見出し画像

20240322-A(えきねっと・【重要なお知らせ】会員情報変更および退会に関するお知らせ・フィッシングメール)

ヒル

提供されたメールヘッダーの詳細な分析を行ってください。すべての「Received」行を調査し、各IPアドレスの起源を特定してください。また、SPFとDKIMの結果を解釈し、セキュリティ上の懸念があるかどうかを確認してください。送信元ドメインの信頼性についても評価してください。因みに、niftyのメールサーバーのホスト名とIPアドレスは、これです。
・IPアドレス：106.73.193.32
・ホスト名：M106073193032.v4.enabler.ne.jp
「Return-Path:
admin@segplc.com
Received:
from ifmta1009.nifty.com
by ibmta1009.nifty.com
with ESMTP
id 20240322021132764.QBAG.106124.ifmta1009.nifty.com@nifty.com
for xxxxxxxx@xxxxx.nifty.ne.jp;
Fri, 22 Mar 2024 11:11:32 +0900
Received:
from mta-fwd-e09.mail.nifty.com([106.153.226.57])
by ifmta1009.nifty.com
with ESMTP
id 20240322021131857.YBAD.103553.mta-fwd-e09.mail.nifty.com@nifty.com
for xxxxxxxx@xxxxx.nifty.ne.jp;
Fri, 22 Mar 2024 11:11:31 +0900
Received:
from ibmta0019.nifty.com
by tmta0019.nifty.com
with ESMTP
id 20240322021131698.IBQF.14676.ibmta0019.nifty.com@nifty.com
for xxxxxxxx@xxxxx.nifty.ne.jp;
Fri, 22 Mar 2024 11:11:31 +0900
Received:
from ifmta0019.nifty.com
by ibmta0019.nifty.com
with ESMTP
id 20240322021131676.JXGH.82168.ifmta0019.nifty.com@nifty.com
for xxxxxxxx@nifty.ne.jp;
Fri, 22 Mar 2024 11:11:31 +0900
Received:
from mail5.segplc.com([107.173.154.194])
by ifmta0019.nifty.com
with ESMTP
id 20240322021131448.VUFT.80161.mail5.segplc.com@nifty.com
for xxxxxxxx@nifty.ne.jp;
Fri, 22 Mar 2024 11:11:31 +0900
Authentication-Results:
nifty.com; spf=fail smtp.mailfrom=admin@segplc.com; sender-id=fail header.From=admin@segplc.com;
dkim=pass header.i=admin@segplc.com;
dkim-adsp=pass header.from=admin@segplc.com
DKIM-Signature:
v=1; a=rsa-sha256; c=relaxed/relaxed; s=default; d=segplc.com;
h=Date:From:To:Subject:MIME-Version:Message-ID:Content-Type; i=admin@segplc.com;
bh=LMwy/uhsyObFIDbGPuJN8PEYuvmaOkRiE1MspxPzgIQ=;
b=u4Yx1HQ+xSgcY7qNnRqUjmnAd9Ho5sjcju5UU+roTlv9x5EUogMetjU1oGW1XdYn2k+jHBJbsNSs qOI6BTY0WtP96bCS75u2nPaDRAplXuEtOL9h7zJlIvW+gYgj6+XmO79uRjw5qI4UyE+xObBsqz7e Fj42B/VkGhzedkR6Bto=
Date:
Fri, 22 Mar 2024 03:39:26 +0900
From:
えきねっと admin@segplc.com
To:
xxxxxxxx xxxxxxxx@nifty.ne.jp
Subject:
【重要なお知らせ】会員情報変更および退会に関するお知らせ
MIME-Version:
1.0
Message-ID:
32333BB7.3966188@lqzgmmnyu
Content-Type:
multipart/alternative;
boundary="NetEase-FlashMail-001-b1f29449-a459-4c2c-4f50-d94c9220349f"」

このメールヘッダーの詳細な分析に基づき、各「Received」行からのIPアドレスの起源を確認し、SPFとDKIMの結果を解釈し、送信元ドメインの信頼性を評価します。

IPアドレスの追跡と起源の確認

  1. 107.173.154.194 (mail5.segplc.com) - このIPはメールが最初に発信された場所です。IPの地理的位置や信頼性は後ほど確認します。

  2. 106.153.226.57 (mta-fwd-e09.mail.nifty.com) - Niftyのメール転送サーバーに関連するIPです。このサーバーは日本に位置していると予想されます。

  3. 106.73.193.32 (M106073193032.v4.enabler.ne.jp) - これはあなたが提供したNiftyのメールサーバーです。このサーバーが中継点として機能していることを示しています。

SPFとDKIMの結果の解釈

  • SPF (Sender Policy Framework): `fail` この結果は、`admin@segplc.com`からのメールがsegplc.comのSPFレコードに定義された送信ポリシーに合致していないことを意味します。これは、送信元が偽装されている可能性があることを示唆しています。

  • DKIM (DomainKeys Identified Mail): `pass` これは、メールが送信された際にDKIMによって署名され、受信側でその署名が正しく検証されたことを意味します。DKIMの通過は、メールの内容が途中で改ざんされていないことを示しています。

  • DKIM-ADSP (Author Domain Signing Practices): `pass` これは、ドメインがDKIM署名の実践を支持しており、このメールがその基準を満たしていることを示しています。

送信元ドメインの信頼性

  • ドメイン (segplc.com): このドメインの信頼性は、公開されているSPFレコードの設定不備（SPFチェック失敗）とDKIMによる成功した検証（メール内容の真正性保証）の間で矛盾しています。SPF失敗は、ドメイン名の誤用または偽装の可能性を示唆していますが、DKIMの成功はメールの完全性を保証しています。

セキュリティ上の懸念

  • SPFの失敗はセキュリティ上の懸念を引き起こします。これは、送信者アドレスが偽装されている可能性があることを示しています。受信者は、特に個人情報の共有や重要な操作を求めるメールに対しては、慎重に対応する必要があります。

まとめ

このメールはDKIMによる署名検証には合格していますが、SPFの失敗により送信元の正当性に疑問が残ります。受信者はメールの内容やリンクを慎重に扱い、信頼性の低い行動を避けるべきです。また、ドメインの信頼性やIPアドレスの起源について追加の調査を行うことをお勧めします。

IPアドレスの場所はここ。

ありがとうございます。提供されたスクリーンショットから、2つのIPアドレスの位置情報を確認することができます。

  1. 107.173.154.194 (mail5.segplc.com) - このIPアドレスはアメリカ合衆国カリフォルニア州サンタクララにあるとされています。これはメールが最初に発信された場所で、セキュリティ上の懸念を抱えている可能性のあるドメイン名segplc.comに関連しています。

  2. 106.153.226.57 (mta-fwd-e09.mail.nifty.com) - このIPアドレスは日本にあり、Niftyのメール転送サーバーに関連しています。この位置情報は、メールがnifty.comの正規のインフラストラクチャを経由していることを確認しています。

これらの情報を踏まえると、メールはアメリカから日本のNiftyサーバーを経由して最終的な受信者に送信されたと考えられます。ただし、SPFの失敗は、メールが送信元ドメインで指定されたメールサーバーから送信されていないことを示しており、悪意ある送信元による可能性があります。これに対して、DKIMの合格はメールの内容の完全性を保証しているため、メールが改ざんされていないことを示しています。

受信者は、メールの信頼性をさらに検証するために、このメールに含まれるリンクや添付ファイルを開かないよう注意し、送信元のドメインに対して追加の調査を行うべきです。また、メールの内容に関しては、直接対象のサービスプロバイダや企業に問い合わせを行い、真正性を確認することをお勧めします。

テキスト部分はこれ。
「日頃より「えきねっと」をご利用いただきありがとうございます。

3月21日にセキュリティシステムを全面的にリニューアルしましたため、7日以上にログインしていない方は、今後の利用に支障が出ないよう、このメールを受信後、早急にログインをして個人情報を更新してくださ。

ログイン

3月31日までにご記入ください。ご記入がない場合は、退会手続きをとらせていただきます。

お客さまにはご不便をおかけいたしますが、何卒ご理解を賜りますようお願い申し上げます。

※このメールは「えきねっと」より自動配信されています。
返信いただきましても対応致しかねますので、あらかじめご了承ください。

※このメールも重要なシステム通知としてメールを受けたくない顧客に送信されます。ご理解いただき、ありがとうございます。

発行：株式会社JR東日本ネットステーション

〒151-0051 東京都渋谷区千駄ヶ谷 5-20-11 アグリスクエア新宿2階

Copyright © 2024 JR East Net Station Co.,Ltd. Version CP-32103237490」

メールのテキスト内容から、これは「えきねっと」というサービスからのセキュリティシステム更新の通知を含む自動配信メールであると理解できます。メールにはユーザーに対して、新しいセキュリティシステムに対応するために早急にログインし、個人情報の更新を行うよう指示しています。さらに、指定された日付までに行動を取らないと、退会手続きが取られることが述べられています。

しかし、前にメールヘッダーの分析からSPFの失敗が指摘されていたこと、およびメールにログインを促すリンクが含まれていることを鑑みると、このメールはフィッシング詐欺である可能性が高いです。実際に「えきねっと」が提供するサービスであるかどうかを、正式なチャネルを通じて確認する必要があります。例えば、公式ウェブサイトにアクセスする、または顧客サービスに直接連絡するなどです。

メールに記載されている内容が本物であるかどうかを確認するためには、以下のステップを踏むことをお勧めします。

  1. 公式ウェブサイトへのアクセス: ブラウザを使い、検索エンジンやブックマークから「えきねっと」の公式サイトにアクセスしてください。メールで提供されたリンクを使用しないでください。

  2. セキュリティ通知の確認: 公式サイトでセキュリティ更新に関する通知が公表されているかを確認します。

  3. カスタマーサポートへの問い合わせ: メールの合法性が疑わしい場合、公式サイトに記載されている連絡先情報を使用して、カスタマーサポートに直接問い合わせます。

  4. リンクやボタンをクリックしない: メール内のリンクやボタンはクリックしないようにし、ログイン情報を入力する前にURLが正しいことを確認してください。

  5. 個人情報の提供を避ける: 公式と確認できるまでは、個人情報の提供は控えるべきです。

このようなメールはよく作りが精巧であり、正規のサービスからのものと見分けがつかないことがあります。したがって、セキュリティを保つためには慎重な行動が求められます。

html記述はこれ。ブラウザ画面はこれ。分析して。
「<CENTER> <TABLE> <TBODY> <TR> <TD style="WIDTH: 640px; BORDER-COLLAPSE: collapse !important; WORD-BREAK: break-all !important; PADDING-BOTTOM: 0px; PADDING-TOP: 0px; PADDING-LEFT: 0px; MARGIN: 0px auto; PADDING-RIGHT: 0px"> <DIV style="FONT-SIZE: 14px; TEXT-DECORATION: none; FONT-FAMILY: Ember,Helvetica,Arial,sans-serif; WORD-BREAK: break-all !important; FONT-WEIGHT: 400; COLOR: black"> <P style="HEIGHT: 4px; LINE-HEIGHT: 4px; BACKGROUND-COLOR: #407d52"></P><BR> <P>日頃より「えきねっと」をご利用いただきありがとうございます。</P><BR> <P>3月21日にセキュリティシステムを全面的にリニューアルしましたため、7日以上にログインしていない方は、今後の利用に支障が出ないよう、このメールを受信後、早急にログインをして個人情報を更新してくださ。</P><BR> <DIV style="TEXT-ALIGN: center; DISPLAY: block"><A style="BOX-SIZING: border-box; TEXT-DECORATION: none; MAX-WIDTH: 100%; FONT-FAMILY: arial,helvetica,sans-serif; WIDTH: auto; COLOR: rgb(255,255,255); TEXT-ALIGN: center; DISPLAY: inline-block; BACKGROUND-COLOR: rgb(64,125,82); border-radius: 4px; -moz-border-radius: 4px; -webkit-border-radius: 4px; -ms-word-wrap: break-word; -webkit-text-size-adjust: none; overflow-wrap: break-word; mso-border-alt: none" href="https://p4d43p0jn3c42m2z3wiykqes001b.com-kau.com" target=_blank><SPAN style="PADDING-BOTTOM: 13px; PADDING-TOP: 13px; PADDING-LEFT: 23px; DISPLAY: block; LINE-HEIGHT: 120%; PADDING-RIGHT: 23px">ログイン</SPAN></A></DIV><BR> <P>3月31日までにご記入ください。ご記入がない場合は、退会手続きをとらせていただきます。</P> <P>お客さまにはご不便をおかけいたしますが、何卒ご理解を賜りますようお願い申し上げます。</P><BR> <P>※このメールは「えきねっと」より自動配信されています。<BR>返信いただきましても対応致しかねますので、あらかじめご了承ください。</P> <P>※このメールも重要なシステム通知としてメールを受けたくない顧客に送信されます。ご理解いただき、ありがとうございます。</P><BR><BR> <P>発行：株式会社JR東日本ネットステーション</P> <P>〒151-0051 東京都渋谷区千駄ヶ谷 5-20-11 アグリスクエア新宿2階</P><BR><BR> <DIV style="PADDING-BOTTOM: 10px; PADDING-TOP: 10px; PADDING-LEFT: 10px; PADDING-RIGHT: 10px; BACKGROUND-COLOR: rgb(64,125,82); -ms-word-wrap: break-word"> <P style="FONT-SIZE: 14px; TEXT-ALIGN: center"><SPAN style="FONT-SIZE: 8px; COLOR: rgb(255,255,255); LINE-HEIGHT: 11px">Copyright © 2024 JR East Net Station Co.,Ltd. Version CP-32103237490</SPAN></P></DIV></DIV></TD></TR></TBODY></TABLE></CENTER>」

メールイメージ

このHTML記述とブラウザ画面のスクリーンショットを分析すると、いくつかのセキュリティ上の警告サインが見受けられます。

まず、HTMLに埋め込まれているリンクは、視覚的には信頼できるように見えますが、`href`属性に指定されているURLが怪しいところです。具体的には、`href="https://p4d43p0jn3c42m2z3wiykqes001b.com-kau.com"`という部分が疑問を呼びます。このURLは、一般的なドメイン構造に従っていないように見え、ランダムな文字列のように見えます。これはフィッシング詐欺の一般的な手口で、利用者を偽のウェブサイトに誘導し、そこで個人情報やログイン情報を盗み出すためのものです。

また、HTMLの構造が非常にシンプルであり、そのスタイリングが基本的であることから、専門的に作成された企業のメールであればもう少し複雑かつ洗練されていることが期待されます。これもフィッシングの可能性を高める一因です。

加えて、記載されている住所はJR東日本ネットステーションが実際に存在するかどうかは別として、この住所が実際の事業所に関連しているかは不明です。そして、メールのコピーライト部分にあるバージョン情報がどのような意味を持つのか不明瞭です。

フィッシング詐欺メールは、一般に急を要するアクションを促す内容が多いですが、このメールにも「早急にログインをして個人情報を更新してくださ」という緊急を要するアクションが記載されています。このような表現は、利用者を焦らせて考える暇を与えずに、リンクをクリックさせようとする典型的な手法です。

要約すると、このHTML記述とブラウザ画面は、フィッシング詐欺の可能性が非常に高いと思われます。もし受け取った場合は、リンクをクリックせず、既知の連絡方法でサービスプロバイダーに直接確認を取るべきです。

総務省に転送して、お終いにする。サンクス。

フィッシング詐欺を疑うメールを受け取った場合、それを総務省や警察などの公的機関に報告するのは適切な対応です。これにより、他のユーザーが被害に遭うことを防ぐことができるかもしれません。お住まいの国によって報告の手順は異なる可能性があるため、総務省または地元の消費者保護機関のウェブサイトを参照し、推奨される報告方法に従ってください。

お役に立てて嬉しいです。これ以上のアシストが必要であれば、いつでもどうぞ。サンクス！

この記事が気に入ったらサポートをしてみませんか？