『詐欺メール』ビューカードから「【重要】Web明細への切替手続きについて（ご利用代金明細書の有料化について）」と、来た件

新たな手口の詐欺メール

なかなかゆっくりとはさせていただけないようです。
今日こそはエントリーしない1日にしようと思ったら、アダルトハッキングメールに
続きこのような新たな手口のフィッシング詐欺メールが届いてしまったら、そんな
わけにはいきません。(;^_^A

その新たな手口のメールがこちらです。

ビューカードは、東日本旅客鉄道株式会社の子会社である株式会社ビューカードが発行する
クレジットカードの事です。
なにやらもっともらしいことが書かれていますね。
どうやらビューカードでは本当にWeb明細への切替えを進めているようです。
「Web明細への切替手続きについて（ご利用代金明細書の有料化について）」
本文は、ここに書かれているのと一語一句変わらないので、ここからのパクりですね(笑)
では、このメールもプロパティーから見ていきましょう。

件名は
「[spam] 【重要】Web明細への切替手続きについて（ご利用代金明細書の有料化について）」
この件名もサイトの見出しをパクったものです。
でも”[spam]”とスタンプが付けられているので迷惑メールの類なのは一目瞭然。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「VIEWビューカード <view-account@lnhtky02uk.cn>」
「ビューカード」さんには、れっきとした”viewsnet.jp”ってドメインをお持ちです。
それなのにこのような”lnhtky02uk.cn”なんて中国のトップレベルドメインを使った
メールアドレスで大切なユーザーにメールを送るなんて言語道断です！
皆さんは、ここに気づいてください！

発信サーバーは九段付近

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

まずは、”lnhtky02uk.cn”について情報を取得してみます。

このドメインの持ち主は、私には読めない文字を含む漢字3文字の氏名の方で、よく見かける
お名前です。
ドメインの管理は、中国のIT企業アリババにお委託されているので、どこの国のお方かは
おおよそ想像つくと思います。

”134.122.198.64”がこのドメインを割当てているIPアドレス。
”Received”に書かれているのも”134.122.198.64”ですから全く同じなので、この方のメール
アドレスに偽装はありません。

”Received”のIPアドレス”134.122.198.64”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

ピンが立てられたのは、東京都千代田区九段付近。
利用しているプロバイダーは「BGP Consultancy Pte Ltd」と記載されています。
この組み合わせは時々見られますね。

詐欺サイトは一旦閉鎖

では引き続き本文。

冒頭にも書きましたが、本家ビューカードでもWeb明細への切替手続きについて専用の
ページが設けられています。
「Web明細への切替手続きについて（ご利用代金明細書の有料化について）」
このメールの本文は、丸々このサイトからのパクリ。

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「Web明細へのご登録はこちら」って書かれたところに張られていて、
リンク先のURLがこちらです。

このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。

このように「未評価」と書かれています。

不思議に思って、リンク先を覗いてみると。

サイトは一旦閉鎖しているようですね。
それでまだ評価がされていないんでしょう。

このURLで使われているドメインは、サブドメインを含め”jeast.co.jp-cards-sercivelist.yorxizg.cn”
このドメインにまつわる情報を取得してみます。

持ち主は、私には読めない文字を含む漢字3文字の氏名の方で、先程の方とは別人。

このドメインを割当てているIPアドレスは”204.44.70.92”
このIPアドレスを元にその割り当て地を確認してみます。

ピンが立てられのは、またまたロサンゼルス近郊のリトルトーキョーにほど近い場所。
ここは「犬も歩けば詐欺サーバーに当たる」ってくらいフィッシング詐欺サーバーの密集地。
最近本当にこの地図ばかり見せられます。(;^_^A

まとめ

本家サイトで行われている切り替え手続きに目を付けるなんて、なかなか手ごわい詐欺師です。
ほんと色々考えてきますから気を抜けません。
詐欺サイトは、一旦閉鎖しているようですが、ご覧いただいた通りIPアドレスはドメインに
紐づけられたまま、スイッチ一つでいつでも再開可能で、ほとぼりが冷めた頃を見計らい
しれっと復活してくるでしょうね。
ビューカードユーザーの被害が最小限に納まることを切に祈ります！

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;