「Amazon.co.jp 重要なお知らせ：お支払い方法の情報を更新してください」というメールを分析する

公開日:2020/4/2

「Amazon.co.jp 重要なお知らせ：お支払い方法の情報を更新してください」というメールを分析してみます。

このメールの文面は以下の通りです。

Amazon.co.jp

カードの利用承認が得られませんでした

番号：861-3718890-4573831

Amazonプライムイムの無料体験にご登録いただきまして誠にありがとうございます。無料体験登録の際に有効なお支払い方法のご登録をお願いしておりましたが、認証でエラーが発生しました。以下に従ってお支払い方法の再登録をお願致します。

1. こちらからお客様のアカウント情報をご入力下さい: 支払方法の情報を更新する。

2. Amazonプライムに登録したAmazon.co.jpのアカウントを使用してサインインします。

3. 左側に表示されている「現在の支払方法」の下にある「支払方法を変更する」のリンクをクリックします。

4. 有効期限の更新または新しいクレジットカード情報を入力してください。

下記ボタンをクリックすると、お支払い方法を変更できます。

支払方法の情報を更新する

2日以内にお支払い方法が再登録されない場合、お客様の安全の為、アカウントの利用制限をさせていただきますので。

またのご利用をお待ちしております。

Amazon.co.jp

Amazon.co.jp では、カードの承認が得られなかった理由の詳細を確認できません。クレジットカード情報の更新、新しいクレジットカードの追加については手順をご確認ください。

このEメールアドレスは配信専用です。このメッセージに返信しないようお願いいたします。

このメールが正規のものか詐欺なのかを検証します。

まず、メールの送信元を調べてみます。

From: Amazon <account-update@amazon.co.jp>
Return-Path: <account-update@amazon.co.jp>

1 2	From: Amazon <account-update@amazon.co.jp> Return-Path: <account-update@amazon.co.jp>

送信元はaccount-update@amazon.co.jpというメールアドレスになっており、Return-Pathも同様にaccount-update@amazon.co.jpとなっています。

amazon.co.jpとなっていますが、送信元サーバーまで目を向けてみます。

Received: from 621753.vip (v163-44-154-172.a00f.g.sin1.static.cnode.io [163.44.154.172])

1	Received: from 621753.vip (v163-44-154-172.a00f.g.sin1.static.cnode.io [163.44.154.172])

Receivedを確認してみると、163.44.154.172というIPアドレスから送信されているようです。

このIPアドレスを調べてみると、

inetnum:        163.44.64.0 - 163.44.191.255
netname:        interQ
descr:          GMO Internet, Inc.
descr:          CERULEAN TOWER,26-1 Sakuragaoka-cho,Shibuya-ku,Tokyo 150-8512,Japan
admin-c:        JNIC1-AP
tech-c:         JNIC1-AP
remarks:        Email address for spam or abuse complaints : abuse@gmo.jp
country:        JP　　　→　（日本）
mnt-by:         MAINT-JPNIC
mnt-lower:      MAINT-JPNIC
mnt-irt:        IRT-JPNIC-JP
status:         ALLOCATED PORTABLE
last-modified:  2015-07-06T03:14:01Z
source:         APNIC

inetnum: 163.44.64.0 - 163.44.191.255

netname: interQ

descr: GMO Internet, Inc.

descr: CERULEAN TOWER,26-1 Sakuragaoka-cho,Shibuya-ku,Tokyo 150-8512,Japan

admin-c: JNIC1-AP

tech-c: JNIC1-AP

remarks: Email address for spam or abuse complaints : abuse@gmo.jp

country: JP　　　→　（日本）

mnt-by: MAINT-JPNIC

mnt-lower: MAINT-JPNIC

mnt-irt: IRT-JPNIC-JP

status: ALLOCATED PORTABLE

last-modified: 2015-07-06T03:14:01Z

source: APNIC

GMOインターネットのIPアドレスであることが分かりました。

AmazonがGMOのサーバーからメールを送信してくるとは考えられませんので、このメールはAmazon.co.jpではなくフィッシング詐欺メールだと考えられます。

フィッシング詐欺であれば誘導先がありますので、このメールがどこに誘導しようとしているのかを調べてみます。

メール本文はBase64で難読化されていますので、デコードします。

当サイト内無料オンラインツール：Base64デコード

<A 
                  style="TEXT-DECORATION: underline; COLOR: rgb(102,102,102); FONT: 13px/18px Arial, sans-serif; font-stretch: normal" 
                  href="http://account-id.85892361.com/account">

style="TEXT-DECORATION: underline; COLOR: rgb(102,102,102); FONT: 13px/18px Arial, sans-serif; font-stretch: normal"

href="http://account-id.85892361.com/account">

すると、http://account-id.85892361[.]com/account というURLに誘導しようとしていることが分かります。

実際にこのURLを確認してみると、

https://amazon.co.jp.signinf30281bd21004d06f2a61d.ifzmuhg[.]cn/

1	https://amazon.co.jp.signinf30281bd21004d06f2a61d.ifzmuhg[.]cn/

へとリダイレクトされます。

.cnですから、中国のドメインが使用されています。

ifzmuhg.cnというこのドメインのWhois情報を調べてみると、

Domain Name: ifzmuhg.cn
ROID: 20191213s10001s20734120-cn
Domain Status: ok
Registrant ID: cn77553071087189
Registrant: 韩一凡
Registrant Contact Email: e489829@163.com
Sponsoring Registrar: 成都西维数码科技有限公司
Name Server: ns4.myhostadmin.net
Name Server: ns1.myhostadmin.net
Name Server: ns2.myhostadmin.net
Name Server: ns3.myhostadmin.net
Name Server: ns5.myhostadmin.net
Name Server: ns6.myhostadmin.net
Registration Time: 2019-12-13 17:37:52
Expiration Time: 2020-12-13 17:37:52
DNSSEC: unsigned