『詐欺メール』Amazonから「セキュリティ警告: サインインが検出されました」と、来た件

差出人のメールアドレスが…

今朝のメールボックスにアマゾンを騙る迷惑メールが2通。

どちらも件名は「[spam]セキュリティ警告: サインインが検出されました」で
差出人は、1通目が「Amazon Help <clc75440@wood.odn.ne.jp>」で
2通目が「Amazon Help <info@mk1.jp>」
もちろんどっちも嘘のアドレス。
って言うか、アマゾンはこんなメールアドレス使わないし(笑)

よく来る迷惑メールなのでそのままゴミ箱に入れようと思ったんですが、ネタも少ないので
ちょっとこの2通を比較しながら調査してみようと思います。

メールの送信元は東京？！

それぞれのメールをHTML形式じゃなくリンクのURLが見やすいようにTEXT形式に
してみました。

1通目のメールはこちら。

そして2通目がこちら。

アマゾンユーザーならお分かりだと思いますが、アマゾンからのメールの宛名は
必ず登録ユーザー名です。
でも、このメールの場合はメールアドレスになっていることに注目して下さい。
差出人はこちらの情報はどこかで入手したこちらのメールアドレスしか知らないので
こういう宛名になっているんです。

それぞれ”Return-Path”が見えるようにヘッダーソースを表示してあります。
ご覧になればわかる通り、それぞれのメールにはサイズの小さなファイルが添付されています。
もちろん開けたりしていませんが…(^^;)

最下段はそれぞれの送信メールサーバーが記録した”Received”のIPアドレス。
これを元にサーバーの在りかを調べてみると、東京の同じ場所が示されました。
もちろんIPが違うので同じサーバーじゃ無いと思いますが…

詐欺サイトは既に閉鎖

メールには詐欺サイトのURLが記載されていますが、どちらのメールも同じURL。

”アマゾン”からなのに”yahoo.co.jp”なんて記載されています。( ´,_ゝ｀)ﾌﾟｯ
このURLに使われているドメインは”yahoo.co.jp”じゃなくて”amazon.lzjxn.me”の方。

危険を承知で接続してみると、ウィルスバスターからの警告が表示されました。

更に危険を承知でサイトへアクセスを試みると

どうやら目的を達成しトンズラしてしまったようで、既に閉鎖してしまっていました。

それじゃ面白くないので、このドメインを割り当ててるIPとその所在を調べてみることに。

すると、IPアドレスが「103.97.128.86」で、中国河南省 鄭州市(ていしゅうし)が
ピンスポットで抽出されました。
どうやら犯人のウェブサイトはここに置かれているウェブサーバーで運営されていた
ようですね。

既に閉鎖されていたのでこのメールに対しては今後の実害はありません。
でも、この手の輩はドメインやIPを次々と変えて何度も犯行を繰り返しますので
今後も注意が必要です。

差出人のメールアドレスや、メール本文の書き出しに使われている宛名に注目して
メールを判断することもスキルの一つですね。