『詐欺メール』Kagoyaから『メール設定手順についてはこちらをご確認ください』と、来た件

★フィッシング詐欺解体新書★

カゴヤ・ジャパン』に成りすます詐欺メール

いつもご覧くださりありがとうございます！

そんなに人のメールアカウントが欲しいのでしょうか？
ホスティングサービスの『カゴヤ・ジャパン』に成りすます詐欺メールが後を絶ちません。
この『Kagoya Support』なる送信者から送られてきたこのメール、サービスに付随するWebメーラーに障害が発生しているので、代替えとして通常のメールソフトを利用を呼び掛けた上で、メールソフトの設定に必要な情報をリンクで参照するように促しています。

この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

送信者は、栃木県小山市に在住のビッグローブユーザー

送信者として記載されているメールアドレスのドメイン(@より後ろ)は”mue.biglobe.ne.jp”
ここは送信者がいくらでもウソを書くことができる部分で絶対鵜呑みにしてはいけません。
もうお気付きですよね？
カゴヤジャパンを名乗っているにもかかわらず、ドメインが商売敵の『ビッグローブ』のもの。
どこのホスティングサービスが商売敵のめーるあどれすを使ってユーザーに障害連絡のメールを送るのでしょうか？
あまりにも馬鹿げてます！
当然このビッグローブのメールアドレスも偽装されているはずです。

では、送信者の素性が分かるメールヘッダーの『Receivedフィールド』から情報を探ってみます。
こちらがこのメールのReceivedフィールドがこちらです。

確かにここにもビッグローブのドメインが記載されていますが、サブドメインの”mue”が異なりますね。

ではドメイン”mue.biglobe.ne.jp”とReceivedフィールドの”mta-sp-w02.biglobe.ne.jp”を割当てているIPアドレスと比較してみましょう
こちらが『aWebAnalysis』さんで取得した割当てているIPアドレスです。

”mue”の方はIPアドレスが判断できなかったとの事でこのサブドメインを利用したメールアドレスは偽装確定。
”mta-sp-w02”の方は、ReceivedフィールドのIPアドレスと合致しましたから、この送信者の本当のメールアドレスのドメインは”mta-sp-w02.biglobe.ne.jp”であることが分かりました。

このIPアドレスからメールの発信地を導き出してみると、『栃木県小山市』付近であることが分かりました。
それにこのIPアドレスは既に危険なものとしてブラックリストに登録されていますね。

故に、このメールの送信者は、栃木県小山市に在住のビッグローブユーザーだと断定できました。

あれ？Webメーラーに障害が発生しているんじゃなかったの？

さて、本文の『>> 設定手順はこちら』と書かれた部分に付けられた詐欺サイトへのリンクですがURLは以下の通りです。
【h**ps://cpkagoya.ho61v7smlr.free.hr/activemail.kagoya.com/】
(直リンク防止のため一部の文字を変更してあります)
末尾が『kagoya.com』となっているのでカゴヤジャパンさんのドメインのようにも見えますが、間違えてはいけません。
このURLのドメイン部分はそこではなく『ho61v7smlr.free.hr』です。

今度は『Grupo』さんでこのドメインに関する情報と割当てているIPアドレスを取得してみます。

このドメインは、クロアチアに拠点を置く『GRANSY d.o.o.』と言うレジストラが取得しているものであるようです。
恐らくこの『ho61v7smlr.free.hr』と言うドメインは、このレジストラが”ho61v7smlr”と言うサブドメインを付加したものをユーザーに貸し出しているものと思われます。

このIPアドレスからそのロケーション地域を調べると、詐欺サイト設置地でありがちなカナダの『トロント市庁舎』付近であることが分かりました。
こちらも脅威レベルが『中』として登録されていますね。

リンクを辿ってみると、Webメーラーの『Active!mail』ログインページが開きました。

あれれ？
Webメーラーに障害が発生しているんじゃなかったのでしょうか？
それなのにWebメーラーにログインさせるのってなんだかおかしい気がします…💦
こうやって偽のWebメーラーにログインさせるふりをして、メールのアカウント情報やログインパスワードを盗み出し、乗っ取った上でそのアカウントを利用して詐欺メールや迷惑メールを発信するのに利用するのでしょうね。

まとめ

カゴヤ・ジャパンさんに限らずこのようにホスティングサービスの名を騙り、メールアドレスの乗っ取りを目的に詐欺メールを送ってくるメールが多発しています。
もしあなたが利用しているホスティングサービスからこのようなメールが届いても簡単に鵜呑みにせず、同社のオフィシャルサイト内にある障害情報等を確認してください。

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;