を変更してあります)
これまた『メルカリ』のドメインとは異なるものが利用されていますね。

先程と同様に『Grupo』さんでこのドメインに関する情報と割当てているIPアドレスを取得してみます。

このドメインは、中国 重慶市の方が取得しているようです。
IPアドレスからそのロケーション地域を調べると、カナダの『トロント市庁舎』付近であることが分かりました。

リンクを辿ってみると、一旦はウイルスバスターにブロックされましたが解除してみると、リダイレクト(自動転送)された上で本物のメルカリページが開きました。

ウイルスバスターにブロックされたことを考えると、元々は詐欺サイトにリンクしていたものの何らかの理由で途中から本物のメルカリサイトへリダイレクトを利用して切り替えたようです。
リダイレクトを外せばいつでも元の詐欺サイトへリンクを切替えることが可能なので、本物のメルカリページが開くと言っても安心はできませんよ！

まとめ

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;