Amazon を詐称するフィッシング詐欺の記録。
Received: from rwkok2hs0y.rfayf.com (rwkok2hs0y.rfayf.com. [35.198.56.59])
From: アマゾン <noreply@rwkok2hs0y.rfayf.com>
Subject: 継続利用内容の確認
会員更新 更新内容
会員更新内容を確認してください
会員更新内容に、確認待ちとして残っている項目があります。
会員更新内容に確認が必要です。更新日、支払い方法、特典内容が未確認の場合、次回更新は進まず、特典適用が停止される場合があります。
下のボタンから更新内容を確認してください。
確認番号 MR-8373-4822
確認内容 会員更新内容
確認期限 07月03日 23:59まで
ご注意ください
確認されない場合、会員更新は停止されます。
下のボタンから更新内容を確認してください。
更新内容を確認する (https://kaihuor.com/report/ptGiHRmpQK)
この案内は、確認が必要な項目のみを表示しています。表示内容を確認後、画面内の案内に沿って進めてください。
- フィッシングサイト:
kaihuor.com - フィッシングサイト:
chipiwis.com - 送信元: Google Cloud
前者は GNAME 登録、後者は regtons 登録、いずれも Tencent 収容。
kaihuor.com. 1 IN A 43.165.186.242
chipiwis.com. 446 IN A 43.164.2.66
From と Subject は手が込んでいて、U+202E で右→左順を指定、ンゾマア、U+202C で戻している。
From: =?UTF-8?B?4oGm4oCu44Oz44K+44Oe44Ki4oCs4oGp?= <noreply@rwkok2hs0y.rfayf.com>
Subject: =?UTF-8?B?4oGm4oCu6KqN56K644Gu5a655YaF55So5Yip57aa57aZ4oCs4oGp?=
From の rfayf.com はフィッシング詐欺メイル送信用ドメインと見て差し支えないように思われる。
SPF/DKIM pass。これは Xin Net Technology 登録、Cloudflare DNS。
rwkok2hs0y.rfayf.com. 300 IN TXT "v=spf1 a mx ip4:35.198.56.59 ~all"
rwkok2hs0y.rfayf.com. 300 IN MX 10 rwkok2hs0y.rfayf.com.
rwkok2hs0y.rfayf.com. 300 IN A 35.198.56.59
default._domainkey.rwkok2hs0y.rfayf.com. 300 IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAlovgEI1AVkm/GgmI8FWhdixXzUfB/3aVMA//M4KdFzPRRYcxY15yzalad4Db+kaoGsMfZcj7ihDllcD450sf9FH6jBlfYXF+5gj6JvjhFy0w/DXUzcCZKFGdU5EweS+AoaL5pbrp9Y3f2jp0R7GoDib0zMyb+f9ZPWM+ZzKuNV5i6vy5+robQ4WNic29csFB3" "h5j9nYyb47XToYRNyDlJdGAqupY+69cEL4QHoN80LjVaa2PVKwQnNcNvVhqRzwACqNX55cGLvBA1eu2OtfE7wFZQONyMKrZQQueVUEh8XiVFSqMoWcISnun9LxeILphpO+tW3bx6ntc32tQP/kXBwIDAQAB"