『詐欺メール』VJAグループから「＜VPASS カード＞ご利用確認のお願い」と、来た件

いつものシチュエーション

週明けは、メール仕分けに追われますね。
今度はVJAなるグループを騙ったフィッシング詐欺メールのご紹介です。

VJAとは、全国の主な銀行・金融機関系カード会社等で構成するVisaカード発行企業さん。
この会社から、カードの三者不正利用の疑いでめーるが送られてきたってシチュエーション。

メールの件名は
「[spam] ＜VPASS カード＞ご利用確認のお願い」
Vpassは、三井住友カード会員のためのインターネットサービスのこと。
このメールには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いているものは
全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「"Vpass カード" <nepy-mail@vpass.ne.jp>」
確かに三井住友カードさんから来るメールのドメインは”vpass.ne.jp”ですが件名に”[spam]”
が付いているので当然偽装されています。

差出人は詐欺メールのご常連さん

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

では、このIPアドレスを使ってそのサーバーの位置情報を拾ってみましょう！
だいたい想像は付きましたが、やはり東京都渋谷区桜丘町。
もちろんIPアドレスからの取得なのでおおよその位置です。

リンク偽装が発覚！

では、本文です。

まぁこの手のメールではよくある不正利用に関する文面です。
この後にVpass正規ドメインが使われたURLが直書きされリンクがつけられています。
そのリンク先のURLがこちらです。

当然そんなのは嘘っぱちで偽装されています。
実際に接続されるURLはこちら。

使われているドメインは”wueveoovpaoss.icu”
”.icu”なんてあまり見かけないドメインですね。
このドメインについて調べてみます。

持ち主は「アメリカ,アリゾナ州,フェニックス」在住の方でうちののサイトでは超ご常連さん。
割り当ててるIPアドレスは”198.23.173.142”
このIPも例によって所在を拾ってみると。。。

「アメリカ, ニューヨーク州,バッファロー」と出ました。
さて、リンク先はどのようなサイトになっているのでしょうか？
ウイルスバスターに遮断されましたが、危険を承知で行ってみると、このようなサイトが
表示されました。

VJAグループのカード発行会社へのリンクの一覧がずらりと表示されました。
驚いたことにこれらすべてのリンク先のドメインが”wueveoovpaoss.icu”
詐欺犯は、これだけの数の偽サイトをこしらえたんですね(汗)
いったいどれだけの時間が掛かったのでしょうか？
ご苦労なことです(笑)

まとめ

ほんといつも思いますが、こんな技術と時間があるのなあもっと実のあることに使えば良いのに
と思うのは私だけでしょうか？
もっと稼げると思うのですが…(^-^;

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;