『詐欺メール』『イオンカードご利用状況確認のお願い』と、来た件

2025年2月14日

★フィッシング詐欺メール解体新書★

スマホやタブレットが普及し増々便利になる私たちが生活する世の中。
それに比例して増えてくるのが悪質な詐欺行為。
このブログエントリーは、フィッシング詐欺メールの注意喚起拡散を目的とし
悪意を持ったメールを発見次第できる限り迅速なご紹介を心掛けています。
もし気が付かずに詐欺サイトログインしてしまった場合は、まず落ち着いてできる限り早く
パスワードの変更やクレジットカードの利用停止を行ってください。

いつもご覧くださりありがとうございます！

・当サイトでは、今の観点から不審なメールであるかどうかを解析して行きます。

件名の見出しを確認
メールアドレスのドメインを確認
宛名を確認
リンク先のドメインを確認

できる限り分かりやすく説明していいます。
最後までお読みいただても5分程度ですのでごゆっくりご覧ください。
では、進めてまいります。

前書き

今回は、『イオンフィナンシャルサービス』に成り済ます不審なメールのご紹介となります。
もう今更このようなメールについていちいち言及する必要もないかも知れませんが、まだまだ免疫のない方もいらっしゃると思いますので一応解説しておくことにします。
以下は、身に覚えのないイオンカードの不正利用に見せかけてリンクに誘い込みアカウント情報やクレジットカードの情報を盗み取ろうとするものです。

以下、そのメールです。
テキストだけコピペしてありますので、性質上文字化け等はご容赦ください。

件名：[spam] イオンカードご利用状況確認のお願い
送信者："イオンフィナンシャルサービス株式会社" <email.aeon-umjtoeeo@service.gsxwch.cn>いつもイオンカードをご利用いただき、ありがとうございます。
下記の承認照会取引がございましたため、ご確認をお願いいたします。ご利用日：2025/2/14
ご利用者：本人
ご利用金額：17,000円
ご利用場所：国内加盟店ショッピング
——————–＜ご注意点＞
※本サービスは大切なお知らせのため、メール配信の許諾をいただいていない方にも配信しております。
※本サービスは、イオンカードで特定の承認照会取引が確認された場合、暮らしのマネーサイトにご登録いただいているメールアドレスへお知らせするもので、ご利用・請求を確定するものではありません。
※正式なご利用確定情報が店舗より到着次第、暮らしのマネーサイト、またはアプリ「イオンウォレット」の「ご利用明細」に表示いたします。
※通販サイトなどでのご利用の場合、実際のご利用日時・金額と異なる場合がございます。
※国内でご利用された場合でも加盟店の契約状況により「海外加盟店」と表示される場合がございます。
※ご契約キャンセルとなった場合のお取消し情報は配信されません。

■万一ご利用に覚えのない場合はこちら
https://faq.aeon.co.jp/category/show/ga6ul?site_domain=default

■カードの紛失・盗難に気づかれたらこちら
https://faq.aeon.co.jp/category/show/lqthu?site_domain=default

■カードの不正利用や詐欺などの被害にあわないために、「本人認証サービスや無料セキュリティソフトなど安心・安全な機能のご利用」「カード番号等のお取扱いの注意点のご確認」をお願いいたします。
https://www.aeon.co.jp/v88se/security/

■カード全般に関するお問い合わせ先はこちら
https://www.aeon.co.jp/4zpp1/inquiry/

イオンマークのカードを保有しておらず、当メールにお心当たりのない方は、大変お手数をお掛けいたしますが、その旨をお書き添えいただき下記アドレスまでお送りください。
mailto:netbranch@aeon.co.jp
※カード利用状況についてのお問い合わせはお受けできません。

このメールは送信専用です。ご返信をいただきましてもご回答いたしかねますのでご了承ください。

―――――――
発行会社：株式会社イオン銀行
業務受託会社：イオンフィナンシャルサービス株式会社
https://www.aeon.co.jp/
このメールに掲載された内容を許可なく転載することを禁じます。
―――――――

件名の見出しを確認

この件名の見出しには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

メールアドレスのドメインを確認

送信者として記載されているメールアドレスのドメイン(@より後ろ)は『service.gsxwch.cn』
ここは送信者がいくらでもウソを書くことができる部分で絶対鵜呑みにしてはいけません。
末尾が『.cn』であるのでこのドメインは中国に与えられた国別ドメインです。
因みに『イオンカード』から届くメールのアドレスにあるのドメインは『＠aeon.co.jp』
故にこのドメイン以外のメールアドレスで届いた同社からのメールは全て偽物と言うことになります。

では、送信者の素性が分かるメールヘッダーの『Receivedフィールド』から情報を探ってみます。
こちらがこのメールのReceivedフィールドがこちらです。

Received: from service.gsxwch.cn (service.gsxwch.cn [172.245.67.28])

このドメインに関する詳しい情報を『Grupo』さんで取得してみます。

ReceivedフィールドのIPアドレスとこのドメインを割当てているIPアドレスが合致したので、この送信者は自身のメールアドレスを隠すことなく利用したようです。
それにこのドメインの持ち主は、これらの調査で頻繁に見掛ける中国の方です。

このReceivedフィールドの末尾にあるIPアドレスからメールの発信地を導き出してみると、ニューヨークのバッファロー付近であることが分かりました。
それにこのIPアドレスは既にブラックリストに『サイバーアタックの攻撃元』として登録済みです。

宛名を確認

通常このような大切なメールの場合、本文の冒頭に必ず『○□△ 様』と宛名が付けられているはず。
でもこのメールにはその宛名がありません。
これはとても不自然なことで、ビジネスメールのマナー違反です。

リンク先のドメインを確認

さて、本文にいくつか付けられた詐欺サイトへのリンクですが、どれも『aeon.co.jp』とイオンカードの公式ドメインを使って直書きされていますが、当然偽装されていて、実際に接続されるサイトのURLは以下の通りです。
【h**ps://aenon.gokulaminn.com/app/oeon.co.jp/】
(直リンク防止のため一部の文字を変更してあります)

先程と同様にこのドメインに関する詳しい情報を『Grupo』さんで取得してみます。