何故か”JR”だけ全角 まだまだ「えきねっと」のフィッシング詐欺メールが猛威を振るう中、昨日に引き続き
「JR西日本J-WEST」に成りすましたフィッシング詐欺メールが到着。
それも本文の内容が「えきねっと」の時と全く同じって…(笑)
 では、このメールもプロパティーから見ていきましょう。 件名は
「[spam] 【重要 JR西日本:Club J-WEST】確認された情報」
こんな件名じゃ何のことだかさっぱり分かりませんが、このメールには”[spam]”とスタンプが
付けられているので迷惑メールの類。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。 差出人は
「ＪＲ西日本 Club J-WEST事務局 <jr-odekake-net-noreply@ae0am6.shop>」
何故か”JR”だけ全角文字。
これ詐欺メールあるあるです。(笑)
このメールアドレスに使われているドメインは”ae0am6.shop”
この数字とアルファベットの組み合わせでトップレベルドメインが”.shop”というパターン。
最近よく見かけるので、きっと同一犯が作ったものでしょうね。
もちろん「JR西日本:Club J-WEST」さんはこんなドメインじゃなくて”jr-odekake.net”って
立派なドメインをお持ちです。
天安門広場付近が発信元？！ では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。 | Return-Path: 「<jr-odekake-net-noreply@ae0am6.shop>」 ”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。 | | Message-ID:「<20220311012304086448@ae0am6.shop>」 ”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。 | | Received:「from ae0am6.shop (ae0am6.shop [117.50.179.96])」 ”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。 | では、このドメイン”ae0am6.shop”についてその情報を拾ってみます。
持ち主は、中国黒竜江省の方となっています。
そしてこのドメインは中国企業のアリババが管理を委託されています。
割当てているIPアドレスは”Received”のものと合致しましたので、メールアドレスの偽装は
ありませんでした。
ではこのIPアドレスを元にその割り当て地を確認してみると、見慣れた北京の天安門広場付近の
地図が表示されました。
このメールは、この付近に設置されているメールサーバーから発信されたようです。
宛名が「お客様」ってのはろくなメールじゃない 続きまして本文です。 | [RECEIVER_ADDRESS]お客様 日頃より「JR西日本J-WESTネット会員」をご利用いただきありがとうございます。 最近、我々のリスク管理システムは、あなたのアカウントが遠隔地にログインしている
ことを発見し、あなたのアカウントの安全のため、私たちはあなたのアカウントの使用を
制限しています。 以下登録用URLからアクセスして、登録を行ってください。 | 最初の”[RECEIVER_ADDRESS]”はHTMLのタグでしょうか？
だいたい、宛名が「お客様」ってのはろくなメールじゃありません。
会員の氏名くらい知っているはずですよ。 それにしても「えきねっと」とそっくりの本文ですね…(笑) このくだりの下に「https://clubj.jr-odekake.net/」から始まる直書きされたURLがリンク
されています。
でもこのリンクのURLは信じてはいけません。
これは大うそで本当は別のサイトへリンクされるよう仕組まれています。
そのリンク先のURLはこちら。
このサイト、トレンドマイクロの「サイトセーフティーセンター」で調べてみましたが
今現在のところまだ危険なサイトとして認識されていませんでした。
 このURLで使われているドメインは、サブドメインを含め”clubj.jr-odekake.net.members.e0073bq.cn”
このドメインはアリババに管理を委託され割当てているIPアドレスは”204.44.83.30”です。
 このIPアドレスを元にその割り当て地を確認してみます。
表示された地図は、ロサンゼルス近郊です。
この地で運営されている詐欺サイトは、JR西日本J-WESTネットのログインページ。
もちろんコピーサイトですよ。
間違ってもログインしないでくださいね！
まとめ 「えきねっと」を騙る詐欺メールはまだまだ大量に届いていますが、少しづつ置き換わる
のでしょうか？それとも新たな株として「J-WESTネット」も増えて来るんでしょうか？
少し静観したいと思います。 いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; | 