『詐欺メール』「【重要 JR西日本:Club J-WEST】確認された情報」と、来た件

何故か”JR”だけ全角

まだまだ「えきねっと」のフィッシング詐欺メールが猛威を振るう中、昨日に引き続き
「JR西日本J-WEST」に成りすましたフィッシング詐欺メールが到着。
それも本文の内容が「えきねっと」の時と全く同じって…(笑)

では、このメールもプロパティーから見ていきましょう。

件名は
「[spam] 【重要 JR西日本:Club J-WEST】確認された情報」
こんな件名じゃ何のことだかさっぱり分かりませんが、このメールには”[spam]”とスタンプが
付けられているので迷惑メールの類。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「ＪＲ西日本 Club J-WEST事務局 <jr-odekake-net-noreply@ae0am6.shop>」
何故か”JR”だけ全角文字。
これ詐欺メールあるあるです。(笑)
このメールアドレスに使われているドメインは”ae0am6.shop”
この数字とアルファベットの組み合わせでトップレベルドメインが”.shop”というパターン。
最近よく見かけるので、きっと同一犯が作ったものでしょうね。
もちろん「JR西日本:Club J-WEST」さんはこんなドメインじゃなくて”jr-odekake.net”って
立派なドメインをお持ちです。

天安門広場付近が発信元？！

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

では、このドメイン”ae0am6.shop”についてその情報を拾ってみます。

持ち主は、中国黒竜江省の方となっています。
そしてこのドメインは中国企業のアリババが管理を委託されています。
割当てているIPアドレスは”Received”のものと合致しましたので、メールアドレスの偽装は
ありませんでした。
ではこのIPアドレスを元にその割り当て地を確認してみると、見慣れた北京の天安門広場付近の
地図が表示されました。

このメールは、この付近に設置されているメールサーバーから発信されたようです。

宛名が「お客様」ってのはろくなメールじゃない

続きまして本文です。

最初の”[RECEIVER_ADDRESS]”はHTMLのタグでしょうか？
だいたい、宛名が「お客様」ってのはろくなメールじゃありません。
会員の氏名くらい知っているはずですよ。

それにしても「えきねっと」とそっくりの本文ですね…(笑)

このくだりの下に「https://clubj.jr-odekake.net/」から始まる直書きされたURLがリンク
されています。
でもこのリンクのURLは信じてはいけません。
これは大うそで本当は別のサイトへリンクされるよう仕組まれています。
そのリンク先のURLはこちら。

このサイト、トレンドマイクロの「サイトセーフティーセンター」で調べてみましたが
今現在のところまだ危険なサイトとして認識されていませんでした。

このURLで使われているドメインは、サブドメインを含め”clubj.jr-odekake.net.members.e0073bq.cn”
このドメインはアリババに管理を委託され割当てているIPアドレスは”204.44.83.30”です。

このIPアドレスを元にその割り当て地を確認してみます。

表示された地図は、ロサンゼルス近郊です。
この地で運営されている詐欺サイトは、JR西日本J-WESTネットのログインページ。
もちろんコピーサイトですよ。

間違ってもログインしないでくださいね！

まとめ

「えきねっと」を騙る詐欺メールはまだまだ大量に届いていますが、少しづつ置き換わる
のでしょうか？それとも新たな株として「J-WESTネット」も増えて来るんでしょうか？
少し静観したいと思います。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;