JCBの正規ドメインは”jcb.co.jp” またまたクレジットカード会社を騙ったフィッシング詐欺メールが届きました。
今回はJCBカードに成りすましたものです。
今回の場合は、第三者の不正利用が行われた可能性があると理由でリンクに誘導するもの。 では、メールのプロパティーから見ていきましょう。 件名は
「[spam] 【My JCB】カードご利用確認」
「My JCB」はJCBカードユーの専用サイトのことで、カードご利用代金やポイントなどを
確認できるインターネットサービスです。
でも、この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。 差出人
「MyJCB <JCB@lhyupvz.cn>」
ここで注目してほしいのは、ドメイン。
JCBカードの正規ドメインは”jcb.co.jp”で、けして”lhyupvz.cn”なんて中国のドメイン
ではありません。
もっとも、このドメインも偽装されている可能性もあるので信用できません。
メールはリトルトーキョー付近から？！ では、このメールのヘッダーソースを確認してみたいと思います。
ソースから抜き出した「フィールド御三家」がこちらです。 | Return-Path: 「<JCB@lhyupvz.cn>」 ”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。 | | Message-ID:「<20220127092144362488@lhyupvz.cn>」 ”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。 | | Received:「from mail2.lhyupvz.cn (unknown [134.73.236.93])」 ”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。 | 差出人のメールアドレスで使われていたドメインは”lhyupvz.cn”でした。
このドメインを割当てているIPアドレスと、”Received”に書かれている”134.73.236.93”って
IPアドレスを比較してみることに。
これが、”lhyupvz.cn”を割当てているIPアドレス。
よく見ると、最後のセグメントだけが異なっていますよね。
これは、双方が同じネットワーク内に存在するということを示しています。 では、この”Received”にあったIPアドレスを使ってそのサーバーの情報を拾ってみます。
これによると、ロサンゼルスのリトルトーキョー付近の地図が表示されました。
と、言うことは、このメールはこの付近に設置されたメールサーバーから送られてきたことに
なりますね。
「ばんごー番号などのじょーほー情報」？？ では、本文です。
詳しくは下図中に書き込んでおきました。
 まず、このメールには、宛名がありません。
こんな大切なメールに宛名が無いなんて考えられません。
それに「利用いただき、ありがとうございます」なんて挨拶の行が途中で出てきますがは、
挨拶なら最初に書きますよね？
それと、丁寧にへりくだって書かれている本文の中でこの行は、「ご利用いただき」では
なく「利用いただき」と”お”が抜けています。
そして「誤」が示すようにフォントに違和感があります、
これは、Yaheiと呼ばれる中華フォントが使われているのが原因。
「防止?抑制の観点からサイトとしての信頼性?正当性」に中にある”？”もそのか関係かも
知れませんね。 この本文の最大の特徴は、赤線で囲った部分。 ※ ほんにん本人かくにん確認のために、ユーザーID、とーろく登録メールアドレス、
カードばんごー番号などのじょーほー情報をよーい用意してください。 | 何でしょうこれは？振り仮名にしては、漢字との位置関係が逆だし、番号を”ばんごー”
情報を”じょーほー”と伸ばしたり…
これじゃ怪しい者ですよと言っているようなものです。 さて、前置きが長くなってしまいましたが、ここからは、詐欺メールの最大の特徴である
詐欺サイトへのリンクのお話。
このメール本文には、そのリンクが4箇所付けられています。
それらは全て同じURLにリンクされており、そのリンク先のURLがこちらです。
 まずは、このリンク先の危険をトレンドマイクロの「サイトセーフティーセンター」で
確認してみると以下のように「危険」であると表示されました。
理由は「フィッシングサイト」とのこと。
危険ですから近づかない方がよさそうですね。
 次に、このURLで使われているドメインは”jcb.ybenbkx.cn”について調べてみました。
このドメインは日本ではあまり見かけない漢字三文字の氏名の方。
そして、詐欺サイトの調査ではよく見かけるメールアドレスを使い登録されています。
そしてこのドメインはアリババに委託されているようです。 このドメインを割当てているIPアドレスは”192.3.235.2”
このIPアドレスを元にその割り当て地を確認してみると、アメリカのダラス。
 危険と言われるサイト、行くなと言われると言ってみたくなるのが人情と言うもの。
ちょっとだけ覗いてみました。
 見事なMyJCBのコピーサイトです。
私はJCBのユーザーではないのでIDもパスワードも無く騙されたくても騙されられないので
覗いてみましたが、皆さんは絶対に開いたりしないでくださいね！
まとめ JCBを騙っておきながらの中国ドメインのメールアドレスを使い、本文は怪しげな
中華フォントで書かれていて、おかしな振り仮名を操るメール。
きっと海外の方が作ったものと思われますが、こんなの誰も騙せませんね。
でも中には巧妙なフィッシング詐欺メールも多くありますのでご注意ください。 いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; | 