三井住友カードを騙り個人情報の修正を促すメールが届きました。不正使用の可能性があるためカードの利用を一時的に停止しているため、ログインし個人情報の修正が必要と書いてあります。実際に送られてきたメールがこちらです。ロゴも入っていますので、パッと見た感じは三井住友カードからのメールに見えなくもありません。読んでみるとかなり日本語がおかしい部分が見られます。この文章の機械翻訳の精度が悪すぎです。「当社の検出を経て、第3者が不法悪意ログインあなたの三井住友ニコスwebサービス。」ここまでひどいと本文を読めばこのメールがフィッシングだと見分けがつきそうです。メールヘッダ次に送られてきたメールのヘッダ情報を抜粋して見てみます。<smb-card@vpsaa.ne.jp>まず、送信元ですが三井住友カードのオンラインサービスであるVpassと似たドメインを使っています。vpass.ne.jpは三井住友カードが登録していますが、サービスとしては利用していない様です。ヘッダの中から調査するIOCは以下になります。hygyyr[.]buzz165.84.180[.]110vpsaa.ne[.]jpフィッシングサイト実際のWebサイトには接続できませんでした。DNSでIPを引くこともできませんでした。IOCは以下になります。https://gdfgdfgwq[.]xyz/IOCの調査すべて2020-10-31時点での情報です。報告はありませんでした。Maliciousの報告がいくつかあります。2020-06-15から報告があります。フィッシングメールの送信だけではなく攻撃で使われた形跡もありますので、ブロックしても良さそうです。vpsaa.ne[.]jpドメイン名が正しくありません。https://gdfgdfgwq[.]xyz/whoisで調べるとすでに削除されている様です。Maliciousの報告がいくつかあります。個別に調査してみます。hygyyr[.]buzzまずは、このドメインを登録している組織をwhoisで調べてみましたが存在しませんでした。VirusTotalには報告はありませんでした。165.84.180[.]110送信元のIPを見てみます。こちらは香港のIPとなっています。このIPを脅威インテリジェンスで調査してみました。VirusTotal共にいくつかの報告がされています。AbuseIPDBでは2020-06-15に最初の報告がされており、合計85件の報告がされています。SSHでの攻撃として報告されており、この攻撃は2020-06-21まで続いていた模様です。その後しばらくは報告がありませんでしたが、2020-10-27から三井住友カードのフィッシングメールの送付元として利用され始めたようです。4ヶ月以上踏み台に利用されているようですので、このIPはブロックしてしまっても良さそうです。vpsaa.ne[.]jpVpass用に取得しているドメインを模したドメインとなっています。実際には存在しないドメインです。ne.jpは簡単には取得できませんのでフィッシングのために取得は不可能でしょう。https://gdfgdfgwq[.]xyz/まずは、このドメインを登録している組織をwhoisで調べてみます。FOUND)このドメインは2020-10-31T03:14:02.0Zに削除されたようです。今は存在しないドメインとなっています。Maliciousの報告がいくつかあります。まとめ最近のフィッシングメールおよびフィッシングサイトは、本物と見間違うほど本物っぽく作られています。クリックする前にURL(本文に書かれているものではなく)を確認することでアクセスする前に気付くことができます。仮にアクセスしてしまった場合も、URLや証明書をきちんと確認することが重要です。リンクからアクセスするのではなく、ブックマークなどからアクセスすることでフィッシングサイトへの誘導から逃れることが可能です。最近、様々な企業を装ったフィッシングメールが送られてきていますので気を付けましょう。