件名に似つかぬ本文内容
本日3つ目のエントリーはこのメール。
もちろん、フィッシング詐欺メールです。
これは「メルカリ」を装った詐欺メールで、理由も無くサービスが無効になったことを
知らせるもの。
所々日本語がおかしいメールなので割と見抜きやすいかもしれません。
では、このメールのプロパティーから見ていきましょう。
件名は
「[spam] [重要なお知らせ]ご支援お待ちしております」
先程の本文の内容は全く想像できないような「ご支援お待ちしております」なんて言葉…
こういうところが甘いんですよね～
これじゃ先メールだとすぐに感付かれてしまいますよ！(笑)
“[spam]"は、受信したサーバーからの警告で「スパムフィルター」と呼ばれる注意喚起。
差出人は
「"メルカリ" <no-reply@mercarl.co.jp>」
”no-reply”はこのメールに返信しないでくださいと言う意味。
”mercarl.co.jp”はメルカリさんの正規ドメインですが、当然これは偽装されています！
メルカリが香港のメールサーバーを使う？！
ではこのメールをヘッダーソースから調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。
| Return-Path: 「<fuwu@dni0s1w.cn>」
”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。
それにしてもいきなり中国ドメインが露呈しちゃいましたね。(笑)
|
| Message-ID:「<20211030122715388283@dni0s1w.cn>」
”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。
|
| Received:「from nkdj (unknown [43.249.207.168])」
”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。
|
では、このIPアドレスを使ってそのサーバーの位置情報を拾ってみましょう！
これによると、割り当て地は香港と表示されました。
もちろんメルカリさんが香港のメールサーバーを使うなんてあり得ません。
ドメインの持ち主はご常連
では、再び本文。
mercariサービスをご利用いただきありがとうございます(←句読点が無い)
mercariサービスは無効になりました。
引き続きサービスをご利用いただきたい場合は、下記リンクより詳細をご確認ください。
→ご変更はこちらから(←リンクされてない)
ご不便とご心配をおかけしまして誠に申し訳ございませんが、何とぞご理解賜りたく
お願い申しあげます。 |
適当なところで改行しましたが、句読点がおかしいのは詐欺メールの特徴です。
それに「→ご変更はこちらから」ってところは多分リンクを付けるはずの部分。
そこにリンクが無いのはなぜなのでしょうか？
そのリンクは、末尾の黄色いボタンに配されています。
そのリンクのURLがこちらです。
使われているドメインが”manger-mercarii.monster”
”.monster”なんてトップレベルドメインあるんですね、初めてみました(笑)
このドメインの持ち主と割当てられているIPアドレスを調べてみました。
持ち主は「アメリカ・アリゾナ州・フェニックス」在住者。
この方、この調査ではよく見かける方でご常連です。
割当ててるIPアドレスは”155.94.164.84”と書かれています。
このIPアドレスの割り当て先はこちら。
脅威レベルは「高」でとても危険と判断されています。
割り当て地は「アメリカ・カリフォルニア州・ロサンジェルス」
このURLを開いてみると、メルカリのログイン画面が表示されました。
まとめ
時間がないのでサイトの調査は割愛させていただきました。
本文の末尾に「永久ロック」と書かれているメールは全てフィッシング詐欺メールです。
このメールの場合は、件名と本文の内容が掛け離れているので騙される方は少ないかと
思います。
相変わらずおかしなメールが多いのでご用心ください。
いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; |