『詐欺メール』「ETCサービスリマインダー：自分で使用しましたか？【ＥＴＣ利用照会サービス】」と、来た件

2021年12月9日

ETCアカウント異常？？

※ご注意ください！
当エントリーは迷惑メールの注意喚起を目的とし、悪意を持ったメールをご紹介しています。
このようなメールを受け取っても絶対に本文中のリンクをクリックしてはいけません！
リンク先は正規サイトを模した完全コピーした偽サイトで、フォームにアカウント情報を
入力させアカウント情報を詐取します。
ですから被害に遭わないために絶対にリンクはクリックせず、どうしても気になる場合は
ブックマークしてあるリンクを使うかスマホアプリをお使いになってログインするよう
心掛けてください！

1. 中華フォント
2. 台湾の桃園付近から送信
3. 不正利用の判断はどこでする？
4. まとめ

中華フォント

偶には別のエントリーも書いてみたいものですが、それよりも詐欺メールが多すぎて
時間が取れません。(汗)

今朝も新しいタイプのETCに絡んだフィッシング詐欺メールが届いていたのでご紹介。

ETCを騙るフィッシング詐欺メールの多くは「ETC利用照会サービス」に成りすまし
ETCサービスが無効になったと嘘のメールを送り付けるものが多かったのですが、今朝のは
ETCカードの身に覚えのない第三者不正利用を騙ったもの。
明らかに中華フォントで書かれているメールです。

件名は
「[spam] ETCサービスリマインダー：自分で使用しましたか？【ＥＴＣ利用照会サービス】」
”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いているものは
全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「”etc-jp” <etc>」
差出人の項目は、自身の身元を明かすための大切なプロパティー。
なのにメールアドレスさえ書かれてないので不審感を覚えます。
因みに「ETC利用照会サービス」さんの正規ドメインは”etc-meisai.jp”です。

台湾の桃園付近から送信

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

Return-Path: 「<server@amazonrostiz.ml>」

”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。
因みに”.ml”はマリ共和国の割当てられているトップレベルドメインです。

Message-ID:「<server@amazonrostiz.ml>」

”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。

Received:「from jwchqm (35.194.253.205)」

”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。

では、このIPアドレスを使ってそのサーバーの位置情報を拾ってみます。

割当てられている場所は「台湾桃園」付近。
ホスト名に”205.253.194.35.bc.googleusercontent.com”
AS名に”GOOGLE-PRIVATE-CLOUD”と書かれているので、差出人はどうやらGoogleの
個人向けサーバーユーザーのようです。

不正利用の判断はどこでする？

では本文に目を向けていきます。

ETCアカウント異常
ＥＴＣサービスをご利用いただきありがとうございます

最近、ＥＴＣが異常に2回使用されました。ご利用明細を確認する。

利用年月日　道路名　料金所名
21/12/05 9:56 　道央自動車道　苫小牧東本線
21/12/06 16:33 　第三京浜道路　玉川本線
自分で使用している場合は、このメールを無視してください。自分で使用していない場合は、
リンクをクリックしてキャンセルしてください

全ては当然嘘。
書いてある内容は理解できるとして、このETCカードの利用履歴が不正利用だと誰が
何をもって判断するんでしょうね？
こんなすぐにばれてしまうウソだと分からないんでしょうか？

それに署名や連絡先の記載されてないメールは特定電子メール法に抵触しています。

「ETC公式サイトにアクセスして更新します」と書かれている箇所に詐欺サイトへのリンクが
付けられています。
そのリンク先のURLがこちらです。

使われているドメインは”etc-senghoneg.ddnsking.com”です。
調べてみると。

ドメイン申請は「アメリカ・ネバダ州・レノ」からでちょいちょい見かける方ですね。
取得したIPアドレス”35.220.165.56”を使って所在を確認すると「香港」が表示されました。

メールの時と同じでAS名に”GOOGLE-PRIVATE-CLOUD”と書かれているので、差出人は
これまたGoogleの個人向けサーバーユーザーのようです。