「確認情報」とは？最近毎日届くメルカリの名を借りたフィッシング詐欺メール。
今朝もこのような見飽きた文面で届いております。
このメルカリを騙ったフィッシング詐欺メールは、別の件名でも多数届いており、このサイト
でも何度かご紹介しておりますが、情報が古くなっていますので改めてお届けしたいと
思います。 件名は
「[spam] 【重要】確認情報を取得できませんでした。〖メールコード:M8497912〗」
まず末尾のメールコードは、このメールの信憑性を高めるために付けられた適当な連番。
そしてこのメールには”[spam]”とスタンプが付けられているので迷惑メールの類だと
一目瞭然で分かります。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。 とこどで「確認情報」って何でしょうか？
あまり使いませんよね… 差出人は
「”メルカリ” <no-reply@mercari.jp>」
確かに”mercari.jp”はメルカリさんの正規ドメインではありますが、件名の”[spam]”が
示すようにこのメールは明らかに詐欺メールですから偽装です。
更に”Return-Path”まで偽装では、このメールのヘッダーソースを確認し偽装を暴いていきます。
ソースから抜き出した「フィールド御三家」がこちらです。 | Return-Path: 「<mercari-account-update@71qw4108.cn>」 あれまぁ…もうここで”.cn”なんて中国のトップレベルドメインが露出。
偽装がバレバレですね。(笑)
この方の本当のメールアドレスは”mercari-account-update@71qw4108.cn”
なのでしょうか？
”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。 | | Message-ID:「<20220226020843131863@71qw4108.cn>」 ”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。 | | Received:「from uhwpsp (unknown [223.157.214.119])」 ”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。 |
ではまず”Return-Path”に書かれているこの”mercari-account-update@71qw4108.cn”
ってメールアドレスも偽装かも知れないので使われているドメイン”71qw4108.cn”に
割当てているIPアドレスを調べてみます。
”117.50.178.137”と出ました。
”Received”に書かれているIPアドレスは”223.157.214.119”ですから全く異なるので
”Return-Path”に書かれているメールアドレスも偽装の疑いがあります。 今度は”Received”にあったIPアドレスを使ってそのサーバーの情報を拾ってみます。
表示されたのは、香港から約640km北にある「中国 婁底市(ろうていし) 漣源(れんげん)」
こんな奥地にあるメールサーバーを差出人は利用した模様です。
姑息に無料のドメインを使ってそして本文。
もう見慣れた無いようなのでいちいち申しませんが、フォントは例によってYaheiと言う
気持ちの悪い中華フォント。
なかなか日本人は使わないフォントです。(;^_^A 
内容は、第三者不正利用の疑いがあるのでリンクへアクセスし利用確認を行えと言うもの。
そのリンクは「更新をクリック」と書かれた赤いボタンに付けられております。
そのリンク先のURLはこちらです。
 でもこのサイトはダミーで、リダイレクトされ実際に接続されるのはこのURLから始まるサイトです。
 このサイトの危険性についてノートンの「セーフウェブ」とトレンドマイクロの
「サイトセーフティーセンター」で調べてみましたがどちらも危険性は無いと判断されました。 
どうやらこのサイトの危険性はまだ周知されていないようです。(;^_^A
このサイトのURLで使われているドメインは、サブドメインを含め”no-mertica.ddns.net”
ああ、”ddns.net”はアメリカの「No-IP」が貸し出しているDynamic DNS(無料ドメイン)
ドメインに金使わないとは姑息ですねぇ…(笑)
ドメインの持ち主を調べてみてもこんな結果しか出ません。
 Dynamic DNSが使われているということは、自宅サーバーであることが容易に想像できます。
ということは、このドメインを割当てているIPアドレス”34.97.10.20”は詐欺サイトを運営
しているサーバーが置かれた場所、すなわち犯人の自宅。
ではその位置をこのIPアドレスを元にその割り当て地を確認してみます。
あらら、国内でしたね…(;’∀’)
この方のご自宅は「大阪市北区中之島」付近。
あくまでおおよそでピンポイントじゃありませんので悪しからず… さて、自宅サーバーでどのようなサイトを開いてらっしゃるんでしょうか？
安全な方法で接続してみました。
 これは本物そっくりのメルカリのログインページです。
騙されてしまうと、ここでユーザーの情報が盗まれてしまいます。
そして次のページで個人情報を、そして更に次のページでクレジットカードの情報と
大切な情報を全て犯人側に詐取されてしまいますのでご注意を。
まとめ今朝のメールボックスには、メルカリを騙るものが3通ありました。
そしてアマゾン系が2通と、AEONとauがそれぞれ1通づつとその他後多数。
相変わらず多いのが現状ですからくれぐれもお気をつけてお過ごしください。 いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; | 
