『詐欺メール』JR東日本から「えきねっとアカウントの自動退会処理について」と、来た件

件名と本文の内容が食いちがうメール

先日、このようなエントリーを書かせていただきました。

『詐欺メール』「えきねっとアカウントの自動退会処理について 」と、来た件

どうやらこの「えきねっと」を名乗るフィッシング詐欺メールが横行しているようで、かなりの
反響をいただいております。
あれから10日あまり過ぎましたが、相変わらず毎日のようにこの「えきねっと」を名乗った
メールが届き続けています。

今朝は、件名は同じながら先日と少し中身が違った「えきねっと」騙りのメールが届きましたので
早速ご紹介したいと思います。

こちらがそのメール。

先日のは自動退会に関する連絡のメールでしたが、今回のものは件名には「自動退会処理」と
記されていますが、本文の内容はそれとは別で、はっきり理由は書かれていませんが、アカウントが
何らかの原因で制限されている旨が書かれています。

では、このメールのプロパティーから見ていきましょう。

件名は
「[spam] えきねっとアカウントの自動退会処理について」
面倒だから件名は前と同じで、本文の内容だけ変えてきたのでしょうか？
件名と本文の内容に乖離がりますね。
どちらにしてもこのメールには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「"えきねっと（JR東日本）" <amazonh-account-update@acme.org.cn>」
当たり前のように中国のトップレベルドメインが使われていますが、日本有数の企業のメールに
中国のドメインが使われているものなんて誰が信じますか？
それに”amazonh-account-update”なんてアマゾンをほうふつとさせるアカウント名。
きっとこの差出人は、アマゾンの詐欺メールも作っててそれを流用しているのでしょうね。
まぁ、このメールアドレスだって本当に存在するものなのか眉唾ものですしね。

存在しないドメインを使ったメールアドレス？！

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

まず最初に、このメールアドレスに使われている”acme.org.cn”なんてドメイン。
本当に存在するものなのか。
確認してみたらこのような結果が出ました。

「対応するIPアドレスがありません」と書かれているので、このドメインは現在利用されて
いないもののようです。
利用されていないドメインでメールを送ることはできませんので、この差出人はメールアドレス
を偽装し存在しないメールアドレスを表記してこのメールを送ってきたことになります。

次に、この”Received”にあったIPアドレス”113.69.150.28”を使ってその割り当て地を
調べてみました。

表示された地図は「中国 広州市 増城区」付近。
この差出人は、この付近に設置されているメールサーバーを使ってこのメールを送信してきた模様。

「アカウントは常にご不便をおかけして申し訳ございません」？？

では本文です。

タグが見えちゃってるこのメール、本文にはこのように書かれています。

件名との食い違いはまあ良いとしましょう。
でも赤字で表示したこの部分。
「アカウントは常にご不便をおかけして申し訳ございません」
もう意味不明です。
きっとあちらこちらの詐欺メールの文章を集めて貼り合わせたんでしょうね。(笑)

このメールの一番の目的は、受信者を本文で不安にさせ詐欺サイトへ誘導すること。
もちろんこんなメールでは不安にある前に笑っちゃいますけどね…(^▽^;)

で、その詐欺サイトへのリンクは「ログインはこちら」って行に付けられています。
そのリンク先のURLはこちら。

このサイトの危険性についてGoogle のセーフ ブラウジングで確認してみると、危険な
コンテンツが含まれるサイトであることが認識されていました。

このURLで使われているドメインは”eki-nbet.vip”
このドメインの持ち主とその割り当て地などを調べてみます。

このドメインの持ち主は「アメリカ カリフォルニア州 サンメテオ」にある企業。

このドメインを割当てているIPアドレスは”198.74.104.172”
このIPアドレスを元にその割り当て地を確認してみます。

表示されたのは、アメリカ西海岸のロサンゼルス付近の地図。

そんなはるか遠くで運営されている詐欺サイトはどのようなページなのでしょうか？
安全な方法で見に行ってきました。
開いたページは巧妙に作られた「えきねっと」の偽サイト。

見事にコピーされていますが、サイトのコピーは意外と簡単。
だからこういった偽サイトが後を絶たないのです。
サイトを開いただけでは本物かどうか見分けがつかないので、必ずURLを確認するように
してください。

おまけ

長くなってしまいましたが、少しだけ「おまけ」を
これはこのメールの表示方法をHTMLの形式からテキスト表示に切換えてみたところ。

タグかな？と思ってよく見ると、それとはちょっと違う感じ。
実はこれ、ワードサラダと呼ばれる手法で、意味のない文字や記号を羅列しサーバーに
設置されたスパムフィルターなどのセキュリティーを突破しようとする試みなのです。
でも、件名の”[spam]”スタンプが示す通り、その目論見は敢え無く見抜かれてしまいましたね。

まとめ

「フィッシング詐欺メールは受け取っただけで被害の遭うの？」
とか
「詐欺サイトは開いただけで詐欺に遭うの？」
なんて某知恵袋に書かれているのをよく見かけますが、どちらも開いただけで被害に遭いません。
詐欺サイトで何らかの情報を書き込んでしまうと、その情報が犯人側に詐取されそれを悪用され
初めて被害に遭います。
ですから、詐欺サイトへ行かないように注意しなければなりません。
メールにのリンクは押さず、必ずスマホアプリからログインするように心掛けましょう！

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;