「MY TS3」の成りすまし
毎日、当たり前のようにメールボックスを賑わすフィッシング詐欺メール。
いったいどれだか届くのでしょうか。
クレジットカード会社「トヨタファイナンス」の会員専用サイトの「MY TS3」に成りすまし
セキュリティーをアップグレードしたと嘘を付き、新システムを利用するために
個人情報を更新しろと偽サイトに誘い込んで詐欺を行うフィッシング詐欺メールです。
では、メールのプロパティーから見ていきましょう。
件名は
「[spam] 【TS3 TSCUBIC CARDカード事務局からのお知らせ[メールコードP24825]」
あれれ？もしかして括弧閉じるの忘れてません？ ”】”が足りませんよ(笑)
メールコードなんて書いてる暇が有ったらちゃんと括弧を閉じましょうよ…
”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。
末尾の[メールコードP24825]は、おそらくこのメールの信憑性を高めるために付けられた
適当な連番だと思われます。
差出人は
「トヨタファイナンス株式会社 <info@ts3card.com>」
”ts3card.com”は「トヨタファイナンス株式会社」さんの正規ドメインですが、件名の
”[spam]”が示す通りこのメールは詐欺メール。
間違いなく偽装されているはずです！
差出人は「さくらインターネット」ユーザーと断定
では、このメールのヘッダーソースを確認し調査し偽装を暴いていきます。
ソースから抜き出した「フィールド御三家」がこちらです。
| Return-Path: 「<info@ts3card.com>」
”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。
|
| Message-ID:「<20220125073217173584@ts3card.com>」
”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。
|
| Received:「from mail0.ts3card.com (ik1-126-69805.vs.sakura.ne.jp [133.242.179.59])」
”sakura.ne.jp”とあるので、また「さくらインターネット」のユーザーが犯人
のようですね。
”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。
|
では”ts3card.com”を割当てているIPアドレスを確認し”Received”にあるIPアドレスとの
相関性を確認してみます。
ほら、全く異なるIPアドレスが表示されましたよ！
明らかに差出人はメールアドレスを偽装しています！！
そして”Received”にあったIPアドレスは、本当にさくらインターネットの持ち物かどうかも
確認しておく必要があります。
はい、きっちり「さくらインターネット」と表示されました。
と言うわけで、この差出人は「TSCUBIC CARDカード事務局」に成りすました
「さくらインターネット」ユーザーと断定できましたね！
サイトドメインはエックスサーバーが管理中
では、本文です。
理解しづらい文章なのは、おそらく翻訳機を使っているからだと思われます。
細かいことは図中をご覧いただくとして、気になるのはリンク先の詐欺サイト。
本文中には、直書きで”https://my.ts3.card.com”と記載されていますが、これも偽装。
実際のリンク先URLはこちらです。
では、このURLの危険性をトレンドマイクロの「サイトセーフティーセンター」で確すると。
やはり危険なサイトと表示されました。
セキュリティー企業では既にそういう認識のようです。
このURLで使われているドメインは”ts3card-login.vousyeiwoa.com”
このドメインについて調べてみました。
このドメインの所有者は「エックスサーバー」と書いてあります。
エックスサーバー株式会社は、大阪府大阪市北区に本社を持つ、インターネット関連サービス事業
などを行う企業さん。
ということは、このドメインは、「エックスサーバー」さんに管理が委託されているんですね。
このドメインを割当てているIPアドレスは”192.227.185.98”なので、このIPアドレスを元にその
割り当て地を確認してみます。
表示された場所は、オランダの首都「アムステルダム」のユダヤ歴史資料館付近。
こんなところで運営されているサイトはこちら。
TSCUBIC CARDカード会員専用ページ「MY TS3」のコピーサイトです。
よく見ると「フィッシング(詐欺)メールが送られてくる場合があります。」なんて書いて
ありますが「どの口が言ってる、それはお前らの事だよ！」と言いたくなりますよね(笑)
私は、注意喚起のために訪れましたが、皆さんは絶対に近づかないでください。
何が起きても責任持てませんので！
まとめ
「さくらインターネット」のユーザーでIPアドレスが分かれば足が付きそうなものですが
誰も探さないんでしょうか？
今朝はこれ以外にも別の内容で「MY TS3」を騙る不届きなメールが届いていますが
こちらも同じ人物からのメールでした。
ほんと後を絶ちませんね…(;^_^A
いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; |