【amazon】「不正なアクティビティが検知されました」はフィッシング詐欺メール

今回もamazonを装った「不正なアクティビティが検知されました」とのフィッシング詐欺メールが到着しました。ロシアあたりで「だれかが私のアカウントに不正にアクセスしたからアカウントを停止した」という内容です。
ためしにamazonにアクセスしてみましたが、異常はありませんでした。

不正なアクティビティが検知されました
リンクをクリックするとどうなるのか？
送信元はどこだ？
【amazon】不正なアクティビティが検知されましたというメールはフィッシング詐欺メール
Amazonをかたるフィッシング詐欺メールにご注意ください
1. Amazonメッセージセンターへは、
フィッシング詐欺メールの特徴
1. 緊急性をあおってくる
2. 日本語が妙な感じがする

不正なアクティビティが検知されました

「不正なアクティビティが検知されました」ということで届いたメールの文面と体裁は以下の通りとなっています。
ちなみにメールの件名は「あなたのアカウントは停止されました」というよく見かけるものです。
停止などされてなかったんですけどね。

不正なアクティビティが検知されました
平素はAmazon.co.jpをご利用いただき、誠にありがとうございます。
このたび、お客様のアカウントに極めてリスクの高いデバイスまたは場所からお客様のアカウントに対するログインが複数回試みられ、
安全のためお客様のAmazonアカウントは現在セキュリティシステムによって一時的に停止されています。
デバイス: Mozilla/5aceexq.0 (Linubvrqgix; Andrhxkdvgoid 9; AjsdlgbNE-LX2J Build/HUAWEIAohlqNE-LX2J; wv) AppsnscpleWebKit/537.36 (KHTMLtnulcn, like Gelkvsprcko) ggdaysVersion/4.0 corhouChrome/83.0.4103.106 Mdppfjobile
IPアドレgxcmス: 109.gnjpr252.84.170
場所：ロシア,モスクワ
問題を解決するために下記より至急パスワードの変更とqjhb登録情報の更新を行ってください。
アカウント情報hqpaを更新する
お知らせ:
パスワードは誰にも教えないでください。
個人情報と関係がなく、推測しにくいパスワードを作punea成してください。大文字と小文字、数字、および記号を必ず使用してください。
オンラインアカウントごとに、異なるパスワードを使用してください。

内容は全て架空のありもしないウソなんですけれども、日本語も一目見ただけではしっかりしているように見えて出来はよい方ではないでしょうか。

ログインに使用されたデバイスやアクセス場所も記載されているので騙されやすいかもしれませんね。

リンクをクリックするとどうなるのか？

いつものようにリンクをクリックしてみましょう。

リンクはいくつかあるのですが、中央にあるオレンジ色の「アカウントを更新する」をクリックしてみます。

ちなみにリンクアドレスは「https://amazzon.top」になっています。
amazzonってｚが1つ多いですね。アマゾ〜ンという感じなのでしょうが、ちょっと見で間違えやすくしています。詐欺メールがよく使う誤認させる手口です。

では、クリックしてみます。すると

米国USのamazonに飛んでいきました。もちろん偽のamazonサイトでしょう。なにしろアマゾ〜ンですから。

送信元はどこだ？

メールヘッダを表示させてみると

“Amazon.co.jp” <Amazon>
あなたのアカウントは停止されました
宛先:●●●@●●●
Content-Type:multipart/alternative; boundary=”—-=_NextPart_000_0314_01546D81.19B81C00″
Mime-Version:1.0
X-Envelope:S25R_match
X-Mailer:Yyg 3
Return-Path:<kefu@rkklh51.top>
Received:(qmail 40418 invoked from network); 25 Oct 2020 03:32:01 +0900
Received:from unknown (HELO mgw2.zenno.net) (192.168.0.147) by msv2.zenno.net with SMTP; 25 Oct 2020 03:32:01 +0900
Received:from mgw2.zenno.net (localhost [127.0.0.1]) by mgw2.zenno.net (Postfix) with ESMTP id C95F9913A8 for <●●●@●●●>; Sun, 25 Oct 2020 03:32:01 +0900 (JST)
Received:from mgw2.zenno.net ([127.0.0.1]) by mgw2.zenno.net (mgw2.zenno.net [127.0.0.1]) (amavisd-new, port 10024) with ESMTP id glkNg9Ki5PM9 for <●●●@●●●>; Sun, 25 Oct 2020 03:32:01 +0900 (JST)
Received:from rkklh51.top (hwsrv-795072.hostwindsdns.com [198.44.40.59]) by mgw2.zenno.net (Postfix) with ESMTP id 5AAE5913A3 for <●●●@●●●>; Sun, 25 Oct 2020 03:32:00 +0900 (JST)
Received:from bjk.baidu.com (unknown [36.4.19.177]) by rkklh51.top (Postfix) with ESMTPA id 29728191C86E for <●●●@●●●>; Sun, 25 Oct 2020 02:31:55 +0800 (CST)
<20201025023156743282@rkklh51.top>
Delivered-To:●●●@●●●
Authentication-Results:rkklh51.top; dkim=permerror (bad message/signature format)

送信元のメールアドレスは、Return-Pathから「kefu@rkklh51.top」のようです。

ドメインの部分「rkklh51.top」を住所検索してみたところ米国・ワシントン州とでましたが偽装かもしれません。試しにIPアドレスらしい「36.4.19.177」を同じく住所検索してみたところ、中国・合肥市とでました。その左にbaidu.com（百度）もありますので中国関連とみてよいでしょう。詐欺メールですね。