立て続けの「American Express」今朝は、アメリカンエキスプレスに成りすましたフィッシング詐欺メールが今のところ
合計4通。
内訳は、仕事用メールアドレスに2通。
 そしてドメインだけ合っててアカウント名が間違ってる迷子メールに2通。
 この合計4通の内、同じ件名のメールが3通あったので、今回はその中から1通紹介しようと
思います。
こちらがそのメール。
 私、アメリカンエキスプレスカード所持してないので100％フィッシング詐欺です。
では、メールのプロパティーから見ていきましょう。 件名は
「[spam] 【American Express】次回口座振替のお知らせ」
先に書いたように私このカード持っていないし”[spam]”とスタンプが付けられているので
迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。 差出人は
「American Express <zu@shonan-kyujin.com>」
いつもは同じ件名でもメールアドレスがバラバラなのに、今回はメールアドレスのドメインが
みんな同じで、リンク先のURLも同じなので犯人は同一人物です！
でも、このメールアドレスだって偽装されている可能性もあるので鵜呑みにはできません。
そのまま読むと「湘南求人」…乗っ取られたメールサーバーでしょうか？…(;^_^A
「さくらインターネット」ユーザーから？！では、その辺りをこのメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。 | Return-Path: 「<zu@shonan-kyujin.com>」 ”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。 | | Message-ID:「<9E61640E48D939DCD0DA4DDF9A72E54A@shonan-kyujin.com>」 ”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。 | | Received:「from shonan-kyujin.com (unknown [153.120.138.74])」 ”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。 |
まず、”shonan-kyujin.com”なんてドメインは存在するのか。
それから調べてみました。
 割当ててるIPアドレスに”157.112.152.34”と書かれているのでこのドメインは今現在も
どこかで利用されているようです。
そして、このメールアドレスが、差出人の持ち物かどうか。
すなわち偽装されていたかどうかは、このIPアドレスと”Received”に書かれている
IPアドレス”153.120.138.74”を比較することで分かります。
どうです？全く異なるIPアドレスでしょ？
と言うことは、”zu@shonan-kyujin.com”は実在するものの、この差出人のものではなく
おそらく偽装されたもおんと判断できそうです。 では、この”Received”にあったIPアドレス”153.120.138.74を使ってそのサーバーの
情報を拾ってみます。
 すると、プロバイダー名に「SAKURA Internet Inc.」と書かれています。
どうやら差出人は、詐欺メールの常習犯で「さくらインターネット」のユーザーのようです。
地図は恐らくさくらインターネットの本社あたりを示しています。
脅威レベルは「低」とされていますので、メール自体の危険性は少ないようですね。
リンクは「サイトセーフティーセンター」で確認では次に本文です。 | 平素は、アメリカン・エキスプレスのカードをご利用いただきありがとうございます。 以下の通り、次回の口座振替情報をお知らせいたします。
カード番号: xxxx-xxxxxx-2005
口座振替金額: 495,232円
口座振替日: 2022年02月09日 本サービスについての詳細確認および登録の解除・設定の変更は以下URLにて承っております。 |
まず最初に、宛名がありません。
いつも書きますが、こういった大切な連絡に宛名が記載されていないのは腑に落ちません。
こちらの氏名を知りうる金融機関なら必ず宛名に氏名を入れてくるはずです。 箇条書きにされた各項目はもちろんでたらめ。
この連絡に慌てて押してしないそうなのがリンク。
そのリンク先のURLがこちらです。
メールに直書きされたURLと同じです。 まずはこのリンク先の危険度をトレンドマイクロの「サイトセーフティーセンター」で
確認してみました。
少し加筆していますが、これによると「危険」と表示されました。
「正規のWebサイトを偽装してユーザ名やパスワードなどの情報を収集する詐欺サイトです」
と言う説明です。
危ないので絶対に近づかないでください！ 使われているドメインは”www.americanexpress-sieneonazcc.com”
このドメインも誰がどこで使っているかを調べてみました。
 結果、持ち主は「中国広西チワン族自治区鶴山」にある企業。
「Creation Date: 2022-02-07T16:56:56Z」ってところを見ると取得して間がありません。
きっとこの犯罪の為だけに取得した使い捨てのドメインなんでしょうね。
このドメインを割当てているIPアドレスは”115.144.69.106”とされています。
これも先ほどと同じように、その割り当て地を確認してみました。
 割り当て地は「アメリカカリフォルニア州バロアルト」
これらの調査で「カリフォルニア州」はしょっちゅう出てきますが、「バロアルト」って
街は初登場ですね。
そしてこのウェブサーバーは、アマゾンからレンタルしているようです。 リンク先のサイトはアメリカンエキスプレスのユーザーサイトに似せた偽サイトでした。
このようなサイトには絶対に近づかないでください！
ログインしてしまったら地獄が待ち受けていますぞ！！
まとめ昨夜から今朝にかけて立て続けに送られてきた「アメリカンエキスプレス」に成りすました
フィッシング詐欺メール。
内容は若干違えど、差出人のドメインと詐欺サイトへのリンク先URLが同じ同一犯の犯行！
今のところは落ち着いているようですが、今度は別のクレジットカード会社に成りすまし
同様の犯行を繰り返すので注意が必要です！ いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; | 
