【重要】NHKプラスアップグレードサービスお知らせというメールがフィッシング詐欺かどうか検証する

公開日:2022/5/13

【重要】NHKプラスアップグレードサービスお知らせというメールがフィッシング詐欺かどうか検証します。

パソコンやスマホから総合テレビやEテレの番組を同時視聴できる、といった内容でアップグレードをを促すメールです。

本文は以下の通り。

example@example.com様:

NHKのサービスをご利用いただきありがとうございます、

NHKがNHKプラスにアップグレードされました。

NHKアップグレードの内容を以下に説明させていただきます。

パソコンやスマートフォン、タブレットで、総合テレビやEテレの番組を放送と同時に視聴できます。

総合テレビやEテレの番組を放送後から1週間いつでも視聴できます。

見逃し番組をジャンルやテーマ別に並べ、番組を見つけやすくしました。

見逃し番組を、日付やチャンネル、キーワードで探すことができます。

放送受信契約のある方は追加の負担なくお使いいただけます。

アップグレードは無料で、契約を結んでいる人は誰でもアップグレードする必要があります。

今すぐアップグレードして、特別な特典をお楽しみください、6〜12か月利用可能放送受信料免除。

契約しているすべてのゲストはNHKプラスにアップグレードする必要があります。

お客様の状況に応じた手続の流れをご案内します。

以下のリンクをたどって、アカウントを登録またはアクティブ化してください。

————————

NHKのご利用手続きありがとうございます。

以下のURLをクリックし、アップグレード操作を実行します。

————————

※アップグレードサービス

————————

このURLの有効期限は24時間です。24時間以内にアクセスし、入力まで終えてください。

————————

メールの内容にお心当たりがない場合は、下記お問合せ先へご連絡ください。

————————

このメールおよび利用登録に関するお問い合わせはこちら

【ナビダイヤル】 0590-099-033

ナビダイヤルをご利用になれない場合は 050-2786-5007

午前9時～午後5時（土・日・祝も受付）

※12月30日午後5時～1月3日はご利用いただけません。

————————

Copyright NHK (Japan Broadcasting Corporation) All rights reserved.

————————

まずは送信元を調べてみます。

From: "NHKプラス" <noreply@nhk.or.jp>
Return-Path: <noreply@nhk.or.jp>

1 2	From: "NHKプラス" <noreply@nhk.or.jp> Return-Path: <noreply@nhk.or.jp>

送信者名はNHKプラス、送信元メールアドレス、Return-Pathともにnhk.or.jpのドメインになっており、この点ではよく出来ています。

次に送信元サーバーを調べてみます。

Received: from noreply0.nhk.or.jp (unknown [193.53.127[.]192])

1	Received: from noreply0.nhk.or.jp (unknown [193.53.127[.]192])

193.53.127[.]192 というIPアドレスが出てきました。

このサーバーからメールが送信されているようですが、このIPアドレスを調べてみると、

inetnum: 193.53.127.0 - 193.53.127.255
netname: RU-BAXET-20191108
country: RU
org: ORG-LB145-RIPE
admin-c: AP29217-RIPE
tech-c: AP29217-RIPE
status: ASSIGNED PA
mnt-by: IP-RIPE
mnt-domains: BX-NOC
created: 2019-11-08T19:24:05Z
last-modified: 2019-11-11T11:38:55Z
source: RIPE

organisation: ORG-LB145-RIPE
org-name: LLC Baxet
org-type: OTHER
descr: http://justhost.ru
address: Zelenograd, Sosnovaya alleya, 4 str 2, office 120
address: 124489 Moscow
address: Russia
abuse-c: BN2044-RIPE
mnt-ref: IP-RIPE
mnt-by: IP-RIPE
created: 2018-11-02T13:40:02Z
last-modified: 2018-11-02T13:40:50Z
source: RIPE # Filtered

person: Anton Pankratov
remarks: http://justhost.ru
address: Zelenograd, Sosnovaya alleya, 4 str 2, office 120
address: 124489 Moscow
address: Russia
phone: removed phone number
nic-hdl: AP29217-RIPE
mnt-by: IP-RIPE
created: 2018-11-02T13:40:01Z
last-modified: 2018-11-02T13:41:22Z
source: RIPE # Filtered

inetnum: 193.53.127.0 - 193.53.127.255

netname: RU-BAXET-20191108

country: RU

org: ORG-LB145-RIPE

admin-c: AP29217-RIPE

tech-c: AP29217-RIPE

status: ASSIGNED PA

mnt-by: IP-RIPE

mnt-domains: BX-NOC

created: 2019-11-08T19:24:05Z

last-modified: 2019-11-11T11:38:55Z

source: RIPE

organisation: ORG-LB145-RIPE

org-name: LLC Baxet

org-type: OTHER

descr: http://justhost.ru

address: Zelenograd, Sosnovaya alleya, 4 str 2, office 120

address: 124489 Moscow

address: Russia

abuse-c: BN2044-RIPE

mnt-ref: IP-RIPE

mnt-by: IP-RIPE

created: 2018-11-02T13:40:02Z

last-modified: 2018-11-02T13:40:50Z

source: RIPE # Filtered

person: Anton Pankratov

remarks: http://justhost.ru

address: Zelenograd, Sosnovaya alleya, 4 str 2, office 120

address: 124489 Moscow

address: Russia

phone: removed phone number

nic-hdl: AP29217-RIPE

mnt-by: IP-RIPE

created: 2018-11-02T13:40:01Z

last-modified: 2018-11-02T13:41:22Z

source: RIPE # Filtered

このサーバーはロシアにあるサーバーのようです。

次に、メール本文中にあるリンクの遷移先を調べてみます。

デコードすると、

<A href="https://www.nhk-or.jp.signup.zcmejfy.cn">アップグレードサービス</A>

1	<A href="https://www.nhk-or.jp.signup.zcmejfy.cn">アップグレードサービス</A>

となっており、アップグレードサービスという文字列のリンク先は https://www.nhk-or.jp.signup.zcmejfy[.]cn 、つまり中国ドメインのサイトになっていることがわかります。

nhk-or.jp.signup.zcmejfy[.]cn はzcmejfy[.]cn のサブドメインですから、このドメインについても調べてみます。

whois情報を見てみると、

Domain Name: zcmejfy.cn
ROID: 20210811s10001s39720187-cn
Domain Status: ok
Registrant: 毕天云
Registrant Contact Email: weihe0012@outlook.com
Sponsoring Registrar: 阿里云计算有限公司（万网）
Name Server: ns4.dns.com
Name Server: ns3.dns.com
Registration Time: 2021-08-11 17:29:14
Expiration Time: 2022-08-11 17:29:14
DNSSEC: unsigned