緊急の連絡だったら電話にすれば？
今朝もまた、Amazonやau、ETC利用照会サービスなどを騙ったたくさんのフィッシング詐欺
メールが届いております。
その中から、まずこのメールをご紹介しようと思います。
このメールは、セゾングループが運営するセゾンカードに成りすまし、カード情報が更新
できなかったからリンクで情報を確認しろと言った内容のフィッシング詐欺メールです。
では、このメールもプロパティーから見ていきましょう。
件名は
「[spam] 【重要】SAISON株式会社から緊急のご連絡」
「緊急のご連絡」だったらメールではなく電話すると思うのですが…(笑)
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。
差出人は
「saisoncard <nasp@mail.saisoncard.co.jp>」
”saisoncard.co.jp”は確かに「セゾンカード」のドメインですが、件名の”[spam]”を
見せられた後では全く信じられませんね。
その辺りを含め、次の項で見ていくことにしましょう。
本当のドメインはやっぱり中国ドメイン
では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。
| Return-Path: 「<nasp@mail.saisoncard.co.jp>」
”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。
|
| Message-ID:「<20220407042451270183@mail.saisoncard.co.jp>」
”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。
|
| Received:「from mail.saisoncard.co.jp (ljlctwk.cn [106.75.97.119])」
あらら”ljlctwk.cn”なんて中国のドメイン見えちゃいましたね(笑)
”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。
|
まずは、”saisoncard.co.jp”について情報を取得してみます。
このドメインを割当てているIPアドレスが”Received”に記載されているものと同じなら
差出人のメールアドレスだと認めますが、そうでない場合、特定電子メール法違反となり
処罰の対象とされます。
※特定電子メール法違反
・個人の場合、1年以下の懲役または100万円以下の罰金
・法人の場合、行為者を罰するほか、法人に対して3000万円以下の罰金
さて、どう出るのでしょうか？
持ち主は、セゾンカードの親会社「クレディセゾン」と書かれています。
”45.60.48.171”がこのドメインを割当てているIPアドレス。
”Received”に書かれているのが”106.75.97.119”ですから全く異なるので、この方はやはり
アドレス偽装。
しっかり罪を償っていただきましょう！
”Received”のIPアドレス”106.75.97.119”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその情報と割り当て地を確認してみます。
やはり”Received”で見えてた中国ドメイン”ljlctwk.cn”を割当てているようですね。
その持ち主は、私には読めない文字を含む漢字2文字の氏名の方で、ドメインの管理は中国の
IT企業アリババに委託されていますので、この方がどこの国の方であるかおおよそ想像
つきますよね？
次に割り当て地。
ピンが立てられたのは、中国最大の詐欺メール生産地でもある北京市天安門広場東側辺り。
ここから発せられる詐欺メールは膨大な量です！
よく見ると、このIPアドレスの脅威レベルは「高」とされているので既に危険であることは
周知済みのようです。
脅威の詳細は「メールによるサイバーアタック」と記載されています。
IPアドレスむき出しの詐欺サイト
では引き続き本文。
| SAISON CARDお客様
残念ながら、あなたのアカウント
SAISON CARDを更新できませんでし
た。
これは、カードが期限切れになったか。請
求先住所が変更されたなど、さまざまな理
由で発生する可能性があります。
アカウント情報の一部が誤っている故に、お
客様のアカウントを維持するため
SAISON CARD情報を確認する必要·エ
あります。今アカウントを確認できます。 |
昔からよく使われている文章ですね。
特徴的なのは「必要·エ」って部分。
直す気ないのか、他のメールでもずっとこのまま使われ続けています(笑)
このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「https://www.saisoncard.co.jp/」って直書き部分に張られていています。
このURLはセゾンカードのトップページのものですが、そんなはずはなくしっかり偽装
されていて、実際のリンク先はこちらのURL。
なんとIPアドレスむき出し…(;^_^A
少しは金掛けろよ…
このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。
IPアドレスむき出しだからでしょうか、「未評価」とされていますね。
このようなサイトが野放しにされていてはとても危険ですので評価内容変更のリクエストを
私の方で申請しておきました。
このむき出しのIPアドレス”209.141.54.112”を元にその情報と割り当て地を確認してみます。
あれれ？ ちゃんと”host7.mnk.cc”ってドメイン持ってんじゃんか。
じゃなぜむき出しのIPアドレスでサイトこしらえたんだろうか？
ほんと詐欺師の考えていることはよくわかりません…┐(´д｀)┌ﾔﾚﾔﾚ
次のこのIPアドレスの割り当て地。
ピンが立てられのは、ネバダ州にあるマッカラン空港付近。
この辺りでリンク先の詐欺サイトは運営されているようです。
安全な方法でそのリンク先の詐欺サイトに調査目的で訪れてみました。
ウイルスバスターに遮断されることなく開いたのは当然セゾンカードの偽サイトです。
丸々ダウンロードしてコピーされているので、詐欺サイトの注意喚起までコピーされています。
間違ってもログインしたりしないでください。
まとめ
IPアドレスむき出しの詐欺サイトはたぶん初めてでした。
ドメイン割当ててもどうせ騙される人はURLなんて見ないから関係ないのかも知れませんね。
でも、このようなサイトが無防備に野放しにされていると思うとぞっとします。
何卒一刻も早めの対処をお願いしたいのです。
いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; |
