ども。こんばんは。
うーん。今更こんなのに引っかかるのでしょうか・・・。
From:【りそな銀行】 <[email protected]>
Subject：本人認証サービスこんにちは！
最近、利用者の個人情報が一部のネットショップサーバーに不正取得され、利用者の個人情報漏洩事件が起こりました。
お客様のアカウントの安全性を保つために、「りそな銀行システム」がアップグレードされましたが、お客様はアカウントが凍結されないように直ちにご登録のうえご確認ください。
以下のページより登録を続けてください。
hxxs://mp.resona-gr.co.jp/mypage/[hogehoge] ← リンクになっている。Copyright (c) Resona Holdings, Inc. All Rights Reserved.
Fromは本物のアドレスっぽいですね。(普通にりそなフォルダに振り分けちゃいました・・・)
ちなメールヘッダを見ていると・・・
Received: from 139.201.149.233 (EHLO resona-gr.co.jp) (139.201.149.233)
中国からのようですね。これYahoo!メールに届いたのですが、SPFチェックとかで落ちないものなのだろうか・・・。あれ、SPFレコードない！？
と思っていたら、本物のりそなから来るメールは「resona.resona-gr.co.jp」ですね。。。
あとなぜか、やたら古いメーラを名乗っているのは何故だろう・・・。なにか意味あがあるのかな・・・。
まぁ、Outlook Express謳うSpammerは結構あるらしいので単純にそういうあれを使っているだけなのかな。
X-Mailer: Microsoft Outlook Express 5.00.2919.6700
で、これ本文中のURLはリンクになっていて実際は
hxxp://www.nkhot.com/a/
に飛ばされる模様。
そうすると今度は
hxxp://mp.resona-gr.co.jp.aiaai.cc/[hogehgoe]
に飛ぶ模様。
ドメインは比較的新しようですね。
$ whois aiaai.cc [~]
[Querying whois.nic.cc]
[whois.nic.cc]
Domain Name: AIAAI.CC
Domain ID: 120355722
WHOIS Server: whois.webnic.cc
Referral URL: http://www.webnic.cc
Updated Date: 2016-02-13T19:30:40Z
Creation Date: 2016-02-13T01:52:21Z
Registry Expiry Date: 2017-02-13T01:52:21Z
Sponsoring Registrar: WEB COMMERCE COMMUNICATIONS LIMITED DBA WEBNIC.CC
Sponsoring Registrar IANA ID: 460
Domain Status: clientDeleteProhibited https://icann.org/epp#clientDeleteProhibited
Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
Domain Status: clientUpdateProhibited https://icann.org/epp#clientUpdateProhibited
Name Server: NS1.THDNS.COM
Name Server: NS2.THDNS.COM
DNSSEC: unsigned
(以下略)
とんだ先はりそな銀行とそっくり。
ソースコードもコピーしているみたいですね。
その後どうなるかは調べていませんが、たまにはこういうのの先を追いかけてみるのも面白いかもしれませんね。
クロール用のクライアントを作ったあたりで満足して終わりそうですが・・・。
りそな銀行からの注意喚起はこちら。今回紹介したメールも載っています。
http://www.resonabank.co.jp/direct/gochui/detail/20110907.html
ではでは。またの機会に。