『詐欺メール』「【au PAY】アカウントの凍結を防ぐために、お支払い方法を更新してください 」と、来た件

急に支払いが滞ったって？！

またしてもauを騙る新種のフィッシング詐欺メールが発生しています。
危険ですので早速ご紹介しておきます。

内容は利用料金の支払いが滞っているので、リンクを辿ってアカウントの支払い方法を更新
しろ、と言う詐欺メールではありがちのフレーズ。
では、このメールもプロパティーから見ていきましょう。

件名は
「[spam] 【au PAY】アカウントの凍結を防ぐために、お支払い方法を更新してください」
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「auto <auto@connect.auone.jp>」
と買われているドメイン”auone.jp”は、確かにauの持ち物ですが、件名”[spam]”が示す通り
このメールは既に迷惑メールと判断されていますので偽装されています。
その辺りを含め、次の項で詳しく調べてみましょう。

犯人は「さくらインターネット」ユーザー

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

まずは、メールアドレスにあったドメイン””について情報を取得してみます。
このドメインを割当てているIPアドレスが”Received”に記載されているものと同じなら
差出人のメールアドレスだと認めますが、そうでない場合、特定電子メール法違反となり
処罰の対象とされます。
※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰するほか、法人に対して3000万円以下の罰金

既に”Return-Path”でバレバレですが、儀式ですから一応…

はい、違法行為発覚です！

”Received”のIPアドレス”153.125.239.90”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

見ての通り、この差出人は大手プロバイダー「さくらインターネット」のユーザーです。
既に危険なIPアドレスと評価され脅威レベルは「高」として登録されています。
カテゴリはメールによるサイバーアタック、正にその通りです！
ピンが立てられた場所も、さくらインターネット本社がある大阪市北区付近です。
このメールはこの付近に設置されたメールサーバーを介して私の手元に届けられたようです。

詐欺サイトは現在無防備に放置中

引き続き本文を見ていきます。

「ご会員ID」って…へりくだるにも程があると思いますが(笑)
ところで、auでは会員IDとは呼びません。
”auID”と呼ばれるはずです。
もう少し勉強されてから送った方が良いですよ！

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「■お支払い方法を更新してください」って所に張られていて、リンク先の
URLがこちら。

このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。

まだ「未評価」とされていて危険な状態で放置されています。
危険なサイトとして評価していただくようトレンドマイクロに要望しておきます。

このURLで使われているドメインは、サブドメインを含め”aupay.con.poida.info”
このドメインにまつわる情報を取得してみます。

持ち主は、アリゾナ州フェニックスにあるご常連企業でした。

このドメインを割当てているIPアドレスは”104.223.16.172”
このIPアドレスを元にその割り当て地を確認してみます。

ピンが立てられた位置は、詐欺サイトのメッカのロサンゼルス近郊のリトルトーキョーに
ほど近い場所です。

安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。

ウイルスバスターに遮断されることなく無防備に放置されていますのでとても危険です！
一刻も早く危険なサイトとして登録されてほしいと切に願います。

まとめ

このところ各キャリアの中でauユーザーだけが集中的に狙われています。
が、いつ他のキャリアに飛び火するか分かりませんので、対岸の火事なんて思わず
その他のキャリアの方も十分に注意するようにしてください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;