JCBカードを騙った詐欺メール春節からなだれ込んだ冬季オリンピックのお陰でここ数日はフィッシング詐欺メールも
少なく平穏な日々を過ごしておりますが、少なくなるもののやっぱりメールは届くもので
今朝はこのようにJCBカードに成りすましたフィッシング詐欺メールが届いております。
これがそのメール。
 第三者の不正利用をネタにリンクから詐欺サイトに誘い込むフィッシング詐欺メールです。 では、メールのプロパティーから見ていきます。 件名は
「[spam] 【JCBカード株式会社】重要なお知らせ」
このメールには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。 差出人は
「”Myjcb” <noreply@jcb.co.jp>」
「MyJCB」は、JCBカードユーザー専用のウェブサイトです。
“Myjcb“と全部小文字なのが気にかかりますが、それ以上に気になるのは”jcb.co.jp”と
JCBカードの正規ドメインが使われているメールアドレスなこと。
もちろんこのメールは、件名の”[spam]”が示す通り詐欺メールですので偽装されています。
では、その偽装を次の項で見抜いていきましょう！
さくらインターネットユーザが発信元か？！このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。 | Return-Path: 「<noreply@jcb.co.jp>」 ”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。 | | Message-ID:「<20220205040034635461@jcb.co.jp>」 ”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。 | | Received:「from mail0.jcb.co.jp (ik1-342-31375.vs.sakura.ne.jp [153.126.213.129])」 ”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
”sakura.ne.jp”と書かれているので、この差出人はおそらくさくらインターネットの
ユーザーです。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。 |
では、この”Received”にあったIPアドレスと”jcb.co.jp”に割当てているIPアドレスの相関性を
確認してみます。
 これによると、”jcb.co.jp”を割当てているIPアドレスは”104.18.166.43”でも、”Received”に
記載されていたIPアドレスは”153.126.213.129”と全く異なるもの。
それもそのはず、だってこのIPアドレスは、さくらインターネットさんにに割り当てられて
いるから！(笑)
いくらこいつが”jcb.co.jp”と言い張っても”Received”はお見通しです。 今度は、”Received”に書かれていたIPアドレス”153.126.213.129”を検索しその割り当て地を
確認してみます。
 結果は「大阪府大阪市北区大深町４丁目２０ 南館」付近と表示されました。
「さくらインターネット」さんの本社は「大阪府大阪市北区梅田1-12-12 東京建物梅田ビル」
ですから誤差のうち。
IPアドレスはでたらめが判明！続いて本文です。
相変わらず”宛名”がありませんよね。
これ、詐欺メールの特徴ですから是非覚えておいてください！ 第三者不正利用を疑わせるようにもっともらしく”デバイス”,”IPアドレス”,”登録時間”が
書かれていますが、もちろん全てでたらめ。
因みにここに書かれているIPアドレスは現在使われていないものでした。
ドメインの持ち主はあの主人公と同姓同名？！このメールはフィッシング詐欺メールですから当然メールには詐欺サイトへのリンクが
付けられています。
そのリンクは、何ともアマゾンっぽいカラーの黄色いボタンに付けられています。
リンク先のURLはこちら。
 まずは、このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で
調べてみました。
 これによるとサイトの安全性は「危険」と表示されていてカテゴリは「フィッシング」
「正規のWebサイトを偽装してユーザ名やパスワードなどの情報を収集する詐欺サイトです。」
とされています。
危険なにおいがプンプンしますよね！(・_・;) 使われているドメインは”my.jcbmycaordfoma.com”です。
まず、誰の持ち物なのか調べてみました。
その結果、持ち主の氏名は、漫画の「ドカベン」に出てくる主人公と同じ。
もちろん偽装だと思われます。
ドメインは、「お名前ドットコム」で取得管理されており、取得日はメール送信日の前日で
取りたてホヤホヤでした。
詐欺サイトに使われるドメインは使い捨てされるので殆どが取得してすぐのものが多く
使われています。 危険で近づくなと言われると余計に行きたくなるのが人情と言うもの。
そっと覗いてみると…
 普通にMyJCBのコピーサイトが表示されました。
行ってみると分かりますが、本物の「MyJCB」のサイトとうり二つ…(;’∀’)
URL見ないとどちらが本物か判断できませんね。
まとめ詐欺メールを判断するのは、まずは差出人のメールアドレス。
今回のように偽装されている場合は、リンク先のURL。
どちらかに必ずヒントが隠されていますのでよく見てしっかりと判断してください！
では、お気を付けてお過ごしください。 いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; | 
