2022/04/02(土)フィッシングメール・アホメール（？）その３

2022/04/02 3:55 はんかくさい
Amazon を騙るフィッシングメールは昔から多いです。
以前は、それでも本物か偽者か識別はなんとか出来たんですが、これはちょっと難しい・・・

差出人：Amazon <no-reply@amazon.co.jp>
件名　：Amazon.co.jp にご登録のアカウント（名前、パスワード、その他個人情報）
Amazonアカウントのエラーまたは不完全なプロファイルにより、システムは残念ながら高リスクのアカウントに設定されており、アカウントと対応する機能の権限が部分的にロックされています。
Amazonアカウントのロック解除にご協力ください。以下のリンクを使用して、Amazon Webサイトにアクセスし、情報を更新してください。


支払い情報を更新する
登録
※ 24時間経過してもこのメッセージに返信しない場合、アカウントのステータスは1週間後に放棄され、完全に削除されるように設定されます。


お客様のアカウントのセキュリティを強化するため、2段階認証を有効にすることをお勧めします。 Amazon.co.jp では、個人情報を細心の注意を払って慎重に取り扱い、利用および共有させていただいています。本プライバシー規約（以下「本規約」といいます）は、本規約を参照するAmazonのウェブサイト、端末、製品、サービス、オンラインストア及び実店舗（以下「Amazonサービス」といいます。）を通じたAmazon（Amazon.com, Inc.を含め、Amazon.com Services LLC及びその国内外の関連会社をいいます。）による個人情報の取得及び取扱いに関する方針を説明するものです。Amazonサービスをご利用いただいた場合、本規約に同意していただいたものとみなされます。
こんな場合は、電子メールの生ソースを見て判断するのが確実だが、知識が要ります:
（悪用されないように、一部本物のメールアドレス部分は変更しています）
From - Fri Apr 1 04:47:30 2022
X-Account-Key: account1
X-UIDL: 000239e94a73fe99
X-Mozilla-Status: 0001
X-Mozilla-Status2: 00000000
X-Mozilla-Keys:
Return-Path: <arnazon-update@zimmed.shop>
X-Spam-Checker-Version: SpamAssassin 3.4.6 (2021-04-09) on mx1.example.com
X-Spam-Level: ***
X-Spam-Status: No, score=3.3 required=4.0 tests=AMAZON_IMG_NOT_RCVD_AMZN,
BAYES_00,DKIM_ADSP_DISCARD,HEADER_FROM_DIFFERENT_DOMAINS,HTML_MESSAGE,
SPF_HELO_PASS,SPF_PASS,URIBL_DBL_PHISH,URIBL_PH_SURBL autolearn=no
autolearn_force=no version=3.4.6
Delivered-To: noname@example.com
Received: from zimmed.shop (zimmed.shop [113.31.112.72])
by pmx1.admin-plus.net (Postfix) with ESMTP id 08A0528F2AA6
for <noname@example.com>; Fri, 1 Apr 2022 04:46:55 +0900 (JST)
Received: from zc (unknown [43.249.207.181])
by zimmed.shop (Postfix) with ESMTPA id 7AAB632002B9
for <noname@example.com>; Fri, 1 Apr 2022 03:46:45 +0800 (CST)
DKIM-Filter: OpenDKIM Filter v2.11.0 zimmed.shop 7AAB632002B9
Sender: arnazon-update@zimmed.shop
Message-ID: <20220401034714546202@zimmed.shop>
From: "Amazon" <no-reply@amazon.co.jp>
To: <noname@example.com>
Subject: =?utf-8?B?QW1hem9uLmNvLmpwIOOBq+OBlOeZu+mMsuOBruOCouOCqw==?=
=?utf-8?B?44Km44Oz44OI77yI5ZCN5YmN44CB44OR44K544Ov44O844OJ44CB44Gd44Gu5LuW5YCL5Lq65oOF5aCx?=
=?utf-8?B?77yJIA==?=
Date: Fri, 1 Apr 2022 03:47:01 +0800
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_NextPart_000_0209_01EC2A56.1A560F00"
X-mailer: Hyajcpyad 2
X-Virus-Scanned: clamav-milter 0.104.1 at mx1.basekernel.ne.jp
X-Virus-Status: Clean
X-Antivirus: Avast (VPS 220331-10, 2022/3/31), Inbound message
X-Antivirus-Status: Clean
上記で、赤字の部分が amazon.co.jp でないため、詐称の可能性が高い。
実は、電子メールは、構造的に封書なので、ちょっと細工すると差し出し元を詐称出来てしまうのです。

封書は「封筒」の中に「信書」を入れますね。電子メールもこれと全く同じ構造なのです。
なので From が２つあるのです。
「封筒」は「エンベロープ」と言います。電子メールの世界でも「エンベロープ」があります。
メールサーバは、発信については「エンベローブ」の内容だけを見て、配送します。
一方で、普段お使いの電子メール送受信ソフトウェア（一般的にＭＵＡと称す）は、受信処理の際、エンベローブではなく、本文の初めの方にくっついてくる情報（ヘッダと称す）を参照して表示します。
（そして、エンベローブの大部分は表示されない）

つまり、エンベローブの From は配送さえ出来ればなんでもよく、故に本文ヘッダの From: は、詐称出来てしまうのです。
ですが、本文ヘッダの一部はメールサーバが付加していくので、基本的に中継サーバや受信端で魔改造でもしない限り、メールサーバが付加する項目の詐称は困難です。ここに辛うじて判断材料が残っている形です。