「【メールの件名】 緊急お知らせ えきねっと個人情報更新お願いします」の件名で送られてくるフィッシング詐欺メール被害が増えています。

その内容と対処方法について解説します。

詐欺メールの情報

• 件名： 【メールの件名】 緊急お知らせ えきねっと個人情報更新お願いします
• 差出人：Amazon.co.jp
• 差出人のメールアドレス：amazon-store@v0flih.shop、amazon-sms@toryburch2.shop、amazon-japan@1zvqlk.shopなど

このメールはフィッシング詐欺と呼ばれるメールなので、絶対にメール内のリンクをクリックしないで下さい

メール内容

実際に送られているメールです

【件名】【メールの件名】 緊急お知らせ えきねっと個人情報更新お願いします

最近は、自然な日本語のフィッシング詐欺が多かったですが、今回は酷い内容ですね。しかもAmazonで「えきねっと」とは？？

迷惑メールの送り主

メールのヘッダー情報から送信元をチェックしてみました。

• Received:by  (from Amazon.co.jp (unknown [45.64.52.83])
  by v1zvqlk.shop (Postfix)
• Return-Path: <amazon-japan@1zvqlk.shop>
• Received-SPF: fail (メールサーバアドレス: SPF record (略)
• Date: Thu, 15 Dec 2022 11:50:06  +0800

正規のAmazonからのReturn-Pathヘッダーは、「〇〇〇〇@bounces.amazon.co.jp」となっています。手続きに関するメールを「store-news（ストアニュース）」というアドレスから送られてくることはあり得ません。
それ以外にもAmazonからのメールには、独自のヘッダー（X-AMAZON-METADATA:、X-AMAZON-MAIL-RELAY-TYPE: notification ）が付いているので、ヘッダーをチェックすれば偽物は簡単に見抜く事ができます。

このメールのタイムスタンプは、+0800 となっています。通常日本国内から送れば+0900となるのですが、正規のAmazonが使用しているメールサーバからは GMT/UTC+0000 （グリニッジ標準時）の時間のタイプスタンプが付いて届きます。
ちなみにUTC+0800 (CST)は、中国標準時です。中国国内からタイムスタンプの改変はせずに詐欺メールを送っているようです。

飛び先ページについて

試しに飛び先ページを開いてみました。「ｈｔｔｐｓ://mp.weixinbridge.com/」を開くと「ｈｔｔｐｓ://tmiraido.shop」にリダイレクト（URL転送）されました(安全のためにURLを加工しています)

リダイレクト先のURLは複数あるようです。2種類確認しました。
・terradawine.shop
・miraido.shop

これらのURLは、そのままだとJPアマゾンにリダイレクトされるように巧妙に細工されています。しかしながら、メールからリダイレクトされる時は「/mp/wapredirect?url=」から続くコードが追加される事で詐欺サイトへと飛びます。

ぺ―ジを開くとURLの最後にIPアドレスを追加して、ログイン時に記録するようになっていました。飛び先URLを開くと、Amazon.co.jpを巧妙に偽装していました。

適当なメールアドレスとパスコードでログインしてみました。

「更新するまでアカウントにアクセスできません」の表示とともに、請求先住所を変更するという画面に入ります▼

適当に入力して進めると、次はクレジットカードの情報を求めてきます▼

全ての入力が終わると、正規のAmazon.co.jpに移動しました。

すでにGoogleの方に「フィッシング詐欺の報告」としてURLを送っておきましたが、記事執筆時はまだ該当URLに対策されていません。

➡ Googleフィッシング詐欺報告ページ

このURLは一例です。フィッシング詐欺グループは、次々とドメインを変更しますので、Goolgeやセキュリティソフトのブラックリストに掲載前の新URLで届く可能性があります。
また古いパソコン（ブラウザ）をお使いの場合、フィルターでブロックする事ができない場合もあります。

フォームに入力してログインすると、アマゾンのアカウントが乗っ取られる恐れがあります。また今回の詐欺メールでは、支払いカードの情報の入力を求めています。カード情報を入力してしまうと、不正使用・送金される恐れがあります。

決してログイン・情報の入力をしないようにして下さい

ちなみに「miraido.shop」のドメインは、なんと日本の大手サーバーの「GMOサーバー」を使用されていました。

ドメインの所有者情報はありませんでしたが、地域のみ登録されていました
Registrant State/Province: zhe jiang
Registrant Country: CN

中国の浙江省ですね。

フィッシング詐欺サイトが消されても、メール内のリンクが長期間有効になるように、リダイレクト用のURLを使っているのが特徴です。
飛び先のフィッシング詐欺サイトがブロックされていも、リダイレクト先を変えれば良いように工夫したのだと思われます。

リダイレクト用のURL「 weixinbridge.com 」は、「MarkMonitor というレジストラで登録されており、登録者情報は非公開にする事ができるようになっていました。

対処法

このメールは無視して破棄するだけで構いません

万が一間違えて、ログインフォームにユーザー名（メールアドレス）とパスワードを入力してしまった場合、即時にパスワードを変更して下さい。
カード番号を入力してしまった場合は、カード会社にその旨を伝えて対策を取ってもらってください。

フィッシング詐欺の犯人は、得た認証情報を使って楽天などの他のECサイト、証券会社、銀行など、その組み合わせ（ID/パスワード）でログインを試行して悪用する可能性があります。

同じパスワードを使いまわしている場合、全ての登録パスワードを変更する必要があります。

またフォームに入力していない場合でも、サイトを閲覧した事でウィルスやマルウェア、ワームに感染している可能性があります。
スマートホン、パソコン内のウィルスチェックを実施するようにして下さい。

The following two tabs change content below.

• この記事を書いた人
• 最新の記事

タカシ

iPhone/Androidをはじめ最新家電が大好きなWebエンジニアです。あまり優等生な記事では面白くないので、少し際どい皆が本当に知りたい情報を記事にしてゆきたいと考えています。二次情報を転載するだけの「スマホ情報ブログ」にならないよう役に立つ情報を発信してゆきます。

最新記事 by タカシ (全て見る)

• 【24％オフ】11インチの高コスパタブレット｢Teclast P50｣発売！Amazonで15,900円 - 2024年4月24日