「えきねっ」じゃなくて「えきねっと」じゃないの？
JR東日本が運営する「えきねっと」さんを騙った詐欺メールが最近横行しているようで、
某知恵袋でも度々話題になっているのを目にします。
突然降ってわいたような感じで現れたので、JR東日本さんもさぞかし大変な目に遭っていると
思われます。
そしてその「えきねっと」さんに輪をかけるように新種の詐欺メールが出現。
今回はこのメールについて詳しく解説していこうと思います。
そのメールがこちら。
後で触れますが、このメール、少々日本語に不慣れな方が作った感じがいたします。(笑)
では、いつのようにメールのプロパティーから見ていきましょう。
件名は
「[spam] えきねっアカウントの制限を解除する」
あの…件名ぐらいはちゃんとしましょうよ。
「えきねっと」じゃなくて「えきねっ」になっているじゃん。
これじゃね…(;^_^A
まずそれ以前にこのメールには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。
差出人は
「"eki-net" <info@eki-net.com>」
確かに”eki-net.com”は「えきねっと」さんの正規ドメインですが、もう何書かれても
信用はできません。(笑)
本当のメールアドレスのドメインは”an3an4.shop”
では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。
| Return-Path: 「<jreast-account@an3an4.shop>」
あらら”an3an4.shop”なんて…ここでもボロ出てますね。
”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。
|
| Message-ID: <20220305072756860113@an3an4.shop>」
”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。
|
| Received:「from an3an4.shop (an3an4.shop [117.50.178.218])」
”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。
|
このメールは差出人偽装確定なので、この”Received”にあったIPアドレスを使って
そのサーバーの情報を拾ってみます。
あまり詳しい情報は書かれていませんが、これによると、割当ててるドメインは
やっぱり”an3an4.shop”と記載されています。
管理しているのはアリババで、申請者は中国の黒竜江省の方。
このIPアドレスから推測される地域は中国の北京にある天安門広場の東側。
もちろんピンスポットではなくあくまでおおよその位置。
この付近に設置されているメールサーバーがこのメールの発信地でありました。
「会社に行って制限を解除」？？
では、そのお楽しみなメールの本文。
ツラツラと読み始めると、「あなたのアカウントが遠隔地にログイン」？？
普通は「遠隔地からログイン」ですよね？…やっちまいましたな(笑)
途中に詐欺サイトへのリンクが有って、その後の後半の文章がこれまた…
「会社に行って制限を解除」…なんで会社に行くの？ テレワーク推奨中ですよ(笑)
そして「。を超えた場合は」何を超えるの？
でもって「司法当局にアカウント情報を整理します。」…整理しますって、、、
もう無茶苦茶です…(;’∀’)
まぁこのような本文では誰も押さないと思われる詐欺サイトへのリンクURLはこちら。
まずこのサイトの危険性についてGoogleの「セーフブラウジング」で確認してみると
危険であるとの評価が下されました。
危うきに近寄らず…
このURLに使われているドメインは”ek1-net-acc.online”
このドメインについても情報を取得してみました。
持ち主は、アメリカアリゾナ州の方で、今度はアメリカの”GoDaddy”がドメイン管理を委託
されています。
このドメインを割当てているIPアドレスは”198.74.110.98”
このIPアドレスを元にその割り当て地を確認してみます。
表示された地図は、アメリカロサンゼルス北方のサンタクラリタのサンタクララ川のほとり。
もちろんピンスポットではありませんが、この辺りで運営されているウェブサーバー内で
詐欺サイトを営んでいる模様です。
安全な方法を使って詐欺サイトに訪れてみました。
まず、当たり前のようにウイルスバスターに一旦遮断されます。
危険を承知で詐欺サイトへ繋いでみると、表示されたのは「えきねっと」のログインページを
模したコピーサイト。
ここにユーザーIDとパスワードを入力しログインしてしまうと、えきねっとのログイン情報が
詐欺犯に詐取されます。
言ってないので想像ですが、この先には個人情報やクレジットカード情報を書き込むフォーム
が表示されるはず。
それら全てが犯人に知れ渡るともう被害は免れません…(-_-;)
まとめ
あのような件名とメール本文では騙されたくてもね…
えきねっとのフィッシング詐欺被害は、現在どんどん増えているようですので要注意！
えきねっとさんには申し訳ありませんが、えきねっとから届くメールは全て不審と思っておいた
方が良いかもしれませんね。
いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; |
