サイトアイコン HEARTLAND

『詐欺メール』「障害発生/復旧のお知らせ(メールサービス)」と、来た件

 

何が言いたいのか?
※ご注意ください!
当エントリーは迷惑メールの注意喚起を目的とし、悪意を持ったメールをご紹介しています。
このようなメールを受け取っても絶対に本文中のリンクをクリックしてはいけません!
リンク先は正規サイトを模した完全コピーした偽サイトで、フォームにアカウント情報を
入力させアカウント情報を詐取します。
ですから被害に遭わないために絶対にリンクはクリックせず、どうしても気になる場合は
ブックマークしてあるリンクを使うかスマホアプリを
お使いになってログインするよう
心掛けてください!

うちはレンタルサーバーじゃないって!

またこんなおかしなメールが届いています。

ちょいちょい届く、レンタルサーバー「KAGOYA」さんを騙った一連の迷惑メールの
類でしょうか?

ぼかしの入れてある部分は、全部うちの事務所のドメイン名が入れられています。
これじゃさもうちの事務所がレンタルサーバーを営んでいるかのように聞こえます…
全然違う業種なんですがね(笑)

件名は
「障害発生/復旧のお知らせ(メールサービス)」
危ない危ない、いつも迷惑メールに付けられている”[spam]”が付いていませんからうちの
サーバーのスパムフィルターを潜り抜けてきていますね。(汗)

差出人は
「<t-nakamura@digital-dive.co.jp>」
digital-dive.co.jp”って誰?
もちろん偽装の可能性は大ですが、このドメインの持ち主を調べてみます。

持ち主さんは「株式会社デジタルダイブ」って企業様でした。

プロバイダーに「KAGOYA JAPAN Inc.」って書いてある。
このメールアドレスが、本当に差出人のものであるなら「KAGOYA」ユーザーの仕業。
もし差出人のものでなければ、この「株式会社デジタルダイブ」さんも被害者です。


埼玉からのメールだった

ではメールをヘッダーソースから調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

Return-Path: 「<t-nakamura@digital-dive.co.jp>」

Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。

Message-ID:「07774d15-d2cc-2c28-eb18-3ddd9a4255fe@digital-dive.co.jp>」

Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。

Received:「from [127.0.0.1] (unknown [20.188.24.132])」

Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。

digital-dive.co.jp”のドメイン調査で出てきたIPアドレスと全然違いますね。
ということは、差出人はメールアドレスを偽装しています!
「株式会社デジタルダイブ」さんも被害者だったんです!

では、このIPアドレスを使ってそのサーバーの位置情報を拾ってみましょう!

あくまでおおよその位置ですが、埼玉県さいたま市は表示されました。
もちろん「株式会社デジタルダイブ」さんは、さいたま市ではありません。


本文に矛盾が…

そして本文。

〇〇〇のメールサーバー(〇〇〇に収容)
10月14日早朝から運用が不安定になっています。

―――――――――――――――――――――――――――――――――
発生日時:2021年10月14日(木)00:00頃
復旧日時:2021年10月14日(日)08:10頃
失敗の詳細:メールサービス(@〇〇〇)の動作が不安定でした。
メールの送受信ができないことに加えて、メールの到着が遅れる場合があります。
―――――――――――――――――――――――――――――――――

ウェブメールサービスを回復するには、以下のリンクをクリックしてください。

”〇〇〇”はうちのドメインが書かれています。
これを見ると、うちが管理しているうちのメールサーバーが不調に陥り、この期間
「不安定でした」という結果報告です。
もちろんうちのメールサーバーはいたって快調ですが。(笑)

結果報告なので現在は復旧しているのかと思いきや、「回復するには、以下のリンクを
クリックしてください。」って、矛盾…(^-^;

回復するために接続するリンク先が書かれていますが、そのURLがこちらです。

使われている”comeget.net”ってドメインも調査しましょう。

これによると、このドメインの持ち主はアメリカアリゾナ州在住の方でした。

そして、現在の割り当て地はこちら。

おおよその位置ですが「アメリカ・ユタ州・プロボ」と出ました。

リンク先へ行ってみるとサーバーのログイン画面っぽいのが表示されました。

でたらめなIDとパスワードでログインしてみると。

Microsoftのサポートサイトに飛ばされました。
これで、犯人はうちのサーバーのログイン情報を抜き取ったんで目的達成です。


まとめ

よくよく考えてみると、うちの事務所に成りすましうちのスタッフ宛(私)に障害メールを
送り付けて回復するためのリンクへ誘導する。
もしかして、これと同じメールを他のサーバー管理者に送ってたとしたら、絶対うちの
事務所に何らかの苦情が来るはず。
でも1件も苦情が無いことからすると、これはどう見ても愉快犯ですよね。
こんなことして何が面白いんでしょうか?まったくけしからん輩です!

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;


こういった詐欺まがいのブラッキーなメールは、本文中のリンクをクリックしないことが大切!
そしてOS付随のセキュリティーは充てにせず、必ず自身でセキュリティーソフトを導入し
防御することが大切です。
丸腰の方、躊躇しないで「ポチっ」としてご安全に!(*^^*)

モバイルバージョンを終了