『詐欺メール』『他店と比べてください！驚きのiPhone最安値を実現』と、来た件

2025年5月7日

★フィッシング詐欺メール解体新書★

スマホやタブレットが普及し増々便利になる私たちが生活する世の中。
それに比例して増えてくるのが悪質な詐欺行為。
このブログエントリーは、フィッシング詐欺メールの注意喚起拡散を目的とし
悪意を持ったメールを発見次第できる限り迅速なご紹介を心掛けています。
もし気が付かずに詐欺サイトログインしてしまった場合は、まず落ち着いてできる限り早く
パスワードの変更やクレジットカードの利用停止を行ってください。

いつもご覧くださりありがとうございます！

☆当サイトでは、今の観点から不審なメールであるかどうかを解析して行きます☆
★現在、証券会社に成り済ます悪質なメールが大量発生中、資産運用されている方はご注意ください★

件名の見出しを確認
メールアドレスのドメインを確認
リンク先のドメインを確認

できる限り分かりやすく説明していいます。
最後までお読みいただても5分～10分程度ですのでごゆっくりご覧ください。
では、進めてまいります。

1. 前書き
2. メール本文
3. 件名の見出しを確認
4. メールアドレスのドメインを確認
5. リンク先のドメインを確認
6. まとめ

前書き

なんだか『世界一安いiPhone』なんて謳い文句にするいつもとは毛色が異なるなんとも怪しいメールが届きました。
では、今回も詳しく見ていくことにしましょう。

以下、そのメールです。
※テキストだけコピペしてありますので、性質上文字化け等はご容赦ください。

メール本文

ここから本文
↓↓↓↓↓↓

件名：[spam] 他店と比べてください！驚きのiPhone最安値を実現
送信者： “pslltnlvyd@icloud.com" <vpahoo@yahoo.co.jp>

【期間限定】スーパーセール開催中！
＼世界一安いiPhoneが、さらに値下げ！／

いつもご利用ありがとうございます。
ついに、当店自慢の「世界一安いiPhone」がスーパーセール価格で登場！

▼ セール会場はこちら
h**ps://ssur.cc/p53NmzWeH

☆ 最新モデルも対象
☆ 数量限定の早い者勝ち
☆ 在庫がなくなり次第終了

このチャンスを逃すと、次はいつになるかわかりません…！

▼ セール会場はこちら
h**ps://ssur.cc/p53NmzWeH

お得にiPhoneを手に入れるなら今がチャンス！
ぜひお早めにチェックしてみてください！

↑↑↑↑↑↑
本文ここまで

確か3月にも『任天堂Switch』の先行予約販売をネタにした怪しいメールを以下の無いようでご紹介しましたね。

『詐欺メール』『【数量限定】SWITCH 2 先行予約受付開始！』と、来た件

今回のメールは、これと同じ類のもので、ショッピングサイトを装ってクレジットカードの情報を盗み取るのが目的で、最新モデルも対象とか、数量限定の早い者勝ちとか、在庫がなくなり次第終了なんて受信者を煽って購買意欲を掻き立てています。

件名の見出しを確認

この件名の見出しには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

メールアドレスのドメインを確認

送信者として記載されているメールアドレスのドメイン(@より後ろ)は『yahoo.co.jp』
ここは送信者がいくらでもウソを書くことができる部分で絶対鵜呑みにしてはいけません。

もうお分かりですよね？
そうです、このドメインはご覧の通り『Yahoo！』さんのもので、こういった怪しいメールで偽装として時々に利用されています。

では、送信者の素性が分かるメールヘッダーの『Receivedフィールド』から情報を探ってみます。
こちらがこのメールのReceivedフィールドです。

Received: from 172-234-67-180.ip.linodeusercontent.com (172-234-67-180.ip.linodeusercontent.com [172.234.67.180])

本来ならここには、送信者のメールアドレスと同じドメインが記載されるはずですがそれとは全く異なる『linodeusercontent.com』なんてドメインが記載されていますね。
この時点で送信者のメールアドレスに使われていたドメイン『yahoo.co.jp』はウソであることが分かります！

ここの末尾に記載のIPアドレスは、送信サーバーが自身で書き込むもので、偽装することはできません。
このReceivedフィールドの末尾にあるIPアドレスからメールの発信地を『IP調査兵団』で導き出してみると、米国のアッシュバーン付近です。
それにこのIPアドレスは既にブラックリストに登録されて、そのカテゴリは『サイバーアタックの攻撃元』とされています。

リンク先のドメインを確認

さて、本文に直書きされた詐欺サイトへのリンクですが、偽装されていて、実際に接続されるサイトのURLは以下の通りです。

【h**ps://ececnet.xyz/】
(直リンク防止のため一部の文字を変更してあります)

このドメインを割当てているIPアドレスを『aWebAnalysis』さんで取得してみます。

次にこのドメインに関する詳しい情報を『Whois』さんで取得してみます。

Registrant Contactの『Registrant Organization』には『Withheld for Privacy ehf』と記載されています。
Withheld for Privacy ehfは、アイスランド・レイキャビクに拠点を置くプライバシー保護サービス企業で、主にドメイン登録者の個人情報をWHOISデータベース上で非公開にするサービスを提供しています。このサービスを利用すると、ドメインの登録者の各種情報(名前、住所、電話番号、メールアドレスなど)が公開されるのを防ぐため、その代わりにこのように、Withheld for Privacy ehfの情報が表示され、スパムや不正アクセスからの保護が強化することができます。
半面最近は、このサービスが藪蛇(やぶへび)になりこういったサイバー犯罪の温床とされることが多く見られます。

割当てているIPアドレスは『67.223.118.34』
『IP調査兵団』でこのIPアドレスからそのロケーション地域を調べると、ロサンゼルス付近であることが分かりました。