件名に似つかぬ本文内容本日3つ目のエントリーはこのメール。 もちろん、フィッシング詐欺メールです。 これは「メルカリ」を装った詐欺メールで、理由も無くサービスが無効になったことを 知らせるもの。 所々日本語がおかしいメールなので割と見抜きやすいかもしれません。 では、このメールのプロパティーから見ていきましょう。 件名は 「[spam] [重要なお知らせ]ご支援お待ちしております」 先程の本文の内容は全く想像できないような「ご支援お待ちしております」なんて言葉… こういうところが甘いんですよね~ これじゃ先メールだとすぐに感付かれてしまいますよ!(笑) “[spam]”は、受信したサーバーからの警告で「スパムフィルター」と呼ばれる注意喚起。 差出人は 「”メルカリ” <no-reply@mercarl.co.jp>」 ”no-reply”はこのメールに返信しないでくださいと言う意味。 ”mercarl.co.jp”はメルカリさんの正規ドメインですが、当然これは偽装されています!
メルカリが香港のメールサーバーを使う?!ではこのメールをヘッダーソースから調査してみます。 ソースから抜き出した「フィールド御三家」がこちらです。 Return-Path: 「<fuwu@dni0s1w.cn>」 ”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される メールアドレスです。 一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に 偽装可能なフィールドなのであてにできません。 それにしてもいきなり中国ドメインが露呈しちゃいましたね。(笑) | Message-ID:「<20211030122715388283@dni0s1w.cn>」 ”Message-ID”は、そのメールに与えられた固有の識別因子。 このIDは世の中に1つしかありません。 ”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。 ここも偽装可能で鵜呑みにはできません。 | Received:「from nkdj (unknown [43.249.207.168])」 ”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む 自局のホスト情報です。 ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。 すなわち、差出人が使った送信サーバーの自局情報。 記載されている末尾の数字は、そのサーバーのIPアドレスになります。 |
では、このIPアドレスを使ってそのサーバーの位置情報を拾ってみましょう! これによると、割り当て地は香港と表示されました。 もちろんメルカリさんが香港のメールサーバーを使うなんてあり得ません。
ドメインの持ち主はご常連では、再び本文。 mercariサービスをご利用いただきありがとうございます(←句読点が無い) mercariサービスは無効になりました。 引き続きサービスをご利用いただきたい場合は、下記リンクより詳細をご確認ください。 →ご変更はこちらから(←リンクされてない) ご不便とご心配をおかけしまして誠に申し訳ございませんが、何とぞご理解賜りたく お願い申しあげます。 |
適当なところで改行しましたが、句読点がおかしいのは詐欺メールの特徴です。 それに「→ご変更はこちらから」ってところは多分リンクを付けるはずの部分。 そこにリンクが無いのはなぜなのでしょうか? そのリンクは、末尾の黄色いボタンに配されています。 そのリンクのURLがこちらです。 使われているドメインが”manger-mercarii.monster” ”.monster”なんてトップレベルドメインあるんですね、初めてみました(笑) このドメインの持ち主と割当てられているIPアドレスを調べてみました。 持ち主は「アメリカ・アリゾナ州・フェニックス」在住者。 この方、この調査ではよく見かける方でご常連です。 割当ててるIPアドレスは”155.94.164.84”と書かれています。 このIPアドレスの割り当て先はこちら。 脅威レベルは「高」でとても危険と判断されています。 割り当て地は「アメリカ・カリフォルニア州・ロサンジェルス」 このURLを開いてみると、メルカリのログイン画面が表示されました。
まとめ時間がないのでサイトの調査は割愛させていただきました。 本文の末尾に「永久ロック」と書かれているメールは全てフィッシング詐欺メールです。 このメールの場合は、件名と本文の内容が掛け離れているので騙される方は少ないかと 思います。 相変わらずおかしなメールが多いのでご用心ください。 いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; |