Amazonアカウント情報が漏洩した可能性がありますというメールがフィッシング詐欺か検証する

公開日:2020/8/11

Amazonアカウント情報が漏洩した可能性がありますというメールがフィッシング詐欺か検証します。

不明なIPがメールアドレスや請求書住所を変更しようとしていると不安を煽る内容となっています。

文面は以下の通り。

あなたのAmazonアカウント[example@example.com]異常原因がロックされています。

理由：不明IPがあなたのAmazonメールアドレスや請求書の住所などを変更しようとしています。

IP：98.165.177.145

日時：2020/08/11

この口座を続けたいなら、請求書の住所などを記入して本人確認を行う必要があります。

クリックしてAmazonに入ります

あなたのアカウントの安全のために、知らない人にあなたのアカウントとパスワードを提供しないでください。

Amazonサポート

このIPアドレスにはいくつかのパターンがあるようで、IP：86.108.144.41、IP：169.229.159.136なども確認されています。

さて、まずは送信元を調べてみます。

From: Amazon <address-verification@amazon.co.jp>
Return-Path: <address-verification@amazon.co.jp>

1 2	From: Amazon <address-verification@amazon.co.jp> Return-Path: <address-verification@amazon.co.jp>

送信者名はAmazonとなっており、送信元メールアドレス、またReturn-Pathともにaddress-verification@amazon.co.jpというAmazonのドメインになっています。

そこで、送信元サーバーを調べてみます。

Received: from amazon.co.jp (v160-251-1-2.wcb6.static.cnode.io [160.251.1.2])

1	Received: from amazon.co.jp (v160-251-1-2.wcb6.static.cnode.io [160.251.1.2])

送信元として、160.251.1.2というIPアドレスと、フィッシング詐欺で最近よく見かけるホスト名が出てきました。

inetnum:        160.251.0.0 - 160.251.255.255
netname:        interQ
descr:          GMO Internet, Inc.
descr:          CERULEAN TOWER,26-1 Sakuragaoka-cho,Shibuya-ku,Tokyo 150-8512,Japan
admin-c:        JNIC1-AP
tech-c:         JNIC1-AP
remarks:        Email address for spam or abuse complaints : abuse@gmo.jp
country:        JP　　　→　（日本）
mnt-by:         MAINT-JPNIC
mnt-lower:      MAINT-JPNIC
mnt-irt:        IRT-JPNIC-JP
status:         ALLOCATED PORTABLE
last-modified:  2018-12-27T02:36:02Z
source:         APNIC

inetnum: 160.251.0.0 - 160.251.255.255

netname: interQ

descr: GMO Internet, Inc.

descr: CERULEAN TOWER,26-1 Sakuragaoka-cho,Shibuya-ku,Tokyo 150-8512,Japan

admin-c: JNIC1-AP

tech-c: JNIC1-AP

remarks: Email address for spam or abuse complaints : abuse@gmo.jp

country: JP　　　→　（日本）

mnt-by: MAINT-JPNIC

mnt-lower: MAINT-JPNIC

mnt-irt: IRT-JPNIC-JP

status: ALLOCATED PORTABLE

last-modified: 2018-12-27T02:36:02Z

source: APNIC

これは日本のGMOインターネットのIPアドレスです。

最近悪用がひどく、フィッシング詐欺でよく見かけるホスト名です。

よって、Return-Pathも含めて偽装されていることが分かりました。

次に、リンクの誘導先について調べてみます。

メール本文をbase64でデコードすると、以下のソースを確認できます。

<P><A href="https://amazon.co.jp.pass-amazon[.]buzz/">クリックしてAmazonに入ります</A></P>

1	<P><A href="https://amazon.co.jp.pass-amazon[.]buzz/">クリックしてAmazonに入ります</A></P>

https://amazon.co.jp.pass-amazon[.]buzz/ですから、Amazonとは無関係となります。

なおIPアドレスは153.122.22.199、証明書は8月8日からのものでした。

このIPアドレスを調べると、

Network Information: [ネットワーク情報]
a. [IPネットワークアドレス]     153.122.20.0/22 (マスク範囲)
b. [ネットワーク名]             DIX-CL
f. [組織名]                     株式会社DIX
g. [Organization]               DIX Co., Ltd.
m. [管理者連絡窓口]             JP00086257
n. [技術連絡担当者]             JP00086257
p. [ネームサーバ]               ns.namedserver.net
p. [ネームサーバ]               ns2.namedserver.net
[割当年月日]                    2012/11/13
[返却年月日]                    
[最終更新]                      2012/11/13 12:20:05(JST)