20240425-A(【東京ガス】ご請求料金確定のお知らせ：フィッシングメール)

2024年4月25日 07:40

◆提供されたメールヘッダーの詳細な分析を行ってください。すべての「Received」行を調査し、各IPアドレスの追跡をしてください。また、SPFとDKIMの結果を解釈し、セキュリティ上の懸念があるかどうかを確認してください。送信元ドメインの信頼性についても評価してください。因みに、niftyのメールサーバーのホスト名とIPアドレスは、これです。
・IPアドレス：106.73.193.32
・ホスト名：M106073193032.v4.enabler.ne.jp
「Return-Path:
james4472@uwef.com
Received:
from ifmta0002.nifty.com
by ibmta0002.nifty.com
with ESMTP
id 20240424113153899.LUMV.85270.ifmta0002.nifty.com@nifty.com
for xxxxxxxx@xxxxx.nifty.ne.jp;
Wed, 24 Apr 2024 20:31:53 +0900
Received:
from mta-fwd-w03.mail.nifty.com([106.153.227.51])
by ifmta0002.nifty.com
with ESMTP
id 20240424113152762.JXHG.78570.mta-fwd-w03.mail.nifty.com@nifty.com
for xxxxxxxx@xxxxx.nifty.ne.jp;
Wed, 24 Apr 2024 20:31:52 +0900
Received:
from ibmta1003.nifty.com
by mta-fwd-w03.mail.nifty.com
with ESMTP
id 20240424113152430.WZCE.122360.ibmta1003.nifty.com@nifty.com
for xxxxxxxx@xxxxx.nifty.ne.jp;
Wed, 24 Apr 2024 20:31:52 +0900
Received:
from ifmta1003.nifty.com
by ibmta1003.nifty.com
with ESMTP
id 20240424113152419.UETZ.122001.ifmta1003.nifty.com@nifty.com
for xxxxxxxx@nifty.ne.jp;
Wed, 24 Apr 2024 20:31:52 +0900
Received:
from uwef.com([85.140.78.19])
by ifmta1003.nifty.com
with ESMTP
id 20240424113149949.MPIN.115283.uwef.com@nifty.com
for xxxxxxxx@nifty.ne.jp;
Wed, 24 Apr 2024 20:31:49 +0900
Received:
from smtpclient ([127.0.0.1])
by smtpserver
via TCP
with ESMTPA;
Wed, 24 Apr 2024 20:31:42 +0900
Authentication-Results:
nifty.com; spf=none smtp.mailfrom=james4472@uwef.com; sender-id=none header.From=james4472@uwef.com;
dkim=none;
dkim-adsp=none header.from=james4472@uwef.com
From:
東京ガス james4472@uwef.com
Date:
Wed, 24 Apr 2024 20:31:42 +0900
Subject:
【東京ガス】ご請求料金確定のお知らせ
Message-Id:
8UKEWS6SVMU4.YOPW66E8JES5@win-mh2lhdb7njc
To:
xxxxxxxx@nifty.ne.jp
MIME-Version:
1.0
Content-Type:
text/html; charset=utf-8
Content-Transfer-Encoding:
base64」

このメールヘッダーの分析を行います。分析には以下の項目が含まれます：

「Received」行の追跡とIPアドレスの調査
SPF（Sender Policy Framework）とDKIM（DomainKeys Identified Mail）の結果の解釈
送信元ドメインの信頼性の評価

1. 「Received」行の追跡とIPアドレスの調査

このメールは、複数のサーバーを経由しています。最後のサーバーから最初のサーバーまでの経路は次の通りです：

smtpclient ([127.0.0.1]): ローカルホスト（送信者のコンピューターまたは内部ネットワークのサーバー）から送信されました。
uwef.com ([85.140.78.19]): このIPアドレスはおそらくuwef.comのサーバーを指しますが、信頼性の高いデータセンターやISPの範疇外である可能性があります。このアドレスを確認してみます。
ifmta1003.nifty.com, ibmta1003.nifty.com, mta-fwd-w03.mail.nifty.com, ifmta0002.nifty.com, ibmta0002.nifty.com: これらはすべてnifty.comの内部メールサーバーであり、日本国内に位置していると考えられます。

2. SPFとDKIMの結果の解釈

SPF: 「spf=none」は、SPFレコードがドメインに設定されていないか、メールがSPFポリシーに一致しないことを意味します。これはセキュリティリスクを示唆しています。
DKIM: 「dkim=none」は、このメールがDKIMによる署名を持っていないことを意味します。これもセキュリティ上の問題です。
dkim-adsp=none: ADSP（Author Domain Signing Practices）レコードがないことを示しています。

3. 送信元ドメインの信頼性

送信元ドメイン「uwef.com」: このドメインは見知らぬもので、詳細を調査する価値があります。特に、送信者が「東京ガス」と名乗っていることは、フィッシング詐欺の可能性があります。

この情報を踏まえ、次のステップとしてIPアドレス「85.140.78.19」のジオロケーションと所有者情報を調べ、送信元ドメイン「uwef.com」の詳細な背景を確認します。

◆IPアドレスの場所はここ。

提供されたスクリーンショットによると、IPアドレス「85.140.78.19」はロシアに位置していることが示されています。ホスト名は「ppp85-140-78-19.pppoe.mtu-net.ru」となっており、これは通常、個人ユーザーがインターネットプロバイダーを通じて接続していることを示すPPPoE接続の一種です。

セキュリティ上の懸念点

ジオロケーション: IPアドレスがロシアにあることは、特に送信者が日本の企業を装っている場合、フィッシング詐欺の可能性を高めます。
ホスト名: ホスト名がISPに関連しているため、これはおそらく一般の家庭または企業のユーザーが割り当てられた動的IPアドレスであることを示唆しています。

送信元ドメイン「uwef.com」について

ロシアのIPアドレスを使用して「東京ガス」を名乗ることは、送信元ドメインが信頼できないという疑念を強めます。また、SPFとDKIMの結果がnoneであるため、このドメインはEメールの送信認証に関する標準的なセキュリティ対策を取っていないと考えられます。

評価

フィッシング: 送信者のドメインとロシアのIPアドレス、さらにSPFやDKIMの結果がnoneであることを総合すると、このメールはフィッシング詐欺の可能性が高いと評価されます。
対策: 受信者はこのメールを開かず、東京ガスの正規の連絡手段を通じて確認を取るべきです。また、このメールは迷惑メールフィルタに報告するべきです。

この情報をもとに、メールの受信者や関連するセキュリティ担当者は適切な措置を講じることが推奨されます。

◆html記述はこれ。ブラウザ画面はこれ。分析して。
「<html><head><meta charset="utf-8"/></head><body> 【myTOKYOGAS】ご請求料金確定のお知らせ 日頃より、myTOKYOGASをご利用いただきありがとうございます。 今月のご請求金額が確定いたしました、期限内にお支払いを完了してください。万一、支払期日を過ぎると、サービスのご供給を【停止】致します。 お支払い期限: 2024/04/25 下記URLよりログインしてお支払いください。 <A href="https://bit.ly/m-sjixnisd">▼ 支払いの詳細リンクエント</A> ※更新の有効期限は、24時間です。 お支払い前に、添付の請求書をご確認いただき、お支払い金額が正確であることをご確認ください。 既にお支払いいただいた場合は、このお知らせを無視していただいて結構です。ご不明な点やご質問がある場合は、お気軽にお問い合わせください。お客様サポートチームがお手伝いいたします。 ご協力とご理解に感謝いたします。早期のお支払いをお待ちしております。 ＊本メールはセキュリティ確保のため送信専用のメールアドレスから自動配信しています。 ご返信いただいてもご対応いたしかねますので、あらかじめご了承願います。発行元：東京ガス株式会社〒105—8527東京都港区海洋1—5—20 Copyright(c)TOKYO GAS Co.,Ltd.All Rights Reserved. s.t.ek.lo.d.e.l.b.y123.45go.od 2e94e4ee7b8f46ddb99c97c281bb109e 【myTOKYOGAS］ご請求料金確定のお知らせ（自動配信メール） </p </body></html>」

提供されたHTMLコードとスクリーンショットから、メールの内容を分析し、以下のポイントを検討します。

メールの形式と内容
- メールは、東京ガスを装った形式をしており、支払いに関する通知のようです。利用者に対して支払いを促している点が見受けられます。
- 支払いリンクが短縮URL「bit.ly/m-sjixnisd」を使用しており、これは疑わしい点です。短縮URLは、実際のリンク先を隠すために使われることがあり、フィッシングサイトへのリンクである可能性があります。
セキュリティ上のリスク
- 短縮URLはユーザーを誤解させることができるため、セキュリティ上のリスクとなります。受信者がこのリンクをクリックすると、悪意のあるサイトに誘導されたり、個人情報を盗まれたりする危険性があります。
- メールの文末にあるランダムに見える文字列（例：s.t.ek.lo.d.e.l.b.y123.45go.od 2e94e4ee7b8f46ddb99c97c281bb109e）は、トラッキングコードや何らかの識別子である可能性があり、受信者の動作を追跡するために使われているかもしれません。
メールの正当性
- メールは自動配信を示しており、返信不能であると主張しています。これは正規の企業からの通知でよく見られる特徴ですが、フィッシングメールでも同様の表現を使うことがあります。
- 会社の住所が記載されていますが、これが正しいかどうかは独自に確認する必要があります。東京ガスの正規のウェブサイトや連絡先情報と照らし合わせることが重要です。

推奨されるアクション

受信者はリンクをクリックしないことをお勧めします。
東京ガスの公式サイトにアクセスして、このメールの正当性を確認してください。
このメールに記載されている住所や電話番号を、公式な情報源と照合してください。

この情報を元に、このメールが正当なものかどうかを慎重に判断する必要があります。通常、公式のコミュニケーションでは、支払いに関する重要な情報が含まれている場合、短縮URLを使用することはありません。また、疑わしいメールが送信された際には、それが詐欺である可能性が高いため、特に注意が必要です。

◆総務省に転送して、お終いにする。サンクス。

了解しました。このメールはフィッシングの疑いが高いため、詐欺や不正な活動を監視・対処している総務省や関連する消費者保護機関に転送すると良いでしょう。あなたの安全を守るための賢明な一歩です。お役に立てて光栄です。また何かあればいつでもどうぞ。

この記事が気に入ったらサポートをしてみませんか？