『詐欺メール』『【お取引予定】引落に関するご確認のお願い（全国信用組合）』と、来た件
★フィッシング詐欺メール解体新書★
スマホやタブレットが普及し増々便利になる私たちが生活する世の中。
それに比例して増えてくるのが悪質な詐欺行為。
このブログエントリーは、フィッシング詐欺メールの注意喚起拡散を目的とし
悪意を持ったメールを発見次第できる限り迅速なご紹介を心掛けています。
もし気が付かずに詐欺サイトログインしてしまった場合は、まず落ち着いてできる限り早く
パスワードの変更やクレジットカードの利用停止を行ってください。
いつもご覧くださりありがとうございます！
☆当サイトでは、今の観点から不審なメールであるかどうかを解析して行きます☆
- 件名の見出しを確認
- メールアドレスのドメインを確認
- 宛名を確認
- リンク先のドメインを確認
できる限り分かりやすく説明していいます。
最後までお読みいただても5分～10分程度ですのでごゆっくりご覧ください。
最初に1点だけ以下の件ご了承ください。
本来ならメールの本文をキャプチャー画像で貼り付ける方が見やすく正しいやり方かも知れませんが、全てを画像化してしまうとキーワード検索に引っかからなくなってしまい、これらのメールを受取って不安で検索される方が多く検索結果に繋がらないとこのブロブの意味が無くなってしまうので、あえて本文を丸々コピペしてテキストにてできるだけ受け取ったメールに近い表現になるとうにした上で記載しています。
では、進めてまいります。
2つのメール
時期を同じくして同じような内容で送信者の異なるメールが相次いで届きました。
それぞれの件名と送信者は以下の通りです。
「【お取引予定】引落に関するご確認のお願い（全国信用組合）："全国信用組合" <no-reply@sciencetechdaily.com>」
「【お取引予定】引落に関するご確認のお願い（信用金庫）："全国信用金庫協会" <no-reply@eyurc.com>」
「全国信用組合」と「全国信用金庫協会」はよく似た名前ですが異なる金融機関の団体です。
文面の団体名を変えるだけで簡単に2通の悪質なメールが作成できるなんて、姑息ですよね。
それにしてもよく似ている団体を探し出したものです。
今回は、この2つのメールの中から時系列で新しい「全国信用組合」の方を取り上げてのご紹介となります。
では、詳しく見ていくことにしましょう。
以下、そのメールです。
※テキストだけコピペしてありますので、性質上文字化け等はご容赦ください。
メール本文
ここから本文
↓↓↓↓↓↓
件名：[spam] 【お取引予定】引落に関するご確認のお願い（全国信用組合）
送信者： “全国信用組合" <no-reply@sciencetechdaily.com>
いつも全国信用組合をご利用いただき、誠にありがとうございます。
下記のとおり、2日後に予定されている口座振替についてご案内いたします。
引落予定日：2025年7月22日
合計引落予定額：98,780円
※本ご案内は2025年7月20日 02:03:04時点の情報です。金額は今後変動する可能性があります。
■ 収納企業名：ヤフーウォレット
■ 内容：ヤフージャパン
■ 引落予定額：98,780円
お心当たりのないお取引が記載されている場合は、念のためお客様の取引状況をご確認ください。
▼取引確認・内容照会はこちら：
h**ps://shinyokumlal-04.com
※当行では取引の詳細についてはお調べできません。詳細は収納企業に直接ご確認ください。
このメールは送信専用です。ご不明な点がある場合は、当行公式ウェブサイトよりお問い合わせください。
全国信用組合
カスタマーサポートセンター
受付時間：平日9:00～17:00（土日祝日を除く）
↑↑↑↑↑↑
本文ここまで
先ほども書きましたが、この「全国信用組合」と「全国信用金庫協会」のメールは全く同じ内容で組織名だけ変えられています。
どちらもありもしないヤフーからの口座振替引き落としに関する予告通知となっていて、意図しない支払いを不審に思った受信者をリンクに誘い込んで、それぞれのウェブサイトへのログイン情報を詐取して口座を乗っ取るのが目的の悪質な詐欺です。
件名の見出しを確認
この件名の見出しには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いているものは全て迷惑メールと判断されたもの。
うちのサーバーの場合、注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと否応なしに「迷惑メール「」フォルダーに勝手に保存されるような仕組みもあります。
メールアドレスのドメインを確認
送信者として記載されているメールアドレスのドメイン(@より後ろ)は「sciencetechdaily.com」
ここは送信者がいくらでもウソを書くことができる部分で絶対鵜呑みにしてはいけません。
因みに「全国信用組合」が利用するメールアドレスのドメインは「shinyokumiai.or.jp」です。
故にこのドメイン以外のメールアドレスで届いた同社からのメールは全て偽物と言うことになります。
では、送信者の素性が分かるメールヘッダーの「Receivedフィールド」から情報を探ってみます。
こちらがこのメールのReceivedフィールドです。
Received: from mail1.sciencetechdaily.com (v133-18-108-14.vir.kagoya.net [133.18.108.14])
おやおや？ ここに「kagoya.net」とあるのでこのメールの送信者は、カゴヤジャパンのホスティングサーバーを利用してこのメールを送信しているようなので、どうやらこのホスティングサービスのユーザーのようですね。
ここの末尾に記載のIPアドレスは、送信サーバーが自身で書き込むもので、偽装することはできません。
では、試しにドメイン「mail1.sciencetechdaily.com」を割当てているIPアドレスとこのIPアドレスを比較してみましょう。
こちらが「Grupo」さんで取得したこのドメインに割当てているIPアドレスです。
割当てているIPアドレスとReceivedフィールドのIPアドレスが合致したので、この送信者は自身のメールアドレスを偽ることなく何食わぬ顔でこのメールを送信してきたことになります。
「Registrant Organization」には「Super Privacy Service LTD c/o Dynadot」と記載されています。
これは、米国のドメインレジストラ『Dynadot』が提供するドメインプライバシー保護サービスで、このサービスを利用すると、ドメインの登録者の各種情報(名前、住所、電話番号、メールアドレスなど)が公開されるのを防ぐため、その代わりにこのように、Super Privacy Service LTD c/o Dynadotの情報が表示され、スパムや不正アクセスからの保護が強化することができます。
半面最近は、このサービスが藪蛇(やぶへび)になりこういったサイバー犯罪の温床とされることが多く見られます。
このReceivedフィールドの末尾にあるIPアドレスからメールの発信地を「IP調査兵団」で導き出してみると、JR神田駅付近です。
宛名を確認
このような大切なメールの冒頭には通常「◎◇△ 様」と言ったように「宛名」が書かれていますが、でもこのメールにはその宛名が存在しません。
でも仮にもしこれが本当に全国信用組合からだとすれば、ユーザーの氏名を絶対知っているはずですから宛名が無いのはとても不自然です。
ならどうしてこのような書き方をするのでしょうか？
その原因は、このメールの送信者は受信者の情報をメールアドレスしか知らないわけだから宛名なんて書きようがないからです。
どうせどこかから漏洩したメールアドレスのリストを入手し、そのメール宛に無選別でこういったメールを送信しているのでしょう。
リンク先のドメインを確認
さて、本文に直書きされた詐欺サイトへのリンクですが、偽装されていて、実際に接続されるサイトのURLは以下の通りです。
【h**ps://shinyokumlal-0.com/business/service/banking/selectState】
(直リンク防止のため一部の文字を変更してあります)
これまた全国信用組合のドメインとは異なるものが利用されていますね。
先程と同様にこのドメインに関する詳しい情報を「Grupo」さんで取得してみます。
ん～、IPアドレスは取得できましたが、残念ながら所持者の詳しい情報はわかりませんでした。
割当てているIPアドレスは「149.104.32.236」
「IP調査兵団」でこのIPアドレスからそのロケーション地域を調べると、シンガポール近であることが分かりました。
リンクを辿ってみると、一旦はGoogleChromeにブロックされましたが、解除して進むとこのようなページが開きました。
公式サイトを確認してみましたが、まるっとコピーされたクーロンサイトなので本物そっくりです。
でも当然URLが全く異なるので、これは本物そっくりの偽ログインページ。
試しに「福岡県」を選んでみると福岡県にある全国信用組合に所属の信用組合の一覧が表示されました。
よくできたサイトですね。
果たして全部の信用金庫サイトを模造しているのでしょうか？
一番上にある「福岡県庁信用組合 」を押してみるとこのようなページに移動しました。
ここにログインIDとログインパスワードを入力させてそれらを盗み取るんですね。
あれれ？ でもこれは福岡県庁信用組合じゃなくて東京都新宿区に本店を置く「あすか信用組合」と書かれていますよ。
他の県の信用組合も確認してみると、すべてこのページにリンクしているようです。
ですよね、全国にある信用組合のサイト作ってたら相当時間かかりますもんね！
ログインしてしまうとその情報は詐欺犯に把握され不正ログインが可能となります。
不正ログインされてしまうと、口座を操作されて詐欺の被害に遭うことになります。
まとめ
今回は、まず送信者のメールアドレスのドメインが違っていたので、簡単にそれと見破ることができるメールでした。
中には本物のメールアドレスに偽装しているもあるので、必ずリンク先のドメインまで確認してください。
恐ろしいことに、今、こうしている間にも大量のフィッシング詐欺メールが発信されたくさんのフィッシング詐欺サイトが作られ消滅していきます。
次から次に新種のメールが届くので常に意識して被害に遭わないようご注意ください。
いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;