詐欺メールもハイブリッドの時代？！ 今回は、クレジットカード会社のエムアイカードに成りすまし意図しないカード利用と
第三者不正利用をネタにリンクへ誘いこんで詐欺を行おうとするフィッシング詐欺メールの
ご案内です。
そのフィッシングメールはこちら。
 
今までにあったフィッシング詐欺メールは、金額などを提示せず「ご本人の利用かどうか
確認したい取引がありました」と書いてあるものと、不正利用との記載はせず、利用金額と
日時を表示し「利用確認をお願いします」と言うものがありましたが、今回は、その両方が
書かれた言わば「ハイブリッド」なフィッシング詐欺メールとなっています。 では、メールのプロパティーから見ていきましょう。 件名は
「[spam] 【重要】エムアイカード ご利用確認」
もちろんこのメールには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。 差出人は
「エムアイカード <MICARD-update@jkxykj.cn>」
エムアイカードさんの取得している正規ドメインは”micard.co.jp”で、このような”jkxykj.cn”
なんてジャンキーなものではありません。 では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。 ではまず、この方のメールアドレスのドメインが、本当に”jkxykj.cn”かどうかを
この”Received”にあったIPアドレスと比較して調べてみました。
  これは”jkxykj.cn”を対象に検索してみた結果です。
割当てているされる抽出されたIPアドレスは”134.73.254.72”で”Received”にあった
IPアドレスと同じものでしたから、差出人は偽装することなく自身のメールアドレスで
このメールを送信したことが判明しました。
ドメイン登録に使われた氏名は”王”から始まるもので、ドメイン管理が中国企業のアリババ
なので、おそらく差出人は中国の方かと。 では次にこのIPアドレスを元にその割り当て地を確認してみます。
  割り当て地はロサンゼルスのリトルトーキョー付近のようなので、この付近に差出人が
利用したメールサーバーが置かれているようです。
よく見ると、このIPアドレスの脅威レベルは「高」と書かれています。
そして脅威の詳細は「サイバーアタックの攻撃元 攻撃対象:Web」
とされているので、もしかして詐欺サイトも運営しているのかもしれません。
リンク偽装発覚！ では引き続き本文。 まう、このメールの本文には”宛名”がありません。
このような不正利用の疑いがあるような大切な報告の場合は、宛名があって然りです。
でもこのメールにはそれがありません。
それと、カードの利用が箇条書きで書かれていますが、この中で気になるのは、利用取引って
ところ。
ここには単純に「買物」とだけ書かれています。
確かに買物かもしれませんが、利用先を書かないと説得力がありませんよね？
複数であればその代表的な利用先でも良いと思います。
ま、なに言おうと子音メールはフィッシング詐欺ででたらめの内容だから仕方ないですが… さて、このメールにもご多分に漏れず詐欺サイトへのリンクが付けられています。
それは本文中の「▼ご利用確認はこちら」と書かれた下の行事直書きでこのように
書かれています。
そのリンク先のURLがこちらです。
  でもちょっと待ってください。
使われているドメインは正規エムアイカードと同じ”micard.co.jp”ですよ！
こりゃどうやらこのリンク偽装されているようですよ！
  本当のリンク先はこちらのURL
 
やっぱり全然違う”micard.login.vbm1n26c.a1t588a.cn”なんて中国のドメインじゃん… まず、例によってトレンドマイクロの「サイトセーフティーセンター」で危険性を確認
してみます。
  どうやら業界ではすでに危険と認識されているようです。
カテゴリは「フィッシング」とされていますから危うきに近づかずですね！ このような長いドメイン、誰がどこで使っているのでしょうか？
気になるので調べてみました。
  このドメインはIPアドレス”204.44.82.127”に割当てられているようなので、このIPアドレスを
元にその割り当て地を確認してみます。
  再びロサンゼルス付近の地図ですね。
やはりこのIPアドレスも危険とされており、攻撃の種類もウェブによるサイバーアタックと
されています。
危険ですが、これも私の仕事なのでリンク先を恐る恐る訪ねてみました。
すると…
 
詐欺サイトの旬は本当に短いもの。
これだけ危険だと周知されてしまったからかサイトは既に閉鎖れて閲覧はできませんでした。
まとめ 閉鎖されているからと言って安心はできませんよ。
ドメインは取得されたままなのでいつまた復活させるか分かりません。
ま、でもあのメールアドレスでどこまで騙すことができるかは疑問ですけどね(笑)
でもおかしなメールは相変わらず多いのでお気を付けください。 いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; | 
