『詐欺メール』「通知 : 最近誰かがあなたのAppleアカウントにログインしました。」と、来た件

2022年1月22日

「親愛な」にご注意を！

※ご注意ください！
当エントリーは迷惑メールの注意喚起を目的とし、悪意を持ったメールをご紹介しています。
このようなメールを受け取っても絶対に本文中のリンクをクリックしてはいけません！
リンク先は正規サイトを模した完全コピーの偽サイトで、フォームにアカウント情報や
クレジットカードの入力させそれらの情報を詐取します。
被害に遭わないために絶対にリンクはクリックせず、どうしても気になる場合は
ブックマークしてあるリンクを使うかスマホアプリをお使いになってログインするよう
心掛けてください！

差出人のメールアドレスに注目

週末の朝もゆっくりさせていただけないのですね(^^;
今朝は、Appleになりすまし、アカウントがロックされているからリンクから解除のために
身元を確認しろと言うフィッシング詐欺メールが届いています。

では、解説していきますね。

件名は
「[spam] 通知 : 最近誰かがあなたのAppleアカウントにログインしました。(参照ID: APP-88115978)」
最近、件名の末尾にコード番号や通し番号を付けてくる詐欺メールが多くみられます。
”参照ID:”もそのようなものだと思いますが、おおよそ信ぴょう性を持たせるための物だと
思いますが、件名をどんな書き方されても構いませんが、このメールには”[spam]”と
スタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「”Apple Service” <AppleSupp0rt@mail.diq18t5npdda98c1h7x35p.apple.com>」
どこのアップルがこのような意味の分からないアカウントのメールアドレス使いますかって
話ですよ。
確かにドメインが”apple.com”となっていますが見るからにおかしいです。

アドレス偽装判定

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

Return-Path: 「<www-data@intl1.rkn-mail.com>」

ありゃ。。。もうすでにドメインが”apple.com”じゃなくて”intl1.rkn-mail.com”
になっちゃっていますね。ウソ確定です！(笑)
”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。

Message-ID:「<1642802252-7b0af71a966405d37f5f8a8ae39e97e1-8462d45f6daf8e85ad6e9d4ed429abb8-kcxz@>」

”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。

Received:「from intl1.rkn-mail.com (intl1.rkn-mail.com [137.184.219.138])」

”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。

まず、このドメイン”intl1.rkn-mail.com”とIPアドレス”137.184.219.138”の相関性を確認
してみます。
この2つの要素に相関性が見られれば、この差出人のメールアドレスののドメインは
”apple.com”ではなくて”intl1.rkn-mail.com”であることが証明できます。
とあるサイトで”intl1.rkn-mail.com”について調べてみます。