『詐欺メール』Amazonから「必要なアクション」と、来た件

heart

4年前

「お客様各位」の書き出しは怪しい証拠

！ご注意！
当エントリーは迷惑メールの注意喚起を目的とし、悪意を持ったメールをご紹介ししています。
このようなメールを受け取っても絶対に本文中にあるリンクをクリックしないでください！
リンクは当該サイトを装った偽サイトへ誘導で、最悪の場合、詐欺被害に遭う可能性があります。
ですから絶対にクリックしないでください！
どうしても気になると言う方は、ブックマークしてあるリンクを使うかスマホアプリを
お使いになってログインするように心掛けてください！

[spam]は悪意のある証拠

これは事務所の代表メールアドレスに届いてたブラックメール。
アマゾンを騙ったアカウント更新を促す詐欺メールです。

差出人は「Amazon.co.jp <support@giftshopss.com>」
「Amazon.co.jp」と記載しておきながら「giftshopss.com」なんてアマゾンでは
あり得ないメールのドメイン。
これ本当に使われているものだろうかと思って調べると、ロシアで実際に使われて
いるようなのでまんざら全部が嘘じゃないが、アマゾンからのメールじゃない(笑)

件名は「[spam] 必要なアクション-ID:[59765323]」
通り番号なんて作ってそれらしく見せていますが、[spam] が表すようにこのメールは
悪意のあるメールです！

メールを詳しく調べる上での必要な情報はヘッダーソースで確認できます。
まずは”Message-ID”と”Return-Path”

”Return-Path”は差出人のメールアドレスと同じものが書かれていますが、ここは偽装が可能。
”Message-ID”は世界に1つしかないそのメールを識別するID。
この末尾には使用しているドメインやクライアントの情報が書き込まれます。
このメールの場合は”<E1kqo8J-0000Rb-Kr@ns1.hesabline.com>”と記載されていますが
よく見ると、差出人のメールアドレスにあったドメインとは全く異なる”ns1.hesabline.com”
なんてドメインが記録されているので怪しいメールだと判断できます。
ただしここも偽装は可能なフィールド。

次に注目するのは”Received”フィールド。
ここはそれぞれの送受信サーバーが自動で記録するフィールド。
差出人が利用したサーバーが記録した情報がコレ。