『詐欺メール』野村證券から『【本人確認のお願い】最新認証方式への対応』と、来た件

2025年4月16日

★フィッシング詐欺メール解体新書★

スマホやタブレットが普及し増々便利になる私たちが生活する世の中。
それに比例して増えてくるのが悪質な詐欺行為。
このブログエントリーは、フィッシング詐欺メールの注意喚起拡散を目的とし
悪意を持ったメールを発見次第できる限り迅速なご紹介を心掛けています。
もし気が付かずに詐欺サイトログインしてしまった場合は、まず落ち着いてできる限り早く
パスワードの変更やクレジットカードの利用停止を行ってください。

いつもご覧くださりありがとうございます！

☆当サイトでは、今の観点から不審なメールであるかどうかを解析して行きます☆
★現在、偽キャンペーンメールが大量発生中、特にポイント付与メールにご注意ください★

件名の見出しを確認
メールアドレスのドメインを確認
リンク先のドメインを確認

できる限り分かりやすく説明していいます。
最後までお読みいただても5分～10分程度ですのでごゆっくりご覧ください。
では、進めてまいります。

1. 前書き
2. メール本文
3. 件名の見出しを確認
4. メールアドレスのドメインを確認
5. リンク先のドメインを確認
6. まとめ

前書き

異常です、昨日から次から次へと野村證券とされる怪しいメールが届き続けています。
野村證券のオフィシャルサイトでもトツプページでこの件に付いて大きく取り上げて注意喚起されています。
今回は、そんな野村證券に成り済ます不審なメールのご紹介となります。

このブログでご紹介する件名は『【本人確認のお願い】最新認証方式への対応』ですが、全く同じ本文の内容で以下の件名の物も確認されていますので、併せてご注意ください。

・『【重要なお知らせ】ログイン環境の再確認について』
・『【セキュリティ警告】お客様情報の安全確認について』

では、今回も詳しく見ていくことにしましょう。

以下、そのメールです。
※テキストだけコピペしてありますので、性質上文字化け等はご容赦ください。

メール本文

ここから本文
↓↓↓↓↓↓

件名：[spam] 【本人確認のお願い】最新認証方式への対応
送信者： “野村デジタル認証管理室" <alert@entry-nomura.jp>

【緊急通報】お客様環境に対する不審アクセス急増中
― ご確認が完了していない場合、万一の際の補償が適用されない可能性がございます ―

平素より野村證券をご利用いただき、誠にありがとうございます。

昨今、外部からの不審な通信による取引環境への干渉が全国的に報告されており、弊社にも多数のお問い合わせが寄せられております。

この事態を受け、弊社では情報セキュリティ体制を全面的に刷新いたしました。

新たに導入された主な対策は以下のとおりです：

ゼロトラスト技術の導入
ご利用端末環境の特徴識別
AIベースによる動的取引解析

本件に関し、すべてのお客様に対して環境情報のご確認をお願いしております。

以下の専用手続きページより、必要な確認作業を速やかにお済ませください。

▶ ご確認専用ページはこちら

※未対応のまま不正通信等が発生した場合、補償の適用対象外となる恐れがございます。

お客様の大切な資産と取引環境を守るため、何卒ご理解とご協力をお願い申し上げます。

野村證券株式会社
情報セキュリティ対策室

通知番号：S-R8f39e7cd
発信日時：2025年4月16日

↑↑↑↑↑↑
本文ここまで

私の場合、なんと書かれようとも野村證券のユーザーではないので痛くもかゆくもありませんが、もっともらしいことが書かれているので、ユーザーの方だとついつい騙されてしまいそうですね。
このメールは、取引環境のセキュリティを高めるために情報セキュリティ体制を全面的に刷新したので、リンクから自身の環境情報の確認を促すものです。
リンク先は当然野村證券のサイトではなく偽サイトで、ログインさせるふりをして野村證券のアカウント情報を盗み取るのが目的です。

件名の見出しを確認

この件名の見出しには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

メールアドレスのドメインを確認

送信者として記載されているメールアドレスのドメイン(@より後ろ)は『entry-nomura.jp』
ここは送信者がいくらでもウソを書くことができる部分で絶対鵜呑みにしてはいけません。
因みに野村證券が利用するメールアドレスのドメインは『nomura.com』です。
故にこのドメイン以外のメールアドレスで届いた同社からのメールは全て偽物と言うことになります。

では、送信者の素性が分かるメールヘッダーの『Receivedフィールド』から情報を探ってみます。
こちらがこのメールのReceivedフィールドです。

Received: from vmta9.service1275.com (unknown [112.121.166.29])

ここの末尾に記載のIPアドレスは、送信サーバーが自身で書き込むもので、偽装することはできません。

あれあれ？
ここに記載の『vmta9.service1275.com』ってドメイン、この時に書いたブログのメールとよく似てますね。
そいう言えば送信者のメールドメインも確か『entry-nomura.jp』でした💦

『詐欺メール』野村證券から『ご利用環境に関する確認のお願い』と、来た件

折角だから別物として進めていくことにしましょう。

では、試しにドメイン『entry-nomura.jp』に関する詳しい情報を『Grupo』さんで取得してみます。

『No match!!』と書いてあるので、データーベースに存在しないドメインのようです。
ということは、まだ誰にも取得されていないドメインになるのでこのドメインを使ったメールアドレスも存在しないもの。
故に偽装されていると判断できます。

では次にReceivedフィールドにある『vmta9.service1275.com』についてを同様に『Grupo』さんで取得してみます。

割当てているIPアドレスとReceivedフィールドのIPアドレスが合致したので、この送信者の本当のメールアドレスで使われているドメインは『service1275.com』ですね。
この情報が正しければ、このドメインの取得者は、愛知県名古屋市北区の方で詳しい住所と氏名までしっかり書かれています。🤐
普通怪しいメールの場合は、ここまで詳しく書かれていることは無いので、恐らくこのドメインは不正に取得されたものか乗っ取られたものかと思います。

このReceivedフィールドの末尾にあるIPアドレスからメールの発信地を『IP調査兵団』で導き出してみると、香港付近です。

リンク先のドメインを確認

さて、本文の『▶ ご確認専用ページはこちら』と書かれた部分に付けられた詐欺サイトへのリンクですがURLは以下の通りです。
【h**ps://hnsanmu.net/page/】
(直リンク防止のため一部の文字を変更してあります)
これまた野村證券のドメインとは異なるものが利用されていますね。

先程と同様にこのドメインに関する詳しい情報を『Grupo』さんで取得してみます。