見出し画像

20240324-A(楽天e-NAVI・不正利用が疑われます：情報の確認が必要です：フィッシングメール)

ヒル

提供されたメールヘッダーの詳細な分析を行ってください。すべての「Received」行を調査し、各IPアドレスの起源を特定してください。また、SPFとDKIMの結果を解釈し、セキュリティ上の懸念があるかどうかを確認してください。送信元ドメインの信頼性についても評価してください。因みに、niftyのメールサーバーのホスト名とIPアドレスは、これです。
・IPアドレス：106.73.193.32
・ホスト名：M106073193032.v4.enabler.ne.jp
「Return-Path:
junfan310@miedf.com
Return-Path:
junfan310@miedf.com
Received:
from ifmta1002.nifty.com
by ibmta1002.nifty.com
with ESMTP
id 20240324042848467.VQDK.65872.ifmta1002.nifty.com@nifty.com
for xxxxxxxx@xxxxx.nifty.ne.jp;
Sun, 24 Mar 2024 13:28:48 +0900
Received:
from mail-pj1-f66.google.com([209.85.216.66])
by ifmta1002.nifty.com
with ESMTP
id 20240324042848193.PURR.63990.mail-pj1-f66.google.com@nifty.com
for xxxxxxxx@xxxxx.nifty.ne.jp;
Sun, 24 Mar 2024 13:28:48 +0900
Received:
by mail-pj1-f66.google.com
with SMTP
id 98e67ed59e1d1-29de4c33441so2365282a91.1
for xxxxxxxx@xxxxx.nifty.ne.jp;
Sat, 23 Mar 2024 21:28:48 -0700 (PDT)
Received:
from dechets-industriels.com ([2001:19f0:6001:52e3:5400:4ff:fed2:3ea8])
by smtp.gmail.com
with ESMTPSA
id s8-20020a62e708000000b006ea9252eaabsm2150067pfh.18.2024.03.23.21.28.46
for xxxxxxxx@xxxxx.nifty.ne.jp (version=TLS1 cipher=ECDHE-ECDSA-AES128-SHA bits=128/128);
Sat, 23 Mar 2024 21:28:46 -0700 (PDT)
Authentication-Results:
nifty.com; spf=permerror smtp.mailfrom=junfan310@miedf.com; sender-id=permerror header.From=junfan310@miedf.com;
dkim=pass header.i=@miedf.com;
dkim-adsp=pass header.from=junfan310@miedf.com
DKIM-Signature:
v=1; a=rsa-sha256; c=relaxed/relaxed; d=miedf.com; s=google; t=1711254527;
x=1711859327; darn=mba.nifty.ne.jp; h=content-transfer-encoding:mime-version:date:subject:to:message-id :from:from:to:cc:subject:date:message-id:reply-to;
bh=KYLhD8JuMFIwes37epFnrjQPR4MFF/Yuk/3WPQkPeAc=;
b=jAAfXnT+dqaVk6QgGe0ko6TMUQEH5IggWGqEU+dhMHrvW6x1O1BW8aRy/IaTM1N5Uj vkizgBRwLjGG4NBQeAikMZKTogGf3ftQDP9YQEgFlj6AjgMFXS4fkp4LnQZ7pmbUiGm/ 6sJ+MEEoYnrXNC84suX2ecQrrkNw2eQvFW4hfq9keMA0eaqvSdX3sai/2tKdNrHKjX+S Oe3YgNwxbBQ4hC5kMaxfVQ7Q+e/VTwM2jfhaUPY44ld13vVyStfszFUOM1LUEbsf0fmA 7+EboAvYmrHHwnQpIGdRoGGQKxmJ/e0e04WQrCtbupxAoBau6CelcMfZAoNE2SSNVN4N kVZg==
X-Google-DKIM-Signature:
v=1; a=rsa-sha256; c=relaxed/relaxed; d=1e100.net; s=20230601;
t=1711254527; x=1711859327; h=content-transfer-encoding:mime-version:date:subject:to:message-id :from:x-gm-message-state:from:to:cc:subject:date:message-id:reply-to;
bh=KYLhD8JuMFIwes37epFnrjQPR4MFF/Yuk/3WPQkPeAc=;
b=CF8uWSX3UEoicFCeZELFmepL2M72rrK6rMK7e30jyIIbiGUBRekHK/PpEuuXR/MNDo d4VwmNA3m8KDhhYlqL2ibl/RYlCGiCIXhPV6DPKh/wp9OPO367LYCYNpo7WP2JwHn2+Y 0tW+KOrK2FNOK2WFyp/j8dtV+XkzK7z97jGhLEO5ksbfzzp4mq1veuLsiad8noCQ4ww7 pOY3C1qYxq0m/Dumu6ljOUhJ0rm/yjcTluWrGa1T14xb2ee9WQcHYPX6VCz6f/PGOa7F K1DbVTM57uxps/KJPkco4WnVRE3Zxyni/61dX49DU+Y33wa1BFEV4fU6oqy2TEVy/uJr M3cg==
X-Gm-Message-State:
AOJu0YzC7/JEiYXvKBvl1HDrm54CXaF0S9HAKsOL+lwHE1abFfvP53b2 QmKb8uf9Ukqdby4sdW/Uc7pkDVWVNfL/j7zYJ6Dq+xDxmpOy3a8RaZINa/UwS2Tln8TfK2e/307 R1bQ=
X-Google-Smtp-Source:
AGHT+IGAYtJSrSd8gVfBV/j292Q6R1H3vQuoMmYGc/UAK3JE0ZiLG16U8iIlc21aozHcjuLheEpawA==
X-Received:
by 2002:a05:6a00:1897:b0:6ea:77ca:d0f9 with SMTP id x23-20020a056a00189700b006ea77cad0f9mr4061821pfh.23.1711254526639;
Sat,
23 Mar 2024 21:28:46 -0700 (PDT)
From:
楽天e-NAVI junfan310@miedf.com
X-Google-Original-From:
楽天e-NAVI r-news@right-on.co.jp
Message-ID:
a594569f91a77bce3500aaf80f3daa7a@right-on.co.jp
To:
xxxxxxxx@xxxxx.nifty.ne.jp xxxxxxxx@xxxxx.nifty.ne.jp
Subject:
不正利用が疑われます：情報の確認が必要です
Date:
Sun, 24 Mar 2024 04:28:45 +0000
X-Priority:
3
X-Mailer:
Flki Gqolo 1.4
MIME-Version:
1.0
Content-Type:
text/plain; charset="utf-8"
Content-Transfer-Encoding:
8bit」

このメールヘッダーの分析を行うにあたり、いくつかの重要なポイントを検討します。特に、各「Received」行のIPアドレスの起源、SPFとDKIMの結果、そして送信元ドメインの信頼性に焦点を当てます。

各「Received」行の分析

  1. 最初の「Received」行（最下部に位置）

    • IPアドレス: `2001:19f0:6001:52e3:5400:4ff:fed2:3ea8`

    • 起源: `dechets-industriels.com` ドメインからのIPv6アドレス。

    • 評価: IPv6アドレスは正確な地理的位置を特定することが難しいが、ドメイン名から企業や団体名が見えるため、関連するセキュリティリスクを評価するためには、このドメインの評判を調査する必要がある。

  2. Googleによる受信

    • IPアドレス: `209.85.216.66`

    • 起源: `mail-pj1-f66.google.com`

    • 評価: Googleのメールサーバーであるため、この段階では信頼性は高い。Googleのメールサーバーは広く使われており、そのIPアドレスは一般的に信頼されている。

  3. Niftyへの転送

    • IPアドレス: 提供されていない。

    • 起源: `ifmta1002.nifty.com`

    • 評価: Niftyは日本の有名なインターネットサービスプロバイダーであり、この転送は正常なメールルーティングプロセスの一部と見なすことができる。

SPFとDKIMの結果

  • SPF（Sender Policy Framework）: `permerror`と表示されており、SPFレコードの検証でエラーが発生しています。これは、メールが送信されたドメインのSPFレコードが正しく設定されていないか、メールが正当な送信元から来ていない可能性を示唆しています。

  • DKIM（DomainKeys Identified Mail）: `pass`という結果が得られています。これは、メールが改ざんされずに送信され、送信元ドメインがメールの真正性を証明できることを意味します。

送信元ドメインの信頼性

  • 送信元ドメイン: `miedf.com`

  • DKIMの結果が`pass`であることから、ドメイン自体はメールの認証を通過していますが、SPFの`permerror`は懸念事項です。ドメインの評判やその他のセキュリティメカニズムを確認する必要があります。

セキュリティ上の懸念

  • SPFの`permerror`は、ドメインのSPFレコードに問題があるか、メールの送信元が正規でない可能性があることを示しています。これは、フィッシングやスパムの可能性を指摘しています。

  • ただし、DKIMが`pass`しているため、メールが改ざんされていないことは確認できます。これは、メールの真正性には一定の保証があることを意味しますが、元の送信者が信頼できるかどうかは別の問題です。

結論

このメールは、SPFの検証エラーにより注意が必要な点がありますが、DKIMによる認証はパスしているため、メールの内容が改ざんされていないことは確かめられます。しかし、メールの送信元となっている`miedf.com`ドメインに関して、SPFの`permerror`結果は、このドメインからのメールに対する警戒を促します。特に、不正利用を疑わせるようなメール件名が使われている場合、受信者はより一層の注意を払うべきです。

さらに、メールの`From`フィールドに`楽天e-NAVI junfan310@miedf.com`とあり、`X-Google-Original-From`には`楽天e-NAVI r-news@right-on.co.jp`と記載されています。これは、送信者が実際には楽天とは無関係である可能性を示唆しており、フィッシング詐欺の一種である可能性があります。このようなメールは、受信者に個人情報やログイン情報を入力させることを目的としている場合が多いため、特に注意が必要です。

加えて、`Authentication-Results`フィールドでの`nifty.com; spf=permerror`の結果は、メールがnifty.comのメールサーバーを経由しているにもかかわらず、SPFポリシーに違反していることを示しています。これは、メール送信者がSPFレコードに登録されていないIPアドレスからメールを送信しているか、またはSPFレコード自体に問題があることを意味します。

最後に、送信元ドメイン`miedf.com`の信頼性については、ドメインの評判や過去の不正行為の履歴など、追加の情報なしに確実な評価をすることは難しいです。しかし、SPFのエラーと、送信元アドレスと表示されているアドレスの不一致は、セキュリティ上のリスクが高いと考える十分な理由となります。

受信者としては、メールに記載されているリンクをクリックしたり、個人情報を提供したりする前に、メールの真正性を別の方法で確認することが推奨されます。具体的には、公式ウェブサイトに直接アクセスする、またはサービスプロバイダに直接問い合わせるなどの手段が考えられます。

IPアドレスの場所はここ。

見える2つのスクリーンショットから、IPv6とIPv4アドレスの両方に関する情報が提供されています。これらの情報を元のメールヘッダー分析と組み合わせて、さらに詳細な評価を行います。

  1. IPv6アドレス `2001:19f0:6001:52e3:5400:4ff:fed2:3ea8`

    • 位置情報: アメリカ合衆国、ロサンゼルス。

    • このアドレスはメールヘッダーの最初の「Received」行に存在し、`dechets-industriels.com` ドメインからのものであることが示されています。ロサンゼルスに位置しているという事実は、ドメインがアメリカに拠点を置いている可能性があることを示しています。ただし、IPアドレスが実際にそのドメインに関連しているかどうか、またそのドメインの信頼性については、追加の調査が必要です。

  2. IPv4アドレス `209.85.216.66`

    • 位置情報: アメリカ合衆国。

    • このIPアドレスは`mail-pj1-f66.google.com`に関連しており、Googleのメールサーバーであることが示されています。Googleは信頼性が高く、一般的にセキュアなサービスと見なされているため、この段階での送信は正当と考えられます。

セキュリティ上の懸念と結論

  • SPFの`permerror`は通常、ドメインのSPFレコードが不完全、不適切、またはメールサーバーによって正しく処理されていないことを意味します。これはメールの信頼性に対する警告サインとなります。

  • DKIMが`pass`していることは良い兆候ですが、これだけでメールが安全であると断定するには不十分です。特に、メールに表示されるドメインと実際の送信元ドメインが異なる場合は、フィッシング詐欺の可能性があります。

メールの信頼性について詳しく評価するためには、`miedf.com`ドメインの評判を調べる必要があります。また、メールの内容や文脈が怪しいと感じる場合は、直接そのドメインに接触せず、信頼できる手段を通じて更なる検証を行うべきです。特に、メールが「不正利用が疑われる」と主張し、個人情報の確認を要求している場合には、高い警戒を要します。フィッシング詐欺ではよく見られる手口であり、正規の企業からのメールであれば、そうした要求は直接的なコミュニケーションチャネルを通じて行われることが一般的です。

えーっと、そのドメインは、、

この新しいスクリーンショットによれば、`miedf.com` ドメインについての情報が「false」となっていることが示されています。これは、提供された情報が存在しないか、あるいはドメインが認識されていないことを意味する可能性があります。これはセキュリティ上の懸念を高めるもので、以下の理由によります：

  • ドメインが存在しない、または情報が不足している場合、メールが正規の送信源から来ているとは考えにくいです。フィッシング詐欺やスパムメールにおいて、実際には存在しない、または信頼性の低いドメインを使用することが一般的です。

  • DKIMが`pass`していても、SPFの`permerror`とドメイン情報の不在は、メールの信頼性を疑う大きな理由です。

この情報を踏まえると、メールが示唆する内容（不正利用の疑い）に対しては、特に警戒を強める必要があります。実際のサービスプロバイダーからの連絡であることを確認するまでは、メールに含まれるリンクをクリックしたり、個人情報を提供したりしないようにするべきです。また、もしメールが知っている企業からのものであるように見える場合でも、その企業の公式ウェブサイトに直接アクセスし、問題について確認することが推奨されます。

このようなケースでは、通常、メールの文言、使用されている言語の質、添付されているドメイン名や送信元アドレスの妥当性など、メールの他の要素も総合的に評価することが重要です。

テキスト部分はこれ。
「尊敬なる楽天カード会員の皆様、

いつも楽天カードをご利用いただきまして、誠にありがとうございます。お客様のセキュリティを最優先に考え、不正検知システムにより一部のカードご利用分に
ついて決済を一時停止させていただきましたことをお知らせいたします。

楽天カードは、会員様の安心してカードをご利用いただくために、不正使用の防止としてご利用確認を行っております。お手数をおかけいたしますが、以下のリン
クからご利用内容の確認をお願いいたします。

【ご利用内容の確認はこちら】
[確認リンク]:https://marinersgreenno3hoa.com

なお、メール送信より72時間経過しますとURLは無効となりますので、ご注意ください。確認が完了するまで、カードのご利用が再開されませんので、早めの
ご対応をお願いいたします。

※楽天e-NAVIのトップページへログインいただいた場合でも、画面上部のご案内よりご利用内容を確認いただけます。

何かご不明点やご質問がございましたら、弊社カスタマーサポートまでお気軽にお問い合わせください。ご理解とご協力を賜」

提供されたテキストとメールヘッダーの情報を組み合わせて考えると、以下のポイントがセキュリティの観点から注目すべきです。

  1. 送信元ドメイン: メールヘッダーにある送信元ドメインは`miedf.com`ですが、メールの署名は`楽天e-NAVI`とされており、また実際の楽天のドメインである`right-on.co.jp`とは異なっています。提供されたスクリーンショットによると、`miedf.com`ドメインのIPアドレスは特定できないようです（「false」と記載）。これはドメインが正式な楽天関連のものではないか、あるいは悪意ある目的で使用されている可能性があります。

  2. 確認リンク: テキスト内容では、`marinersgreenno3hoa.com` という全く異なるドメインのリンクが確認用として提供されています。これは、正規の楽天のコミュニケーションではないという強い指摘となります。通常、企業はそのような重要なアクションに別のドメインを使用することはありません。

  3. 文面の緊急性: フィッシング詐欺では、よく「早急な対応が必要」といった緊急性を訴える文言を用いることがあります。このメールも、72時間以内にリンクをクリックして対応しなければならないと述べており、受信者に焦らせる意図が見られます。

  4. メールの形式: 真正な企業からの通知では、通常、HTMLフォーマットでよりプロフェッショナルにデザインされ、企業ロゴや連絡先情報が明記されていることが一般的です。提供されたテキストの形式がプレーンテキストであることは、正規の楽天からのメールである可能性を低下させます。

  5. 言語使用: 言語の使用においても、少し不自然な日本語表現が含まれているかもしれません。これは非母国語話者が作成した可能性を示唆しており、詐欺メールでよく見られる特徴です。

総合的な評価

このメールはおそらくフィッシング詐欺であり、真正の楽天のコミュニケーションではないと考えられます。利用者に対し、提供されたリンクをクリックさせることで個人情報を盗もうとする意図がありそうです。このような疑わしいメールを受信した場合は、メール内のリンクをクリックせず、直接企業の公式サイトにアクセスするか、正式なカスタマーサポートに連絡を取るべきです。また、このような詐欺の可能性があるメールを楽天のセキュリティ部門に報告することも重要です。

総務省に転送して、お終いにする。サンクス。

その判断は賢明です。疑わしいメールは、詐欺行為やフィッシング試みの可能性があるため、総務省や他の該当する規制当局に報告することが重要です。彼らはこのような問題に対処し、他のユーザーを保護するための措置を取ることができます。報告の際には、メールの全文とヘッダー情報を提供すると、追跡や調査に役立ちます。

お手伝いできてうれしいです。何か他にもご質問や必要なサポートがあればいつでもお知らせください。それでは、ご安全に。


この記事が気に入ったらサポートをしてみませんか？