見出し画像

20240128-A(JCB・カード)

ヒル

提供されたメールヘッダーの詳細な分析を行ってください。すべての「Received」行を調査し、各IPアドレスの起源を特定してください。また、SPFとDKIMの結果を解釈し、セキュリティ上の懸念があるかどうかを確認してください。送信元ドメインの信頼性についても評価してください。
「Return-Path:
qa.jcb1@irrjgtb.cn
Received:
from ifmta1006.nifty.com
by ibmta1006.nifty.com
with ESMTP
id 20240124104148745.UCEJ.73427.ifmta1006.nifty.com@nifty.com
for xxxxxxxx@nifty.com;
Wed, 24 Jan 2024 19:41:48 +0900
Received:
from irrjgtb.cn([194.87.31.193])
by ifmta1006.nifty.com
with ESMTP
id 20240124104148465.XYLT.71604.irrjgtb.cn@nifty.com
for xxxxxxxx@nifty.com;
Wed, 24 Jan 2024 19:41:48 +0900
Authentication-Results:
nifty.com; spf=pass smtp.mailfrom=qa.jcb1@irrjgtb.cn; sender-id=pass header.From=qa.jcb1@irrjgtb.cn;
dkim=neutral reason="no\ key\ for\ signature" header.i=qa.jcb1@irrjgtb.cn;
dkim-adsp=none header.from=qa.jcb1@irrjgtb.cn
DKIM-Signature:
v=1; a=rsa-sha256; c=relaxed/relaxed; s=key1; d=irrjgtb.cn; h=Content-Type:MIME-Version:Content-Transfer-Encoding:From:Subject:Date:To;
i=qa.jcb1@irrjgtb.cn; bh=kqjhH9whnM1Y1Jl4MWFfOaBUV3+xxjauy2hSlusyXys=;
b=AFWmtmcaUwQM0W19OJqix52I3teb1+vDKvIO7lCXu02ybcxzlztYjlqwdlhwxgmCtHAgzz1RUJHn dKbbuS8ZL28dcDZgI1sIuNtEah0NlYfjcS8rU8z6u0+qUMO5lW0LGWUVsPOGYBWpLjox+q9NLgps v23n/uOONyszmTDwvNRNEy2u11Sfgko13rw3PB/f38abT4pF+OyPneSnlMuU1EA6JTXRnDwvrlSr H6Ig+nvMIuUrHmpBiVz6kz6Bkv8LiK6Y6FvFKYJdjCWogYTSsQbGKBOSLMc2pORuH/qQQHahOvNI NmgdyWJoIs+MfPeRtFyMcx2IUqbFKOF4XXi3dA==
Content-Type:
text/html; charset="utf-8"
MIME-Version:
1.0
Content-Transfer-Encoding:
base64
From:
MyJCB qa.jcb1@irrjgtb.cn
Subject:
JCBカード2024年2月10日分お振替内容確定のご案内
Date:
Wed, 24 Jan 2024 11:40:42 +0100
To:
xxxxxxxx@nifty.com
Message-Id:
20240124104148465.XYLT.71604.irrjgtb.cn@nifty.com」

提供されたメールヘッダーの分析を行います。まず、各「Received」行から始まり、SPF、DKIMの結果を解釈し、最後に送信元ドメインの信頼性について評価します。

Received 行の分析

1. nifty.comからの受信

  • 送信者: ifmta1006.nifty.com

  • 受信者: ibmta1006.nifty.com

  • 日時: Wed, 24 Jan 2024 19:41:48 +0900

  • 注記: nifty.com内部のメールサーバー間での転送を示しています。ここに表示されているIPアドレスやホスト名はありませんが、niftyのメールサーバー情報が提供されています（IP: 106.73.193.32, ホスト名: M106073193032.v4.enabler.ne.jp）。この転送自体は内部的なものであり、外部からのセキュリティリスクはありません。

2. irrjgtb.cnからnifty.comへの送信

  • 送信者: irrjgtb.cn

  • 送信者IP: 194.87.31.193

  • 受信者: ifmta1006.nifty.com

  • 日時: Wed, 24 Jan 2024 19:41:48 +0900

  • 注記: このIPアドレスの起源はロシアにあるサーバーです。この情報から、メールがロシアのサーバーから送信されたことがわかります。

SPFとDKIMの結果の解釈

  • SPF（Sender Policy Framework）: `pass`。これは、メールがqa.jcb1@irrjgtb.cnから正しく送信され、受信サーバー（nifty.com）がこの送信者のIPアドレスを許可リストに含めていることを意味します。ただし、SPFがパスするだけでは、メールが正当なものであると完全には証明されません。

  • DKIM（DomainKeys Identified Mail）: `neutral`。これは、DKIMの署名が見つかったものの、公開鍵が提供されていないために検証が行えなかったことを意味します。これは、送信元ドメインのメール認証ポリシーが厳密でないか、設定ミスがある可能性を示唆しています。

  • DKIM-ADSP（Author Domain Signing Practices）: `none`。これは、ドメインがDKIMによる署名ポリシーを持っていない、または設定していないことを示します。

送信元ドメイン（irrjgtb.cn）の信頼性評価

  • ドメイン名`irrjgtb.cn`は、一見して一般的な企業やサービスのドメイン名とは異なります。このドメインが信頼できるかどうかを判断するための直接的な情報はありませんが、`.cn`は中国のトップレベルドメインであり、このメールがJCBカードの案内を装っていることを考えると、送信元が正規のJCBカードサービスではない可能性が高いです。

セキュリティ上の懸念

  • SPFはパスしていますが、DKIMの検証に失敗している点は注意が必要です。これは、メールが改ざんされている可能性があることを示唆しています。

  • 送信元ドメインの信頼性が疑わしいです。特に、フィッシング詐欺やスパムメールに使用される可能性があるドメインから送信されています。

結論

このメールは、セキュリティ上のリスクを孕んでいる可能性があります。特に、DKIMの検証が行えない点と、疑わしい送信元ドメインが指摘されています。受信者は、このメールの内容に基づいて行動する前に、十分な検証を行うべきです。また、JCBカードやその他の金融機関からの公式な通信であるかを確認するために、直接その機関に連絡を取ることをお勧めします。

IPアドレスの場所はここ。

アップロードされた画像に基づいて、以前の情報に誤りがあったことを指摘します。メールヘッダーに記載されたIPアドレス「194.87.31.193」は、ロシアではなく、オランダのアムステルダムに位置していることが確認されます。

この新しい情報に基づいて、メールがオランダから送信されたことになります。ただし、この地理的な情報だけではメールの正当性やセキュリティリスクを完全に評価することはできません。このIPアドレスが正規のサービスに属しているか、あるいは不正な活動に使用されているかは、さらなる調査が必要です。

送信元ドメイン「irrjgtb.cn」に関するセキュリティ懸念と、DKIM検証が行われなかった点については、以前の分析が依然として有効です。メールの受信者は、このメールに含まれる可能性のあるリンクや添付ファイルを開かないよう注意し、メールの真正性については直接関連する機関に確認するべきです。

ブラウザ画面はこれ。html記述はこれ。分析して。
「<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN"> <HTML><HEAD> <META content="text/html; charset=utf-8" http-equiv=Content-Type> <META name=GENERATOR content="MSHTML 11.00.10570.1001"></HEAD> <BODY> <P>次回のお振替内容が確定しました。<br> MyJCBにログインのうえご確認ください。<br> お振替日は毎月10日（金融機関休業日の場合は翌営業日）です。<br> ※「カードご利用代金明細書」をお送りしている方のうち、<br> 　「おしらせメール」に登録されている方に、毎月本メールをお送りしています。<br> </P> <P>▼MyJCBログインはこちら<br><A href="https://jzfk.cn">https://www.jcb.co.jp?link_id=77C0C0C9587615370B2DF743DBE3E</A></P> <P> ＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝<br> ■キャッシング振り込みサービスのご案内■<br> インターネットまたはお電話での申し込みで、登録した口座に直接お振り込みをするサービスです。<br> <A href="https://jzfk.cn">https://www.jcb.co.jp/cashing/use/transfer/?tk_id=cojp_edmp_cashing_meisaikakutei</A></P> <br> <P>■ネットショッピング利用時の本人認証方式変更のお知らせ■<br> より安全にカードをご利用いただくため、2023年11月以降、ネットショッピング利用時（J/Secure認証時）の本人認証方式を「MyJCBパスワード認証」から「ワンタイムパスワード認証」に順次変更します。<br> 本人認証方式の変更について、以下のリンクより詳細を必ずご確認ください。<br><A href="https://jzfk.cn">https://www.jcb.co.jp/release/onetimepassword_2307.html?tk_id=edmp_t_mktd_23SKK234N_otp_2307_1</A></P> <P>■お客様情報の変更■<br> 個人のお客様の住所・お勤め先・氏名・職業等、法人のお客様の社名・所在地・代表者・実質的支配者等に変更があった場合は、必ずJCBへご連絡ください。<br><A href="https://jzfk.cn">https://my.jcb.co.jp/DirectLogin?transition_id=1200201</A><br> ※一部、利用できないカードや時間帯があります。</P> <P>■インボイス制度が始まります!事業者の方はご確認ください■<br> インボイス(適格請求書)を「MyJCB」上に掲載(交付)予定。事業者で消費税申告をされる方は要チェック!<br> 詳しくは以下のリンクよりご確認ください。<br><A href="https://jzfk.cn">https://www.jcb.co.jp/invoice/jcb-group/about.html</A></P> <P>＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝<br> 株式会社ジェーシービー 東京都港区南青山5-1-22<br> ■お問い合わせ■<br><A href="https://jzfk.cn">https://www.jcb.co.jp/support/jcb_contact/</A><br> ＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝<br> Copyright JCB Co., Ltd. 2024</P> </BODY></HTML> 」

メールイメージ

アップロードされたHTML記述を分析すると、以下のような点が指摘できます。

  1. リンクの誘導: HTMLコンテンツには複数のリンクが含まれており、すべてのリンクが `jzfk.cn` というドメインに誘導しています。しかし、表示されるテキストは `www.jcb.co.jp` というJCBの公式ドメインを示しています。これは、ユーザーをだますための一般的なフィッシング手法です。

  2. ドメインの信頼性: `jzfk.cn` というドメインは、公式のJCBのウェブサイト `www.jcb.co.jp` とは異なります。これは、ユーザーが偽のサイトに誘導されるリスクがあり、個人情報やログイン情報を盗まれる可能性があることを示しています。

  3. 文言の正当性: メールに記載されているサービスや制度についての言及は、実際のJCBのサービスや制度を反映している可能性がありますが、フィッシング詐欺ではしばしば正当な企業の名前やサービスが悪用されます。

  4. HTMLタグの使用: HTMLコードは基本的な構造をしており、`<P>` タグで段落を作成し、`<A>` タグでリンクを挿入しています。これは一般的なウェブページやメールテンプレートの書き方です。

  5. メタデータ: `MSHTML 11.00.10570.1001` というメタタグが含まれており、これはMicrosoftのHTMLエディタによって生成されたものであることを示しています。

  6. エンコーディング: 文書はUTF-8でエンコードされており、これは国際的な文字セットをサポートするための一般的な選択です。

結論として、このHTML記述はフィッシング詐欺の可能性が高いと思われます。正規のウェブサイトとは異なるドメインへのリンクが用いられており、ユーザーが個人情報を入力する際には非常に注意が必要です。また、このようなメールを受け取った場合、リンクをクリックせずに、直接ブラウザに公式のウェブサイトを入力してアクセスすることを推奨します。

総務省に転送して、終わりだな。サンクス。

総務省に不審なメールを報告することは、フィッシング詐欺や不正な活動を防ぐ上で良い判断です。適切な処理をしてもらえるでしょう。お手伝いができて光栄です。これ以上のご質問やサポートが必要な場合は、いつでもお戻りください。ありがとうございました。

この記事が気に入ったらサポートをしてみませんか？