『詐欺メール』Adobeから『署名検証: 契約検証』と、来た件

タイの銀行が電子署名を求めてきた？！

いつもご覧くださりありがとうございます！

またなんだかさっぱりよく分からない不気味なメールが届きました。
『Powered by Adobe Acrobat Sign』とありますが、なんでしょうねコレ？

『契約書/請求書の支払い』なる書類に意見と署名を添えて確認するように書かれています。
ということは、契約書もしくは請求書に電子サインをしろってことでしょうか？
何処からの書類なのかさっぱり分かりませんが、最後の方に『KASIKORNBANK PUBLIC COMPANY LIMITED』とありますが『KASIKORNBANK』ってどこの銀行でしょう？
もしかしてこの銀行の書類なのでしょうかね？
まずはこの『KASIKORNBANK』について調べてみることにします。

タイに本社を置く『カシコーン』と言う銀行で、日本にも拠点があるようですね。
ということはこのタイの銀行が『Adobe Acrobat Sign』を通して私に電子署名するように求めてきているのでしょうか？
でもこの件名には”[spam]”とスタンプが付けられているので迷惑メールの類なのが分かります。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

これはAdobe Acrobat Signからのメールではない

送信者として記載されているメールアドレスのドメイン(@より後ろ)は”ma.pikara.ne.jp”
ここは送信者がいくらでもウソを書くことができる部分で絶対鵜呑みにしてはいけません。
再びChatGPTで『Adobe Acrobat Signからのメールアドレス』として調べてみるとこのように返されました。

『pikara.ne.jp』ってもしかして、四国電力グループが光インターネットを提供している『ピカラ光』のドメインじゃない？
と思って『Grupo』さんで調べてみると…

やっぱりです。
でも『対応するIPアドレスがありません』と書かれているのでこのドメインは、取得されているだけでネット上では利用することができない状態ですね。
ということは、この送信者はメールアドレスを偽装しているようです。
そもそも『ピカラ』が Adobe Acrobat Sign のメールを代筆するはずもありませんもんね！

STNetのユーザーが栃木県小山市から送信

では、送信者の素性が分かるメールヘッダーの『Receivedフィールド』から情報を探ってみます。
こちらがこのメールのReceivedフィールドがこちらです。

ほらほら、ここには全然異なる『osmta0003.stnet.ne.jp』なんてまた別のドメインが記載されていますよ。

このドメインについて再び『Grupo』さんで調べてみます。

割当てているIPアドレスがReceivedフィールドのものとぴったり一致しているので、差出人のメールアドレスのドメインであることは間違いないようです。
それにこのドメインは『STNet Computer Network』の持ち主であるようです。
この持ち主は、香川県高松市に本社を置く『STNet』と言う情報通信サービス企業で
一般向けには主にインターネットプロバイダーと知られているようです。
ということはこの送信者は、このプロバイダーの利用者ですね。

先程のReceivedフィールドの末尾にあるIPアドレスからメールの発信地を導き出してみると、『栃木県小山市』付近であることが分かりました。

サイトはワードプレスで作成されたActive!mailの偽サイト

さて、本文の『確認して署名』と書かれた部分に付けられた詐欺サイトへのリンクですがURLは以下の通りです。
【h**ps://mudanzasmtr.com/wp-admin/mgoya/activemail/index.html】
(直リンク防止のため一部の文字を変更してあります)
ん？『wp-admin』とあるのでリンク先はどうやらブログソフトウエアの『ワードプレス』で作成されたブログサイトのようです。

ひとまずは先程と同様に『Grupo』さんでこのドメインの情報を取得してみます。

このドメインは、アイスランドのレイキャビックの方が、米国のレジストラ『Namecheap』を介して取得されているようです。

割り当てているIPアドレスからそのロケーション地域を調べると、オランダの『アムステルダム』付近であることが分かりました。

リンクを辿ってみると、このようなページが開きました。

あれれ？
これって『Adobe Acrobat Sign』じゃなくてWebメーラーの『Active!mail』のログインページじゃない。
ああ、そう言うことか。
このメールは、電子署名なんかじゃなくて『Active!mail』のアカウントを乗っ取るための詐欺メールだったんですね。
だいたい『ワードプレス』で作成されたブログサイトってところからおかしいと思ったんです。
だったら『カシコーン銀行』は何だったんでしょうね？

まとめ

恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんの
フィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;