クレカ一体のETCカードはもうありません ETC利用照会サービスさんに成りすまし、サービスが無効になったと詐欺サイトに誘い込む
バカバカしいフィッシング詐欺メールが届きました。
 どこがバカバカしいか、解説していきましょう。 件名は
「[spam] ETCサービスは支払いが失敗する！注文番号：7240548325」
まず1点目。
見てください、ETCサービスに「注文番号」ってあります？？
確かにETCカードとクレジットカードが一体になったカードもありますが、法改正で一体型の
カードが廃止になったのでほとんどの方が既に分離型になっているはず。
だからETCカードを使って何かを注文するってことはあり得ません。
それに”[spam]”とスタンプが付けられているので間違いなく迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。 差出人は
「ETC利用照会サービス事務局 <adminetcmei@ml.etc-meisai.jp>」
何と書こうが件名の”[spam]”が示す通りこのメールはフィッシング詐欺メール。
”etc-meisai.jp”なんてETC利用照会サービスさんのドメインで偽装してもダメです！
嘘を見破る では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。 | Return-Path: 「<admin@programsd.xyz>」 あれ？”etc-meisai.jp”ってどめいんじゃなかったっけ？(笑)
”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。 | | Message-ID:「<000e647ad706$e911df1b$528d7be2$@ml.etc-meisai.jp>」 ”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。 | | Received:「from programsd.xyz (unknown [144.208.127.177])」 ”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。 | この方のアドレスドメインが”etc-meisai.jp”と言い張るので確認してみます。
これはETC利用照会サービスさんの正規ドメインである”etc-meisai.jp”を割当てているIPアドレスを
調査した結果です。
 これを見ると、ドメイン”etc-meisai.jp”は”153.127.126.187”というIPアドレスに割当てられている
ことが分かります。
でも”Received”にあったIPアドレス”144.208.127.177”
全然違いますよね？
ということで、やはり差出人のメールアドレスは嘘だったことにあります。 では、この”Received”にあったIPアドレスを使ってそのサーバーの情報を拾ってみます。
 あらら、”Received”にあったIPアドレス”144.208.127.177”と合致しました。
ということは差出人の本当のメールアドレスのドメインは、”programsd.xyz”となります。
それに、このドメインの持ち主は「アメリカ,アリゾナ州,フェニックス」の企業でした。
この企業さん、困ったことにィッシング詐欺メールのご常連さんです(笑)
どこの詐欺師が開封確認を要求するの？ では2つ目のバカバカしい点。
それは、このメールに付けられた開封確認。
詐欺メールが開封確認を欲しがる？？ どうして？ 見られたかどうか知りたいの？
バカバカしい…(;^_^A
あらためてよく見りゃ開封確認の送信先は、ヘッダーの”Return-Path”にあったのと同じ
”admin@programsd.xyz”になってましたわ(笑) なんだなんだ言っても結局差出人が求めているのは、本文にあるリンクを押させること。
このメールの「→ご認証はこちらから」と書かれている部分にそのリンクは付けられています。
そのリンク先のURLがこちらです。
 まず、このURLの危険性をGoogleが提供している「セーフブラウジング」で確認すると。
 このサイトには安全ではないページが含まれています
サイト（https://mletcmeisaiwebsite.top/）には、次のようなページを含め、
危険なコンテンツが含まれています。 個人情報を共有したりソフトウェアをダウンロードしたりするよう訪問者を誘導します
安全ではないコンテンツはウェブサイトの一部のページにのみ含まれている場合があります。
アクセス先の各ディレクトリまたはウェブページの URL を個別に入力して、安全性に関する
より詳しい情報をご確認ください。 | やはり危険なサイトでした。
リンク先にはETC利用照会サービスさんの偽サイトが存在しました。
このようなところには近づかない方がよさそうですね。
 さて、このURLで使われていたドメインは”mletcmeisaiwebsite.top”でしたね。
このドメインについても調べてみました。
 持ち主は、やっぱりあのご常連でアリゾナ州のフェニックスにある企業さん。
このドメインは”172.67.146.208”ってIPアドレスに割当てているようですので、このIPアドレスを
元にその割り当て地を確認してみます。
 最近よく見かける「アメリカ,ニュージャージー州,ニューアーク」付近が表示されました。
ETC利用照会サービスの偽サイトは、この付近に設置されたウェブサーバーで稼働している
ようですね。
まとめ ETC利用照会サービスを騙るフィッシング詐欺メールはよく見かけますが、注文番号が
書かれたメールには正直笑っちゃいました。(;^_^A
きっとアマゾンを騙ったメールを使いまわしたんでしょうね(笑)
それに開封確認を要求するなんて…(汗) いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; | 