すでに
一般ニュースでも取り上げられているが，
UFJ銀行とみずほ銀行を名乗るフィッシング・メールが大量に送信されている模様．
私のところにもUFJ銀行バージョンが，一通届いたので早速解析を試みた．
まずこのメールのヘッダーは下記の通りだ．
From: "Verify" <admin@ufjbank.co.jp>
To: <XXXXXXXXX@mars.dti.ne.jp>
Subject: UFJ
Date: Tue, 15 Mar 2005 02:38:52 +0000
Return-Path: <admin@ufjbank.co.jp>
Received: from mgate02.dti.ne.jp (mgate02.dti.ne.jp [202.216.228.55]) by pop.mars.dti.ne.jp (3.10p) with ESMTP id j2F2QHTw026735 for <XXXXXXX@mars.dti.ne.jp>; Tue, 15 Mar 2005 11:26:17 +0900 (JST)
Received: from 221.142.78.152 ([221.142.78.152]) by mgate02.dti.ne.jp (3.10g) with SMTP id j2F2QFHR021987 for <XXXXXXX@mars.dti.ne.jp>; Tue, 15 Mar 2005 11:26:16 +0900 (JST)
Message-ID: <20050331561.22587.qmail@ufjbank.co.jp>
MIME-Version: 1.0
Content-Type: text/html; charset=Shift_JIS
送り主のメールアドレスや，Message-IDには「ufjbank.co.jp」が見られるが，
もちろんこれらは偽装だ．
送信元のIPアドレス221.142.78.152をトレースしたところ
，韓国（hananet.net）の 210.94.29.97（adsl029097.usr.hananet.net）まで追跡できたが，
そこから先は，hananet.net内のホスト名のない４ホップまで追跡できたのみで，
結局送信元のIPまでには至らなかった．
上記のホスト名から推察すると，
韓国のhananet.netをプロバイダとするADSL接続のPCから
メール送信されたと思われる．
このメールはHTML形式のメールであり
内部ではUFJ銀行のサイトの画像がそのまま利用されている．
ソースは以下の通りだ．
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=Shift_JIS">
<title>Untitled Document</title>
<style type="text/css">
<!--
style2 {</style>
</head>
<body>
<table cellspacing="0" cellpadding="0" border="0" width="775">
<tr>
<td rowspan="3"><img src="http://www.ufjbank.co.jp/image/cmn/logo.gif" width="205" height="60" border="0" alt="UFJ銀行"></td>
<td><img src="http://www.ufjbank.co.jp/image/cmn/head_bar.gif" width="570" height="34" border="0" alt="こたえていくチカラ。"></td>
</tr>
<tr>
<td height="23">＆nbsp;</td>
</tr>
<tr>
<td rowspan="2">＆nbsp;</td>
</tr>
<tr>
<td>＆nbsp;</td>
</tr>
</table>
<p align="right">＆nbsp;</p>
<p align="left" class="style2">UFJ銀行ご利用のお客様へ</p>
<p class="style2">UFJ銀行のご利用ありがとうございます。<br>
このお知らせは、UFJ銀行をご利用のお客様に発送しております。</p>
<p class="style2">この度、UFJ銀行のセキュリティーの向上に伴いまして、<br>
オンライン上でのご本人確認が必要となります。</p>
<p class="style2">この手続きを怠ると今後のオンライン上での操作に支障をきたす恐れがありますので、一刻も素早いお手続きをお願いします。</p>
<p class="style2"><a href="http://200.81.64.137/ib/login/index.htm">https://www.ufjbank.co.jp/ib/login/index.html</a></p>
<p class="style2">また、今回のアップデートには多数のお客様からのアクセスが予想されサーバーに負荷がかかるため、下記のミラーサイトを用意しております。上記のリンクが一時期不可能になっている場合は、<br>
下記をご利用ください。</p>
<p class="style2"><a href="http://80.55.101.22/ib/login/index.htm">https://www.ufjbank.co.jp/ib/login/index2.html</a> </p>
<p class="style2"><a href="http://61.38.30.55/ib/login/index.htm">https://www.ufjbank.co.jp/ib/login/index3.html</a></p>
<p class="style2">お客様のご協力とご理解をお願いいたします。</p>
<p class="style2">UFJ銀行 </p>
<div align="right" class="style2">
<p>＆nbsp;</p>
<table border="0" cellpadding="0" cellspacing="0" width="100%">
<tr>
<td width="453"><img src="../../image/spacer.gif" width="14" height="1" alt=""><img src="https://www.ufjbank.co.jp/image/footer_line.gif" width="453" height="25" alt=""></td>
<td width="211"><img src="https://www.ufjbank.co.jp/image/footer_copy2005.gif" width="194" height="11" alt="(C)Copyright 2005, UFJ Bank Limited"></td>
<td width="89"><img src="https://www.ufjbank.co.jp/image/footer_logo.gif" width="89" height="21" alt="UFJ銀行" border="0"></td>
</tr>
</table>
</div>
<p class="style2">＆nbsp;</p>
</body>
</html>
ソースを見た感じでは，手打ちのしたもののようだが，
スクリプトも使用しておらず，またメールアドレス生存の探知用画像（バグ）も含まれていない．
逆に言うと，アンチウイルスソフト等では自動削除されない，
正常なHTMLメールと言える．
上記のソースを見て頂ければわかるとおり，
このフィッシングメールは，偽のUFJ銀行のログオンページへと受け手を誘い，
犯人たちはそこでカード契約番号とそのパスワードを打ち込ませ，
個人情報の奪取を試みる．
もちろん，これらの情報を盗んだ後は，
即，オンラインで預金者の現金を盗もうとすることだろう．
ソースに埋め込まれている偽のUFJ銀行のログオンページのホスト名は
- 61.38.30.55(ホスト名は不明，韓国bora.netドメイン)
- 200.81.64.137(host64-137.wireless.com.py)
- 80.55.101.22 (sx22.internetdsl.tpnet.pl)
となっている．
１）は韓国のbora.netドメインで，トレースできなかった．
http://61.38.30.55/に，アクセスするとわかるが，
このホストは「EIP mail」というWebメールのサイトのようだ．
１５日２２：４５現在，偽のログインページはこのサイトには存在していない．
このような経過を見ると，このサイトはセキュリティが甘く，
犯人にページを埋め込まれ，利用されたのかもしれない．
２）は犯人たちが偽ログインページの主な提供元としているホストで，
パラグアイのホストだ．
ホスト名からすると無線LANのホットスポット（？）で接続しているPCかもしれない．
従って接続しているマシンはモバイルノートの可能性もある．
ここの偽ログインページは，１５日２２：４５現在表示可能だが，
かなり表示が遅くなっており，相当のアクセス負荷がかかっているようだ．
仮に無線LAN接続だとするならば，元々帯域幅的にかなり厳しいはずなので，
なぜ犯人たちがこのサイトをメインにしたのかは疑問が残る
．ちなみに，
http://200.81.64.137/にアクセスしてみると，
「Arquiweb」という会社（？）のサイトが表示された．
日本からの大量のアクセスのためか，かなりの負荷がかなりかかっているようで，
PostgreSQLサーバダウンしていると表示されている．
おそらく，このサイトもセキュリティが甘く，
犯人に侵入され，利用されているのだろう．
３）はポーランドのホストで，ホスト名から，ADSL接続しているマシンだと思われる．
ここの偽ログインページは，１５日２２：４５現在表示可能だが，
やはりアクセス負荷のためか，かなり表示に時間がかかる．
http://80.55.101.22/にアクセスしてみると，
「SALEZJANIE」という会社（？）のサイトが表示された．
上記同様，やはり犯人たちに乗っ取られたものと思われる.
偽のログインページのソースを見ると，基本的には，
元々のUFJ銀行のログインページをコピーし，それを作り替えたもののようだ．
偽のログインページに契約番号とパスワードを入力し，
「ログイン」ボタンをクリックすると，その内容がmailing.phpにポストされる．
おそらくPHPスクリプトで，盗んだ個人情報をメールしているものと思われる.
このように今回はフィッシングでは，
世界中のセキュリティ管理の甘いサイトが踏み台にされた可能性が高い．
この分だと，犯人グループは日本にいながら，
この犯罪の準備を行ったのだろう．
となると，盗まれた個人情報も，おそらく
日本にメールされているに違いない．
PHPのソースを見ることができれば，
その宛先もはっきりし，犯人の追跡の手がかりとなるのだが…
