『詐欺メール』「Amazon株式会社から緊急のご連絡」と、来た件

久しぶりにアマゾンメールいじり

雨の土曜日、今年の春は週末が雨に泣かされることが多く様々なレジャーに影響が出ている
事と思いますが、邪悪な病魔に対しては良い影響なのではないかとアウトドア好きの
heartはポジティブにとらえ釣りに行けない気持ちをごまかそうとしています。

さて、今回のジャンクメールはこちら。

アマゾンを騙るなりすましフィッシング詐欺メールは相変わらず数多くあるものの
中身はいつも同じような内容なのでポイしていましたが、今回のは件名こそ以前に
ご紹介したことのあるものですが、中身が少し違ったものでしたのでピックアップ。
当然の如くメールには嘘八百並べて書いてありますが、「マジか！」と思うような
差出側の調査不足の露呈も合わせてご紹介しようと思います。

ヘッダー調査

では件名から。

「[spam] Amazon.co.jp にご登録のアカウント（名前、パスワード、その他個人情報）の確認..」

先程書いたようにこの件名によく似たメールはこれまでにも何度かご紹介していますが、
またかと思わず最後までご覧くださると幸いです♪

”[spam]”はスパムスタンプと申しまして、サーバーに備わったスパムフィルターと呼ばれる
セキュリティーシステムがこのメールに反応し仕分けのため件名に付加したもの。
このスタンプが付けられたメールはほぼほぼジャンクメールと言うわけで、このメールも
そのご多分に漏れずその類と判断された証拠となります。

次に差出人。

「Amazon.co.jp <account-update@amazon.co.jp>」

まぁ、私の場合ここは絶対信じません。
だってここは簡単に偽装できてしまう部分ですからね。

メールにはそのメールの経路や発信元の情報などが記載されたヘッダーソースと呼ばれる
ものがあります。
こちらの画像は、このメールのヘッダーソースで必要な箇所を抜粋したもの。

”Return-path”は不達時に返信されるメールアドレスで本来は当然差出人と同じメールアドレス
であることが自然です。
でも、このメールの場合はこのように書かれています。

Return-Path: <fu@zrtqxkawpq.me>

”zrtqxkawpq.me”なんてアマゾンには全く関係のないアドレスですよね？！
よく見ると、ヘッダーソース中複数の箇所に記載されていることが分かります。
調べてみると、存在しないドメインを使ったメールアドレスだということが分かりましたので
おそらく偽装です。

次に”Received”です。

Received: from zrtqxkawpq.me (unknown [150.95.208.202])

ここにも”Return-path”と同じドメインが記載されていますが、ここも嘘でしょう。
”Return-path”は経路中通過してきたサーバーが自身で刻む情報です。
ここの末尾にある4つのセグメントに区切られた数字の羅列はIPアドレスと呼ばれるもので
これはインターネットに接続するクライアント全てに与えら、同時には1つしかないので
そのクライアントの特定に用いることができます。

このIPアドレスを調べることでそのクライアントのおおよその位置を特定することが可能。
早速とあるサイトで確認してみることに。

結果は東京と出ました、
それにジャンクメール調査ではよく見かけるドメインもホスト名のところに…(汗)

続いて本文。

「あなたの」から始まるメール本文。
一般的には宛名があって、あいさつ文があってそれから本文という流れになると思いますが
このメールの場合は、唐突に「あなたの」と書かれていますから文頭から既に違和感しか
ありません！(^^;

まずそれ以前に言いたいことがあります。

残念ながら「Amazon株式会社」と言う屋号は存在しません！！

日本の現地アマゾンの正式な屋号は「アマゾンジャパン合同会社」です！！

よく覚えておいてください。
ってか、こういうところが抜けてるんだよね～ちょっと調べりゃわかるのに…(-_-;)

異常なログインだとか配送先が変更されたとか書いてありますが、もちろん嘘。
そしてそのログイン情報も大嘘(笑)

このIPアドレスも調べてみると、岐阜と書かれているにもかかわらず
2020年の9月からアメリカで使われてることが分かりました(笑)

本文の最後にある”サインイン”と書かれた黄色いボタンは、詐欺を実行するために作られた
サイトへ導くためのリンクボタンです。

そのURLは以下のように”http”プロトコルから始まる暗号化されてない安全ではないサイト。
それもIPアドレスがむき出しです。

実際にクリックしてみると早速メーラーから警告が！

既に危険なサイトであることが周知されている模様。

危険を承知でクリックしてみると…

完コピ偽サイト…
アマゾンのログインページそっくりなページが開きました。
サイトはまだ運営されていますのでとても危険です！！

では、このむき出しのIPアドレスも例によって調査してみましょう！

アメリカニューヨーク州のバッファローという街が特定されました。
ここに置かれているホストサーバーで先ほどの完コピ偽サイトは運営されているんですね！

このようなメールが本当のアマゾンから送られてきたとしたら、アカウントを何らかの
方法で乗っ取られているので、メールのリンクをクリックせずに必ずスマホのアプリで
間違っても絶対にメールにあるリンクにはつながないようにお願いします！