MUFGカードのフィッシングメールが届いた。

MUFG カードのフィッシングメールを調査

Gmail の迷惑メールに振り分けられていたが 2019年 5月 24日付けで【重要：必ずお読みください】というタイトルの MUFG を騙るフィッシングメールが届いていたので少し調べてみた。

メール本文は下記のような内容。

MUFGカードWEBサービスご登録確認

いつも MUFG カード WEB サービスをご利用いただき、ありがとうございます。
この度、MUFG カード WEB サービスに対し、第三者によるアクセスを確認いたしました。
万全を期すため、本日、お客様のご登録ＩＤを以下のとおり暫定的に変更させていただきました。
お客様にはご迷惑、ご心配をお掛けし、誠に申し訳ございません。
何卒ご理解いただきたくお願い申しあげます。

http://www.xxxx-xx.xxx/xxxxxx/xx

上記 MUFG カード WEB サービスＩＤは弊社にて自動採番しているものですので、弊社は、インターネット上の不正行為の防止・抑制の観点からサイトとしての信頼性・正当性を高めるため、大変お手数ではございますが、下記ＵＲＬからログインいただき、任意のＩＤへの再変更をお願いいたします。

なお、新たなＩＤ? パスワードは、セキュリティの観点より「 8桁」のご登録を強くおすすめいたします。

http://www.xxxx-xx.xxx/xxxxxx/xx

＊他のサイトでも同じＩＤをご利用の場合には、念のため異なるＩＤへの変更をおすすめいたします。

よくある自動翻訳の文章と異なり自然な日本語文章でもっともらしい内容になっているが「弊社は、」に対する述語が無いなど詰めが甘い。

はじめは URL が「 https:// 」になっていないことも疑問に感じたが、MUFG の公式サイトもログインするカード選択ページは「 http://www.cr.mufg.jp/select/login.html 」で保護されていなかった。

送信元は　 MUFG カード <takeshi-kimiya@ai.tnc.ne.jp>

ドメインを検索してみたものの該当なし。
ちなみにクレジットカード会社が個人名でメールを送ってくることはない。

宛先は　“****.*****” <****.*****@jbinc.co.jp>

表示されている氏名は名前の部分は合っているものの名字が異なっており、メールのドメインも適当でドメインも登録がなかったのでメールヘッダーを確認。

Received: from m-out-com.basmail.jp (m-out-com.basmail.jp. [2403:7800:5021::57])
by mx.google.com with ESMTPS id ********.2019.05.24.10.07.29
for <****.****@gmail.com>
Fri, 24 May 2019 10:07:30 -0700 (PDT)

「 m-out-com 」を検索すると東京本社の「エムアウト」という企業がヒットするものの無関係っぽいので、社団法人日本ネットワークインフォメーションセンター（ JPNIC ）で IP アドレスを検索。

社団法人日本ネットワークインフォメーションセンター（JPNIC）

送信元は東証一部の「株式会社 TOKAI コミュニケーションズ」。

偽装していなければ使用したメールクライアントソフトは「 Microsoft Outlook 16.0 」。

Gmail であればデカデカと「このメールにはご注意ください」とフィッシングメールであることを警告してくるだけでなく、リンクも削除されるので酔狂でなければアクセスすることはないはず。

記載されている URL を強引に開こうとすれば今度はセキュリティソフト ( ESET Internet Security ) が反応する。

スマホの無料セキュリティアプリ Sophos Mobile Security もきっちり仕事をしている。

VirusTotal でメールに記載されていた URL を調べたところ「 Sophos 」や「 BitDefender 」など 3 件のセキュリティアプリが「 Malicious ( 悪意のある ) 」もしくは「 Phishing 」と判定。

次に「 Aguse.jp 」で調べてみたらメタタグは公式の MUFG と全く同じという手の込みよう。

IP アドレスの管理元は香港で記載されている住所を検索すると「 HSBC ( 香港上海銀行 ) 」の住所と一致した。

記載された URL にアクセスしてみると公式サイトとそっくり！
ただ現在公式サイトでは「 My JCB 」のアイコンは消えている。

本来の MUFG カードはカードブランド選択後に「 ID 」と「パスワード」でログインし、更に「生年月日」または「電話番号」での認証が必要になるのだが、詐欺サイトはログインなしにカード番号の入力フォームが表示され、URL も保護されていない「 http:// 」のままになっているものの MUFG , DC , NICOS など各ブランドのフォームデザインも同じ。

フォーム入力後も URL が保護されていないだけでよく見かける動作をする。

ソースを見ても日本語のカタカナや漢字が使われているのだが一部隠しきれていなかった（笑）
「错误信息」とは「エラー情報」のことらしい。

Aguseの「ブラックリスト判定結果」では「非営利団体 SPAMHAUS プロジェクトによる IP アドレスベースの送信者ブラックリスト ( https://www.spamhaus.org/sbl/ ) 」に該当。

このフィッシングメールは手当たり次第に発送されているのか MUFG カード会員宛に発送されているのかが気になるところだが、公式サイトでも注意喚起されており Gmail でもフィッシング判定されているので、普通にセキュリティ対策を行っていればまず詐欺に合うことはないはず。

また MUFJ の場合カードの不正利用が発覚した時点でカードは利用不能になる。

MUFGカードのフィッシングメールが届いた。

またカードが不正利用された。

関連記事

マルウェアの種類と概要

ProtonMail インポートツールの使い方

ProtonMail custom domain – 独自ドメインの追加

Synology Diskstation での Resillo Sync 利用方法

Synology Diskstation のダイナミックDNS導入