最近誰かがあなたのAppleアカウントにログインしました。最近誰かがあなたのAppleアカウントにログインしました。迷惑メール2022-01-22記事内に広告が含まれています。「親愛な」にご注意を!※ご注意ください!当エントリーは迷惑メールの注意喚起を目的とし、悪意を持ったメールをご紹介しています。このようなメールを受け取っても絶対に本文中のリンクをクリックしてはいけません!リンク先は正規サイトを模した完全コピーの偽サイトで、フォームにアカウント情報やクレジットカードの入力させそれらの情報を詐取します。週末の朝もゆっくりさせていただけないのですね(^^;今朝は、Appleになりすまし、アカウントがロックされているからリンクから解除のために身元を確認しろと言うフィッシング詐欺メールが届いています。最近誰かがあなたのAppleアカウントにログインしました。最近、件名の末尾にコード番号や通し番号を付けてくる詐欺メールが多くみられます。”参照ID:”もそのようなものだと思いますが、おおよそ信ぴょう性を持たせるための物だと思いますが、件名をどんな書き方されても構いませんが、このメールには”[spam]”とスタンプが付けられているので迷惑メールの類です。このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いているものは全て迷惑メールと判断されたもの。うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。<AppleSupp0rt@mail.diq18t5npdda98c1h7x35p.apple.com>」どこのアップルがこのような意味の分からないアカウントのメールアドレス使いますかって話ですよ。確かにドメインが”apple.com”となっていますが見るからにおかしいです。アドレス偽装判定では、このメールのヘッダーソースを確認し調査してみます。ソースから抜き出した「フィールド御三家」がこちらです。「<www-data@intl1.rkn-mail.com>」ありゃ。ドメインが”apple.com”じゃなくて”intl1.rkn-mail.com”になっちゃっていますね。ウソ確定です!(笑)”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信されるメールアドレスです。一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に偽装可能なフィールドなのであてにできません。Message-ID:「<1642802252-7b0af71a966405d37f5f8a8ae39e97e1-8462d45f6daf8e85ad6e9d4ed429abb8-kcxz@>」”Message-ID”は、そのメールに与えられた固有の識別因子。このIDは世の中に1つしかありません。”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。ここも偽装可能で鵜呑みにはできません。[137.184.219.138])」”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む自局のホスト情報です。ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。差出人が使った送信サーバーの自局情報。記載されている末尾の数字は、そのサーバーのIPアドレスになります。このドメイン”intl1.rkn-mail.com”とIPアドレス”137.184.219.138”の相関性を確認してみます。この2つの要素に相関性が見られれば、この差出人のメールアドレスののドメインは”apple.com”ではなくて”intl1.rkn-mail.com”であることが証明できます。とあるサイトで”intl1.rkn-mail.com”について調べてみます。このドメインは”Received”に書かれていたIPアドレスに割当てられていることが分かりました。これにより差出人のメールアドレスドメインは”apple.com”ではなくて”intl1.rkn-mail.com”であることが証明できました。偽装確定です!!連れまわされた上で開いたサイトは?!続いて本文。詳しくは下の画像に書き込んでおきました。日本人がメールを送る際に「親愛な」とか「親愛なる」とか使いますか?使いませんよね!そして宛名がメールアドレスってのにも違和感を覚えますが...さて、当然フィッシング詐欺メールですから詐欺サイトへのリンクが施されています。そのリンク先のURLがこちらです。どこがAppleじゃ?!全くかすりもしないURL...ではまず真っ先にこのリンク先が危険かどうかをノートンの「セーフウェブレポート」で確認してみると。危険なサイトと表示されました!今度はこのURLで使われているドメイン”3ds.aytlink.net”について、とあるサイトで情報を拾ってみました。詳しくは図中に記入しておきましたが、持ち主はアメリカマサチューセッツ州の方。組織名はプライバシー保護されていて確認できませんでした。このドメインを割当てているIPアドレスは”103.48.50.207”らしいのでこちらも割り当て地を調査してみました。いつもそのほとんどがアメリカ西海岸付近ですが、今回の結果は、インドの首都ニューデリー。フィッシング詐欺メールも多様化してきたようですね。このリンク先URLに接続してみると、リダイレクトされてこちら始まるクソ長いURLの別サイトに接続されます。そのリンク先のURLがこちらです。面倒ですが、このURLのドメインも先ほどと同じ要領で調べてみました。ノートンの「セーフウェブレポート」で危険度を。危険なサイトと周知されています。続いてドメインの情報。さっきのと同じでした(笑)このドメインを割当てているIPアドレスは”188.166.217.73”らしいのでこちらも先ほどと同じように割り当て地を調査してみました。ドメイン調査の時には”オランダ”と書かれていましたが実際はシンガポールです。連れまわされた上で開いたサイトは、見事に複写されたAppleの完全コピーサイト。こんなの出されたら誰だって信用しちゃいますが、立派な詐欺サイトです!ああ、危険、危険...(・_・;)まとめ今回のメールも見る人が見れば一目で見破ることができる詐欺メールでしたね。注目点は、差出人のメールアドレスとリンク先のURL。メールアドレスの判断は、ヘッダーソースの解析を行えばさらに制度が高まります。ありましたらお許しください(^-^;こういった詐欺まがいのブラッキーなメールは、本文中のリンクをクリックしないことが大切!そしてOS付随のセキュリティーは充てにせず、必ず自身でセキュリティーソフトを導入し防御することが大切です。迷惑メール『詐欺メール』「【重要】お支払い方法の情報を更新してください。(必須)サイトタイトルとURLをコピーしました。