「ご利用確認」と来たらフィッシング詐欺メールでしょ～(笑)ここ数日、三井住友銀行とを騙るフィッシング詐欺メールも増加傾向。
今朝も複数のメールが受信箱に入っています。
この中から今回はこちらをご紹介しようと思います。 
今回のキーワードも、例によって「第三者不正利用」と「ご利用確認」
では、このメールもプロパティーから見ていきましょう。
件名は
「[spam] 【三井住友銀行】ご利用確認」
もう「ご利用確認」と来たらフィッシング詐欺メールでしょ～(笑)
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。 差出人は
「三井住友銀行 <SMBC_service@dn.smbc.co.jp>」
”smbc.co.jp”は確かに「三井住友銀行」のドメインですが、件名の”[spam]”を見せられた
後では全く信じられませんね。
その辺りを含め、次の項で見ていくことにしましょう。
差出人は「WebARENA」のユーザーか？！では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。 | Return-Path: 「<bsss@lkhxrmprxa.cn>」 ”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
あれ？返信先は”lkhxrmprxa.cn”なんて中国のドメインのメールアドレスで良いんだ(笑)
ここで偽装確定ですね！
ここも簡単に偽装できるからそうしておけば良かったのにね！(;^_^A | | Message-ID:「8C6AC3DC55617C5FA2AAF81814596016@lkhxrmprxa.cn>」 ”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。 | | Received:「rom lkhxrmprxa.cn (unknown [116.80.57.170])」 ”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。 |
まずは、差出人のメールアドレスにあった”smbc.co.jp”について情報を取得してみます。
このドメインを割当てているIPアドレスが”Received”に記載されているものと同じなら
差出人のメールアドレスだと認めますが、そうでない場合、特定電子メール法違反となり
処罰の対象とされます。
※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰するほか、法人に対して3000万円以下の罰金
”Return-Path”を見る限りやるまでないような気もしますが、一応儀式なので(笑)
”www”を追加しているのは、IPアドレスが取得しやすいからです。 ”104.120.1.125”がこのドメインを割当てているIPアドレス。
”Received”に書かれているのが”116.80.57.170”ですから全く異なるので、この方はやはり
アドレス偽装。
しっかり罪を償っていただきましょう！ 一応”lkhxrmprxa.cn”もやっときますか！
「対応するIPアドレスがありません」って事なので、現在は使われてないドメインでした。 ”Received”のIPアドレス”116.80.57.170”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元に情報を入手してみます。
このIPアドレスは”indigo.static.arena.ne.jp”ってドメインに割当てられているようです。
そしてこのIPアドレスは、NTT系のレンタルサーバー「WebARENA」に提供されている
とされていますから、この差出人はここのユーザーのようですね。 今度は、その割り当て地を確認してみます。 
ピンが立てられたのは、千代田区内神田付近でした。
この付近に差出人が利用しているメールサーバーが置かれているようです。
リンクはリダイレクトで本家に？！では引き続き本文。
このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは、メール本文に直書きされている通りこちらのURLです。
このURLのドメインは”smbc.co.jp”ではなく”lymbe.com”ですのでお間違いなく。 このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。
おや？ 詐欺サイトのはずなのに「安全」と書かれていますね。
なぜでしょうか？ このURLで使われているドメインは、サブドメインを含め”direct.smbc.co.jp.lymbe.com”
このドメインにまつわる情報を取得してみます。
持ち主は、カリフォルニア州サンマテオにある企業です。 このドメインを割当てているIPアドレスは”204.44.88.44”
このIPアドレスを元にその割り当て地を確認してみます。
ピンが立てられのは、期待通りにロサンゼルス近郊のリトルトーキョーにほど近い場所です。
そう、ここはフィッシング詐欺サイトのメッカ！
よく見ると、このサイトではこのIPアドレスの脅威レベルは「高」とされていますよね！
その詳細は「サイバーアタックの攻撃元 攻撃対象:Web」 危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。
詐欺サイトかな？と思ってURLを見ると「https://www.smbc.co.jp/」
あれれ？ いつの間にか本家のサイトにリダイレクトされています。 このパターンは、当局に気付かれないように時々サイトを閉鎖し、その間だけ本家につながる
ように飛ばしている感じ。
トレンドマイクロの「サイトセーフティーセンター」で「安全」とされていたのも頷けますね。
まとめリンクが本家にリダイレクトされているからと言って安心しないでください。
ほとぼりが冷めたら必ずリダイレクトを外し詐欺サイトに切換えるはずですから！ いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; | 
