楽天市場から【重要なお知らせ】というメールがフィッシング詐欺か検証する

公開日:2020/6/18

楽天市場から【重要なお知らせ】 というメールがフィッシング詐欺か検証します。

カードが期限切れになったか。請求先住所が変更されたなどで楽天会員個人情報を更新できなかった、ついてはアカウントを更新して欲しいといった内容です。

メール文面は以下の通り。

残念ながら、お客様のアカウント

楽天会員個人情報を更新できませんでした。

これは、カードが期限切れになったか。請求先住所が変更されたなど、さまざまな理由で発生する可能性があります。

アカウント情報の一部が誤っている故に、お客様のアカウントを維持するため

楽天会員個人情報を確認する必要があります。アカウントを更新してください。

更新

なお、24時間以内にご更新しない場合、誠に勝手ながら、アカウントをロックされます。

どうぞよろしくお願いいたします。

お客様のセキュリティは弊社にとって非常に重要なものでございます。ご理解の程、よろしくお願い申し上げます。

楽天株式会社

https://rakuten.co.jp

Copyright c Rakuten, Inc. All Rights Reserved.

まず送信元を調べてみます。

From: "楽天市場" <services@rakuten.co.jp>
Return-Path: <r4@rrrrr1.ml>

1 2	From: "楽天市場" <services@rakuten.co.jp> Return-Path: <r4@rrrrr1.ml>

送信者名は楽天市場となっており、送信元メールアドレスも services@rakuten.co.jp と楽天になっています。

しかしReturn-Pathを見るとr4@rrrrr1.ml となっており、楽天市場と全く関係がありません。

送信元サーバーを見てみます。

Received: from rdns0.rrrrr1.ml (unknown [45.156.22.125])

1	Received: from rdns0.rrrrr1.ml (unknown [45.156.22.125])

45.156.22.125というIPアドレスが出てきました。

このIPアドレスを調べてみると、

inetnum:        45.156.22.0 - 45.156.22.255
netname:        CloudBackbone
descr:          OpenStack Cloud
country:        RU　　　→　（ロシア連邦）
admin-c:        LA7667-RIPE
tech-c:         LA7667-RIPE
abuse-c:        LA7667-RIPE
status:         ASSIGNED PA
mnt-by:         cloudbackbone_net
created:        2019-10-08T12:39:26Z
last-modified:  2019-10-10T13:58:45Z
source:         RIPE

inetnum: 45.156.22.0 - 45.156.22.255

netname: CloudBackbone

descr: OpenStack Cloud

country: RU　　　→　（ロシア連邦）

admin-c: LA7667-RIPE

tech-c: LA7667-RIPE

abuse-c: LA7667-RIPE

status: ASSIGNED PA

mnt-by: cloudbackbone_net

created: 2019-10-08T12:39:26Z

last-modified: 2019-10-10T13:58:45Z

source: RIPE

ロシアのIPアドレスのようです。

次にメール本文中のリンクの誘導先を調べてみます。

更新というボタンがありますが、このボタンのリンクは

<a href="https://rakuten.co.jp.customer-rakuten.tk/" title="" style="color: #FEFEFE;

1	<a href="https://rakuten.co.jp.customer-rakuten.tk/" title="" style="color: #FEFEFE;

となっています。

つまりリンク先は https://rakuten.co.jp.customer-rakuten[.]tk/ であり、楽天のように見えますがそもそもtkは無料ドメインです。

ネームサーバーを調べて見ると、https://www.freenom.com/ で取得されているようです。

安全を担保してこのURLにアクセスしてみると、https://rakuten.co.jp.customer-rakuten.tk/5eead8b1374fd.php へリダイレクトされます。

そして、

このように偽の楽天ログインページが現れます。

なお、IPアドレスは118.107.14.201で、調べてみると香港で運用されていることが分かります。

inetnum:        118.107.0.0 - 118.107.15.255
netname:        BGP16-0-15-255-HK
descr:          BGP CONSULTANCY PTE LTD
country:        HK　　　→　（香港）
admin-c:        BCPL4-AP
tech-c:         BCPL4-AP
status:         ASSIGNED NON-PORTABLE
mnt-by:         MAINT-RCPL-SG
mnt-irt:        IRT-RCPL-SG
last-modified:  2019-04-18T09:48:37Z
source:         APNIC