『迷惑メール』「個人名義の口座を開設されるお客さまへ」と来た件

2019年8月23日

フィッシングメールにフィッシングメールの注意喚起してあるし(笑)

今週は静かに過ぎるかと思えば…

今週は少し静かだと思ってたら、また「ゆうちょ銀行」を騙る迷惑メールです。

「差出人：【ゆうちょ銀行】 <information@jp-bank.japanpost.jp>」
「件名：個人名義の口座を開設されるお客さまへ」

では詳しく見ていきますよ。
まず、差出人から。
メールアドレスですが「information@jp-bank.japanpost.jp」
これは偽装ですね～
ドメインの「jp-bank.japanpost.jp」は「ゆうちょ銀行」の正式なものですが、
「information@」の付いたこのアドレスは存在しないようです。
ホントのメールアドレスはメールのヘッダーを見ると分かりますよ。
このメールは「yfxebn@essggyw.com」から送られていました。

笑えるのは本文中の「なお、本メールの内容はゆうちょ銀行Webサイト
「フィッシングメールによる詐欺被害にご注意ください」のページにも掲載しています。」
ってくだり…
って、あんたがフィッシング詐欺師だろうが、何言ってんだか…(笑)

下名、ゆうちょ銀行に口座を持たないので詳しく分かりませんが、調べてみると
「ゆうちょ認証アプリ」は確かにあるようですが、信じさせる詐欺の手口です！

文中「すぐに口座の更新をお願いします」って書いてあるんで焦りますよね！？
この焦らせるのも詐欺の手口ですよ！

リンクはフィッシングサイトと認識済み

フィッシング詐欺とは、餌でまんまと釣られてしまうのでこう言う名前が
付いているのです。
その餌となるのが巧みな本文とリンク。
(大して匠で無いものが多いですが)

このメールで言うと、リンクは文中の
「ttps://www.jp-bank.japanpost.jp/tetuzuki/shohin/tz31k514shn」

愛用のメーラー「Thunderbird」で文中のリンクを開こうとしたら
こんなん出ました…(笑)

Thunderbirdでは既に「ttps://www.menuzin.com/」はフィッシングサイトであることを
認識済みのようです。

あれ？
リンク先は「ttps://www.jp-bank.japanpost.jp/tetuzuki/shohin/tz31k514shn」
じゃなかったっけ？
そう、書いてある文字とリンク先が別になっている偽装リンクです！

警告メッセージが出てしまいましたが、しかし、検証のため危険を承知で繋いでみます(;^ω^)

おお、一応それらしいページが開きましたね。
でもこんなの、ちょっとした知識さえあれば簡単にパクってこられます。

因みにこっちのが本物のページ。

「ゆうちょ銀行」←繋いでも安全です(笑)
本物の方は赤文字でフィッシングメールに関する注意喚起がされていますね！

どうです？
見分け付きます？

偽物は、上段にあるタブの文字がずれてるのと、左下の「手数料・料金一覧」など4つの
アイコンの並びが違う程度でほとんど見分けが付きませんよね…^^;
因みにページ内のリンクですが、「ゆうちょダイレクトログイン」を除き全て空リンクです。

手口はここに隠されています

こういったフィッシング詐欺メールの手口は、いつも書いているようにリンクを辿らせて
最終的に重要な個人情報、ここでは口座番号や暗証番号をフォーム画面に入力させて
盗み取るもの。

では、このページ。
詐欺に結び付く手口はどこにあるのでしょうか？

ゆうちょ銀行のユーザーさんなら、まず最初にログインするためユーザー認証を行います。
「ゆうちょダイレクトログイン」を押すと、ログイン画面に飛ばされます。
因みにURLは「ttps://www.menuzin.com/login/」(先頭の”h”は伏せ文字にしてあります)
検証しているから分かるのであって、焦ってればURLの偽装なんてよっぽど気を付けていないと
気が付きませんよね？

こちらも「ゆうちょダイレクトのお申込み(無料)」以外は空リンクです。
因みに「ゆうちょダイレクトのお申込み(無料)」を押すとしれっとエラー画面になります(笑)

ここで「お客さま番号」を入力させ、次のページで個人情報を盗み取るんだろうと
思います。

一夜明けて…

実はこのメール、退社間際だったので、ブログエントリーを途中まで書き
一旦下書きにしたまま帰り、一夜明けて今朝続きを書こうと同じページに行こうとしたら…

嗚呼、対策済みでした(;^_^A

まぁメールに残ったIPアドレスなどは調査できるでしょう～

IPアドレス調査

毎度同じくだりで恐縮ですが、何時ものように「Magonote-tools」さんの
「IPアドレス・ドメインの持ち主を調査」で。
ヘッダーから取得したIPアドレスの情報で調査します。
……
……

今回は香港の「ツェンワン」という地域に設置されたサーバーから発信されていました。
ここは、詐欺師のアジトではなくあくまで迷惑メールが発信されたサーバーの位置情報です。