『詐欺メール』立て続けに「【American Express】次回口座振替のお知らせ」と、来た件

立て続けの「American Express」

今朝は、アメリカンエキスプレスに成りすましたフィッシング詐欺メールが今のところ
合計4通。
内訳は、仕事用メールアドレスに2通。

そしてドメインだけ合っててアカウント名が間違ってる迷子メールに2通。

この合計4通の内、同じ件名のメールが3通あったので、今回はその中から1通紹介しようと
思います。
こちらがそのメール。

私、アメリカンエキスプレスカード所持してないので100％フィッシング詐欺です。
では、メールのプロパティーから見ていきましょう。

件名は
「[spam] 【American Express】次回口座振替のお知らせ」
先に書いたように私このカード持っていないし”[spam]”とスタンプが付けられているので
迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「American Express <zu@shonan-kyujin.com>」
いつもは同じ件名でもメールアドレスがバラバラなのに、今回はメールアドレスのドメインが
みんな同じで、リンク先のURLも同じなので犯人は同一人物です！
でも、このメールアドレスだって偽装されている可能性もあるので鵜呑みにはできません。
そのまま読むと「湘南求人」…乗っ取られたメールサーバーでしょうか？…(;^_^A

「さくらインターネット」ユーザーから？！

では、その辺りをこのメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

まず、”shonan-kyujin.com”なんてドメインは存在するのか。
それから調べてみました。

割当ててるIPアドレスに”157.112.152.34”と書かれているのでこのドメインは今現在も
どこかで利用されているようです。
そして、このメールアドレスが、差出人の持ち物かどうか。
すなわち偽装されていたかどうかは、このIPアドレスと”Received”に書かれている
IPアドレス”153.120.138.74”を比較することで分かります。
どうです？全く異なるIPアドレスでしょ？
と言うことは、”zu@shonan-kyujin.com”は実在するものの、この差出人のものではなく
おそらく偽装されたもおんと判断できそうです。

では、この”Received”にあったIPアドレス”153.120.138.74を使ってそのサーバーの
情報を拾ってみます。

すると、プロバイダー名に「SAKURA Internet Inc.」と書かれています。
どうやら差出人は、詐欺メールの常習犯で「さくらインターネット」のユーザーのようです。
地図は恐らくさくらインターネットの本社あたりを示しています。
脅威レベルは「低」とされていますので、メール自体の危険性は少ないようですね。

リンクは「サイトセーフティーセンター」で確認

では次に本文です。

まず最初に、宛名がありません。
いつも書きますが、こういった大切な連絡に宛名が記載されていないのは腑に落ちません。
こちらの氏名を知りうる金融機関なら必ず宛名に氏名を入れてくるはずです。

箇条書きにされた各項目はもちろんでたらめ。
この連絡に慌てて押してしないそうなのがリンク。
そのリンク先のURLがこちらです。

メールに直書きされたURLと同じです。

まずはこのリンク先の危険度をトレンドマイクロの「サイトセーフティーセンター」で
確認してみました。

少し加筆していますが、これによると「危険」と表示されました。
「正規のWebサイトを偽装してユーザ名やパスワードなどの情報を収集する詐欺サイトです」
と言う説明です。
危ないので絶対に近づかないでください！

使われているドメインは”www.americanexpress-sieneonazcc.com”
このドメインも誰がどこで使っているかを調べてみました。

結果、持ち主は「中国広西チワン族自治区鶴山」にある企業。
「Creation Date: 2022-02-07T16:56:56Z」ってところを見ると取得して間がありません。
きっとこの犯罪の為だけに取得した使い捨てのドメインなんでしょうね。
このドメインを割当てているIPアドレスは”115.144.69.106”とされています。
これも先ほどと同じように、その割り当て地を確認してみました。

割り当て地は「アメリカカリフォルニア州バロアルト」
これらの調査で「カリフォルニア州」はしょっちゅう出てきますが、「バロアルト」って
街は初登場ですね。
そしてこのウェブサーバーは、アマゾンからレンタルしているようです。

リンク先のサイトはアメリカンエキスプレスのユーザーサイトに似せた偽サイトでした。
このようなサイトには絶対に近づかないでください！
ログインしてしまったら地獄が待ち受けていますぞ！！

まとめ

昨夜から今朝にかけて立て続けに送られてきた「アメリカンエキスプレス」に成りすました
フィッシング詐欺メール。
内容は若干違えど、差出人のドメインと詐欺サイトへのリンク先URLが同じ同一犯の犯行！
今のところは落ち着いているようですが、今度は別のクレジットカード会社に成りすまし
同様の犯行を繰り返すので注意が必要です！

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;