そんなドメイン存在しないんだけどコロナに詐欺に、なんかもっと楽しい話題無いものでしょうかね、まったく。
今回のブログエントリーもご多分に漏れず「フィッシング詐欺メール」の話題。
週明けの朝はそうなるわね…(;^_^A さて、今回は「PayPay銀行」に成りすましシステム更新のために登録されている個人情報を
確認を騙ったもの。 
違和感感じません？
そう、気持ち悪いフォントでしょ？
「誤って」なんて見たことないような字体が使われています。
 では、プロパティーから。 件名は
「[spam] 【重要】クレジットカードローン審査申請の本人確認PayPay銀行」
ご覧のように”[spam]”と記載されています。
これはスパムスタンプと呼ばれ、うちのサーバーに設置されたスパムフィルターがこの
メールに反応し付加したセキュリティースタンプ。
これが付いているものはほぼ100％迷惑メールです。
この件名では、「カードローン審査申請の本人確認」と書かれているんですが、ちょっと
本文の内容と違うような気がします… 差出人
「”paypay” <admin@www.paypay.banks-co-jp>」
はい、もうウソがばれてます。
PayPay銀行の正規ドメインは”paypay-bank.co.jp”か”paypay.ne.jp”
若しくは旧ジャパンネット銀行で使われていた”japannetbank.co.jp”です。
因みにこのウソのドメインの存在を確認してみると…
 ね、こんなドメインは世の中に存在しないようです。
イオンカードの詐欺メールを流用？！ではこのメールをヘッダーソースから調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。 | Return-Path: 「<userid@ma.email.aeon.co.jp>」 ”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信されてる
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。 | | Message-ID:「<20210926161226732713@ma.email.aeon.co.jp>」 ”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入れいます。
ここも偽装可能で鵜呑みにはできません。 | | Received:「from ma.email.aeon.co.jp (unknown [183.7.139.115])」 ”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。 |
”Return-Path”や”Message-ID”には”aeon.co.jp”と書かれていますね。
またコイツ、イオンカードの詐欺メールを流用していますよ。 では、このIPアドレスを使ってそのサーバーの位置情報を拾ってみましょう！
 中国と出ましたから、このメールの送り主は、中国に設置されたメールサーバーを
利用しこのメールを送ってきたことが分かりますね。
リダイレクトに次ぐリダイレクトで次にいよいよ本文です。 | いつもPayPay銀行をご利用いただき、誠にありがとうございます。 当社では、フィッシング(※)による不正出金被害防止のため、
この度当社セキュリティシステムの大幅なアップグレードを実施しており、
ご登録された個人情報を再度確認する必要がございます。 つきましては下記へのアクセスの上ご登録された個人情報の確認のご協力をお願い致します。 |
このメールの件名に書かれていたのは「クレジットカードローン審査申請の本人確認」
でも、本文にはそんな話の欠片もなくて、書かれているのはセキュリティーアップグレード
に付随した本人確認の要求です。
詐欺メールで件名と本文の内容が一致しないってことはよくあるんですよね。
メール作ってて気づかないんでしょうか？(笑) 差出人のやりたいことは、なんやかんやのこじつけの理由から詐欺サイトへのリンクを
どうにか押させること。 でもって、気になるの詐欺サイトへのリンクは「→続けるにはこちらをクリック」と書かれた
ところに貼られています。
そしてそのURLがこちらです。 
ご立派に”https”って暗号化されたように書かれていますが、実はリダイレクトされて
全然違うURLに飛ばされます。
そのURLがこちらです。
 ひとまずこのリダイレクトされる前のURLに使われている”s.yam.com”ドメインから調べます。
 ドメインの登録申請は台湾の台北から。
現在アメリカで運用されていると書かれていますが、このサイトの位置情報は結構いい加減。
別のサイトで拾ってみると、シンガポールが表示されました。
もう一か所のサイトでも確認したところ、そちらもシンガポールと出たのでこの結果で
ほぼ間違いないかと。
 では次にリダイレクトされた先の”www-paypoy.banks-vcvbr-co-jp.lingti.top”ってドメインは
どのような情報なのでしょうか？
これがそのドメインの申請情報です。
 見事にプライバシー保護されていますね。
辛うじて申請者の住所が「中国江蘇省」ってことくらいしか分かりません。
では、このドメインは現在どこで使われているのでしょうか？
それがこちら。
 「アメリカ・カリフォルニア州・カラバサス」はご常連です。(笑) ではここでどんな偽サイトを運営しているのでしょうか？
もちろん行ってきました。
 PayPay銀行のログインページを模した完コピ偽サイトですね。 実は、このスクショ撮るの大変だったんです(汗)
開くと一瞬でGoogle検索ページにリダイレクトされてしまうのでキャプチャーが間に合わず
何度も何度も失敗を繰り返しやっと何とか撮れたものがこれなんです。(;^_^A
多分、詐欺サイトだと判断されセキュリティー対策が施されて一瞬で飛ばされるように
仕組まれてしまったんだと思います。
まとめ本文のフォントは”Yahei”と言う中華フォント、開いた時にまずこのフォントを見て”ピン”と
来てください。
そして、件名と本文の内容の食い違いにもね… いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; | 
