[楽天]あなたのアカウントを確認【アカウントのご使用は制限されています】ログイン通知 .ログイン日時: 21:16:50 利用アプリ: [Microsoft Edge Windows 10] IPアドレス: 189.44.198.191 というメールがフィッシング詐欺かを検証する

公開日:2022/11/12 最終更新日:2022/11/14

[楽天]あなたのアカウントを確認【アカウントのご使用は制限されています】ログイン通知 .ログイン日時: 21:16:50 利用アプリ: [Microsoft Edge Windows 10] IPアドレス: 189.44.198.191 というメールがフィッシング詐欺か検証します。

不正アクセスを検知したため、アカウントのご使用は制限されています、ログインしてからご確認ください、といった内容です。

メール本文は以下の通り。

不正アクセスを検知したため、アカウントのご使用は制限されています。ログインしてからご確認ください。

・ユーザID: ***************@hotmail.com
・ログイン日時: 21:16:50
・IPアドレス: 218.184.181.203 / Microsoft Edge Windows 10

ログインしてご確認ください、お客さまがこのアカウントの正当な保有者であることをお知らせください。

▶ご本人確認 https://rnknteo-jp.thinkphp5[.]com

■このメールは送信専用メールアドレスから配信されています。ご返信いただいてもお答えできませんのでご了承ください。
■個人情報の取扱いについては個人情報保護方針をご覧ください。
■ご登録に心あたりがない場合、ご質問等のある方は、こちらのヘルプページご参照のうえ、お問い合わせフォームからご連絡ください。

個人情報の突合による分析および広告配信等による利用
私たちは、第三者（楽天グループおよび私たちと契約を締結した提携会社）から受託したお客様の個人情報を、私たちが管理するお客様の個人情報と突合・分析して利用します。例えば、お客様に関する広告識別子、
メールアドレス、電話番号等の個人情報を第三者より受託し、私たちが管理する広告識別子等およびその他の個人情報と突合・分析することで、よりお客様にカスタマイズした広告配信が行えるようになります。
また、第三者から受託したお客様の個人情報を私たちが管理するお客様の個人情報と突合・分析し、
当該第三者によるマーケティングやサービス改善・開発等の目的のために、お客様個人を特定できないような形式の情報に加工したうえで、当該第三者に提供することがあります。

また、私たちは、私たちが管理するお客様の個人情報を、広告配信等の目的で、第三者（私たちと契約を締結した広告配信サービス等を提供する提携会社〔※〕）に提供することがあります。
例えば、私たちが管理する広告識別子、メールアドレス、電話番号等の個人情報を、お客様に対する広告配信目的で当該第三者に提供し、
当該第三者が管理する広告識別子等およびその他の個人情報または個人関連情報と突合・分析することで、
よりお客様にカスタマイズした広告配信が行えるようになります。この場合、当該第三者は、私たちから依頼された広告配信のために、お客様の個人情報を利用します。

※広告配信サービスを提供する提携会社の一覧および当該提携会社が日本国外にある場合の外国の名称等はこちらでご説明していますので、あわせてご確認ください。

なお、私たちは、私たちが管理するお客様の広告識別子等の個人情報を、広告成果の確認やポイントの付与等の目的で、広告出稿者（広告主）を含む第三者に提供し、当該第三者は、
自ら管理する広告識別子等およびその他の個人情報または個人関連情報と紐づけて、
条件達成情報等とともに私たちに提供することがあります。私たちは、当該提供を受けた情報を私たちが管理する個人情報と紐づけることで、お客様の広告成果の確認やポイントの付与等のために利用します。

このメールに書かれている「ユーザーID」はふせてありますが、受信したメールアドレス、「ログイン日時」は、メールを受信した日時と同一でした。

まずは送信元を確認してみます。

From: Rakuten Card <jesetesvedm@hotmail[.]com>
Return-Path: jesetesvedm@hotmail[.]com

1 2	From: Rakuten Card <jesetesvedm@hotmail[.]com> Return-Path: jesetesvedm@hotmail[.]com

送信者名はRakuten Cardとなっていますが、送信元アドレスもReturn-PathのアドレスもHotmailのアカウントです。

送信元のサーバーを調べてみます。

Received: from TYCP286MB0671.JPNP286.PROD.OUTLOOK[.]COM
 ([fe80::954d:ff85:5fd1[:]f6d]) by TYCP286MB0671.JPNP286.PROD.OUTLOOK[.]COM

1 2	Received: from TYCP286MB0671.JPNP286.PROD.OUTLOOK[.]COM ([fe80::954d:ff85:5fd1[:]f6d]) by TYCP286MB0671.JPNP286.PROD.OUTLOOK[.]COM

fe80::954d:ff85:5fd1[:]f6dというIPアドレスが出てきました。

このメールを調べると、送信経路を偽装している形跡がありました。

メールは、Microsoftのサービスを利用しており、送信元は米国とされていました。

次にメール本文中にあるリンクの遷移先について調べてみます。

リンクの遷移先は、本文中に直接URLリンクが表示されているものでした。

https://rnknteo-jp.thinkphp5[.]com

1	https://rnknteo-jp.thinkphp5[.]com

rnknteo-jp.thinkphp5[.]comはサブドメインで、親のドメインはthinkphp5[.]comです。

thinkphp5[.]comのwhois情報を調べてみると、

Domain Name: thinkphp5[.]com
Registry Domain ID: 1988107573_DOMAIN_COM-VRSN
Registrar WHOIS Server: grs-whois.hichina.com
Registrar URL: http://www.net.cn
Updated Date: 2022-11-08T14:34:08Z
Creation Date: 2015-12-18T01:48:55Z
Registrar Registration Expiration Date: 2022-12-18T01:48:55Z
Registrar: Alibaba Cloud Computing (Beijing) Co., Ltd.
Registrar IANA ID: 420
Reseller:
Domain Status: ok https://icann.org/epp#ok
Registrant City:
Registrant State/Province:
Registrant Country:
Registrant Email:https://whois.aliyun.com/whois/whoisForm
Registry Registrant ID: Not Available From Registry
Name Server: DNS27.HICHINA.COM
Name Server: DNS28.HICHINA.COM
DNSSEC: unsigned
Registrar Abuse Contact Email: removed email address
Registrar Abuse Contact Phone: removed phone number
URL of the ICANN WHOIS Data Problem Reporting System: http://wdprs.internic.net/
>>>Last update of WHOIS database: 2022-11-12T03:55:29Z <<<

Domain Name: thinkphp5[.]com

Registry Domain ID: 1988107573_DOMAIN_COM-VRSN

Registrar WHOIS Server: grs-whois.hichina.com

Registrar URL: http://www.net.cn

Updated Date: 2022-11-08T14:34:08Z

Creation Date: 2015-12-18T01:48:55Z

Registrar Registration Expiration Date: 2022-12-18T01:48:55Z

Registrar: Alibaba Cloud Computing (Beijing) Co., Ltd.

Registrar IANA ID: 420

Reseller:

Domain Status: ok https://icann.org/epp#ok

Registrant City:

Registrant State/Province:

Registrant Country:

Registrant Email:https://whois.aliyun.com/whois/whoisForm

Registry Registrant ID: Not Available From Registry

Name Server: DNS27.HICHINA.COM

Name Server: DNS28.HICHINA.COM

DNSSEC: unsigned

Registrar Abuse Contact Email: removed email address

Registrar Abuse Contact Phone: removed phone number

URL of the ICANN WHOIS Data Problem Reporting System: http://wdprs.internic.net/

>>>Last update of WHOIS database: 2022-11-12T03:55:29Z <<<

レジストラは中国のサービスです、登録者の情報はプライバシーサービスで隠されています。

安全を担保したうえで、このURLにアクセスしてみます。

すると、

このように、楽天カードのログイン画面をコピーした偽のサイトが運用されていました。

続いて入力すると

このように、登録内容の照会を求められ、すぐにカード番号やセキュリティコードの入力を求められます。

IPアドレスは104.129.8[.]174です。

このIPアドレスのwhois情報をしらべてみると

NetRange: 104.129.0[.]0 - 104.129.63[.]255
CIDR: 104.129.0.0/18
NetName: QUADRANET
NetHandle: NET-104-129-0-0-1
Parent: NET104 (NET-104-0-0-0-0)
NetType: Direct Allocation
OriginAS: AS8100
Organization: QuadraNet Enterprises LLC (QEL-5)
RegDate: 2014-06-02
Updated: 2015-10-15
Ref: https://rdap.arin.net/registry/ip/104.129.0.0


OrgName: QuadraNet Enterprises LLC
OrgId: QEL-5
Address: 19528 Ventura Blvd #433
City: Tarzana
StateProv: CA
PostalCode: 91356
Country: US
RegDate: 2018-06-07
Updated: 2018-10-11
Ref: https://rdap.arin.net/registry/entity/QEL-5

ReferralServer: rwhois://rwhois.quadranet.com:4321

OrgAbuseHandle: QUADR4-ARIN
OrgAbuseName: QuadraNet Abuse
OrgAbusePhone: removed phone number
OrgAbuseEmail: removed email address
OrgAbuseRef: https://rdap.arin.net/registry/entity/QUADR4-ARIN

OrgTechHandle: QNO6-ARIN
OrgTechName: QuadraNet Network Operations
OrgTechPhone: removed phone number
OrgTechEmail: removed email address
OrgTechRef: https://rdap.arin.net/registry/entity/QNO6-ARIN