『詐欺メール』「【重要】エムアイカードご利用確認」と、来た件

2022年2月3日

フィッシング詐欺サイトの旬は短い

※ご注意ください！
当エントリーは迷惑メールの注意喚起を目的とし、悪意を持ったメールを発見次第
できる限り迅速にをもっとうにご紹介しています。
このようなメールを受け取っても絶対に本文中のリンクをクリックしてはいけません！
リンク先は正規サイトを模した偽のコピーサイトで、フォームにアカウント情報や
クレジットカードの入力させそれらの情報を詐取しようとします。
被害に遭わないために絶対にリンクはクリックせず、どうしても気になる場合は
ブックマークしてあるリンクを使うかスマホアプリをお使いになってログインするよう
心掛けてください！

1. 詐欺メールもハイブリッドの時代？！
2. リンク偽装発覚！
3. まとめ

詐欺メールもハイブリッドの時代？！

今回は、クレジットカード会社のエムアイカードに成りすまし意図しないカード利用と
第三者不正利用をネタにリンクへ誘いこんで詐欺を行おうとするフィッシング詐欺メールの
ご案内です。
そのフィッシングメールはこちら。

今までにあったフィッシング詐欺メールは、金額などを提示せず「ご本人の利用かどうか
確認したい取引がありました」と書いてあるものと、不正利用との記載はせず、利用金額と
日時を表示し「利用確認をお願いします」と言うものがありましたが、今回は、その両方が
書かれた言わば「ハイブリッド」なフィッシング詐欺メールとなっています。

では、メールのプロパティーから見ていきましょう。

件名は
「[spam] 【重要】エムアイカードご利用確認」
もちろんこのメールには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「エムアイカード <MICARD-update@jkxykj.cn>」
エムアイカードさんの取得している正規ドメインは”micard.co.jp”で、このような”jkxykj.cn”
なんてジャンキーなものではありません。

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

Return-Path: 「<MICARD-update@jkxykj.cn>」

”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。

Message-ID:「<20220202190020057728@jkxykj.cn>」

”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。

Received:「from jkxykj.cn (unknown [134.73.254.72])」

”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。

ではまず、この方のメールアドレスのドメインが、本当に”jkxykj.cn”かどうかを
この”Received”にあったIPアドレスと比較して調べてみました。

これは”jkxykj.cn”を対象に検索してみた結果です。
割当てているされる抽出されたIPアドレスは”134.73.254.72”で”Received”にあった
IPアドレスと同じものでしたから、差出人は偽装することなく自身のメールアドレスで
このメールを送信したことが判明しました。
ドメイン登録に使われた氏名は”王”から始まるもので、ドメイン管理が中国企業のアリババ
なので、おそらく差出人は中国の方かと。

では次にこのIPアドレスを元にその割り当て地を確認してみます。

割り当て地はロサンゼルスのリトルトーキョー付近のようなので、この付近に差出人が
利用したメールサーバーが置かれているようです。
よく見ると、このIPアドレスの脅威レベルは「高」と書かれています。
そして脅威の詳細は「サイバーアタックの攻撃元　攻撃対象:Web」
とされているので、もしかして詐欺サイトも運営しているのかもしれません。

リンク偽装発覚！

では引き続き本文。

いつもMICARDカードをご利用頂きありがとうございます。
お客様のカードご利用内容をお知らせいたします。

ご利用カード：MICARD カード

◇利用日：2022/2/2 19:00:19

◇利用取引：買物

◇利用金額：29,899円

利用いただき、ありがとうございます。このたび、ご本人様のご利用かどうかを確認させて
いただきたいお取引がありましたので、誠に勝手ながら、カードのご利用を一部制限させて
いただき、ご連絡させていただきました。
つきましては、以下へアクセスの上、カードのご利用確認にご協力をお願い致します。
お客様にはご迷惑、ご心配をお掛けし、誠に申し訳ございません。
何卒ご理解いただきたくお願い申しあげます。
ご回答をいただけない場合、カードのご利用制限が継続されることもございますので、
予めご了承下さい。

▼ご利用確認はこちら

まう、このメールの本文には”宛名”がありません。
このような不正利用の疑いがあるような大切な報告の場合は、宛名があって然りです。
でもこのメールにはそれがありません。
それと、カードの利用が箇条書きで書かれていますが、この中で気になるのは、利用取引って
ところ。
ここには単純に「買物」とだけ書かれています。
確かに買物かもしれませんが、利用先を書かないと説得力がありませんよね？
複数であればその代表的な利用先でも良いと思います。
ま、なに言おうと子音メールはフィッシング詐欺ででたらめの内容だから仕方ないですが…

さて、このメールにもご多分に漏れず詐欺サイトへのリンクが付けられています。
それは本文中の「▼ご利用確認はこちら」と書かれた下の行事直書きでこのように
書かれています。
そのリンク先のURLがこちらです。

でもちょっと待ってください。
使われているドメインは正規エムアイカードと同じ”micard.co.jp”ですよ！
こりゃどうやらこのリンク偽装されているようですよ！

本当のリンク先はこちらのURL

やっぱり全然違う”micard.login.vbm1n26c.a1t588a.cn”なんて中国のドメインじゃん…

まず、例によってトレンドマイクロの「サイトセーフティーセンター」で危険性を確認
してみます。

どうやら業界ではすでに危険と認識されているようです。
カテゴリは「フィッシング」とされていますから危うきに近づかずですね！

このような長いドメイン、誰がどこで使っているのでしょうか？
気になるので調べてみました。

このドメインはIPアドレス”204.44.82.127”に割当てられているようなので、このIPアドレスを
元にその割り当て地を確認してみます。

再びロサンゼルス付近の地図ですね。
やはりこのIPアドレスも危険とされており、攻撃の種類もウェブによるサイバーアタックと
されています。
危険ですが、これも私の仕事なのでリンク先を恐る恐る訪ねてみました。
すると…

詐欺サイトの旬は本当に短いもの。
これだけ危険だと周知されてしまったからかサイトは既に閉鎖れて閲覧はできませんでした。