『詐欺メール』「SAlSONカード【重要】」と、来た件

「SAlSON」じゃなくて「SAiSON」

「SAlSONカード」から何とも直球な件名のメールが届きました。
ただ【重要】とだけ書かれています。

では、このメールもプロパティーから見ていきましょう。

件名は
「[spam] SAlSONカード【重要】」
あれ？ちょっと待って！
この文字をそのままGoogleの検索窓に貼り付けて検索するとこんな表示出ました。

「もしかして: SAiSONカード」って出てるからスペルが違ってる？
「SAlSON」って、”l”の部分が小文字の”エル”で「SALSON」になってるって事だ。
本文内の他の部分はちゃんと”アイ”になってて、件名と差出人のところだけがこうなっています。
果たしてこれが狙ったことなのか、それとも打ち間違えたものなのか…(;^_^A

この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「SAlSON顧客サービス <saison-support2@evtqnwe.cn>」
「セゾンカード」さんには、れっきとした”saisoncard.co.jp”ってドメインをお持ちです。
それなのにこのような”evtqnwe.cn”なんて中国のトップレベルドメインを使った
メールアドレスで大切なユーザーにメールを送るなんて絶対にあり得ません！

偽装せず自身のアドレスで

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

まずは、”evtqnwe.cn”について情報を取得してみます。

”202.61.176.156”がこのドメインを割当てているIPアドレス。
”Received”に書かれているものも”202.61.176.156”と同一アドレスなので
この差出人は、偽装することなく自身が持つメールアドレスを利用してこのメールを
送信してきたようです。

”Received”のIPアドレスは、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

かなりアバウトな位置情報ですがピンが立てられたのは、「東京都千代田区」付近です。
利用しているプロバイダー名は、香港に拠点を持つ「CTG Server Ltd」
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。

IPアドレスから割出した詐欺サイトの在りかは？

では引き続き本文。

便利ですよね、このメールの本文。
「SAISONカード」って所だけ書きかえればいくらだって使いまわせるんだから。
もう見飽きちゃって暗記しちゃいました(笑)

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「ご利用確認はこちら」って書かれたところに張られていて、リンク先の
URLがこちらです。

”yahoo”が入ってるけどなんだかわけのわからないURLですね。
でも、これ偽装されていて、リダイレクトって手法で全然別のサイトに飛ばされます。
その飛ばされた先のURLがこちら。

”@”より前が消えていますね。
このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。

このように既に危険サイトと認識されており、カテゴリは「詐欺サイト」と書かれています。

このURLで使われているドメインは、サブドメインを含め”fcasfhj.pxnlcgtz.cn”
このドメインにまつわる情報を取得してみます。

持ち主は、メールアドレスのドメインと同じ方。
それ以外大した情報は取得できませんでした。

このドメインを割当てているIPアドレスは”204.44.88.243”
このIPアドレスを元にその割り当て地を確認してみます。

ピンが立てられのは、詐欺サイトのメッカであるロサンゼルス近郊のリトルトーキョーに程近い場所。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。

開いたのは、セゾンカード会員専用のウェブサイトの「SAISON CARD Netアンサー」
の偽のログインページ。
ちゃんとパズルまで付いてるし…(;^_^A

本物の「SAISON CARD Netアンサー」を見てきましたが、全く見分けが付きません。
それもそのはず、ウェブサイトのコピーなんてのは、まるまるダウンロードして自身のサーバーに
アップすれば完成しちゃうので複製なんて簡単なのです！
でも、サイトの複製は立派な犯罪！皆さんは絶対にしないでくださいよ！！

まとめ

件名と、差出人の「SAISON」の”l”って部分のスペルが帰られているのは、どんな意味が有るのか。
それとも全く意味がなく、ただ単に間違いなのか。
私には知る由もありません。
相変わらずおかしなメールが多いので、お気を付けてお過ごしください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;