楽天を名乗る
[楽天]パスワードの変更完了のお知らせ
というメールが送られてくる。
パスワード変更してないし、しかもほんの数時間前なんて、アカウント乗っ取られた？
メールアドレスを見ても@rakuten.co.jpだし偽装ではない楽天の正式のアドレスっぽいけど、IT系企業が顧客向けサービスのお知らせメールのIDに postmaster@ 使うなんて有り得ない。本物だったら即退会案件。
それから会員情報確認用のリンクがなんか変、詐欺メールによくあるAタグを使った偽装リンクではなく、リンク先は表示されている
https://rekutan.cfxzzn.icu/rms/nid/event/login/userRegistIdInput.html
なのだけれども、rekutan.cfxzzn.icu って？ なんで楽天が.co.jpドメインじゃなくて .icu のドメインで使ってんの？ .icuドメインを調べたところ、I See You.というを意味するドメインで迷惑メール業者御用達らしく、このリンク絶対アブねぇわ！！
万が一乗っ取られていたら嫌なので、自分のブックマーク経由で楽天公式のトップページから再ログインでパスワードが変更されていないことを確認して、念の為会員情報からパスワード変更かけておく。公式のパスワード変更メールが下記。
とても似ているというか、正規のメールをコピーして必要最低限だけ変更したようで、違いは
１，送信元メールアドレスが、
myinfo@rakuten.co.jp
postmasterなんか使うわけないわな。
２，＊＊＊＊様 の部分が登録している名前。アカウント乗っ取り詐欺メールはメールアドレス
３，楽天会員情報の管理画面 へのリンクが、
https://member.id.rakuten.co.jp/rms/nid/menufwd
で、rakuten.co.jp でicuなんて怪しいドメインではない。
の3カ所だけでした。
乗っ取られた？と焦って詐欺メールの会員情報管理へのリンクを開いて、偽のパスワード変更画面でパスワード変更なんてしたら、ログイン情報を盗まれてアカウントが乗っ取られる。
![Support: [Apple Info] Statement account submitted to reset your password for our client area 05/12/17](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj_6WS6V8LPgOdeAYdpy-fwDgbpZnqpcc-Egm2GEfdv4I8GohPU97cVMKC5LiwXnxwVHEChiTdshTHstdKEBstyUHLnPPL2e3lIhuNsaz4iAJVdX7CAT9PnJlMQ9KplXS5kKUIfMUROrOaG/s1600/Support+%255BApple+Info%255D+Statement+account+submitted+to+reset+your+password+for+our+client+area.jpg)
＞ <p>この度、セゾンNetアンサーに対し、第三者によるアクセスを確認いたしました。<br /> ＞ 万全を期すため、本日、お客様のご登録ＩＤを以下のとおり暫定的に変更させていただきました。</p> ＞ <p>お客様にはご迷惑、ご心配をお掛けし、誠に申し訳ございません。<br /> ＞ 何卒ご理解いただきたくお願い申しあげます。</p> ＞ <p><a href="http://www.saisonecard.com/WebPc/USA0202UIP01SCR/">http://www.saisonecard.com/WebPc/USA0202UIP01SCR/</a><a href="http://www.saisonecard.com/WebPc/USA0202UIP01SCR/"></a></p> ＞ <p> </p> ＞ <p>※このメールはNetアンサーから自動配信しております。</p> ＞ <p>※本メールにご返信いただきましても、ご質問・ご依頼などに<br /> ＞ お答えできませんので、あらかじめご了承ください。</p> ＞ <p>※メールに関する各種お手続き方法につきましては、以下をご確認ください。</p> ＞ <p><a href="http://www.saisonicard.com/WebPc/USA0202UIP01SCR/">http://www.saisonicard.com/WebPc/USA0202UIP01SCR/</a></p><p>･･･････････････････････････････････････････････････････････････････････････<br /> ＞※このメールはNetアンサーから自動配信しております。</p> ＞ <p>※本メールにご返信いただきましても、ご質問・ご依頼などに<br /> お答えできませんので、あらかじめご了承ください。</p> ＞ <p>※メールに関する各種お手続き方法につきましては、以下をご確認ください。</p> ＞ <p><br /> ＞ <a href="http://www.saisonecard.com/WebPc/USA0202UIP01SCR/">http://www.saisonecard.com/WebPc/USA0202UIP01SCR/</a><br /> ＞ <br /> ＞･･･････････････････････････････････････････････････････････････････････････<br />株式会社 クレディセゾン<br />〒170-6073 東京都豊島区東池袋3-1-1<br /> ＞ </p> ＞ <p> </p> ＞ <p> </p> ＞ <p> </p> ＞ <p><SPAN style="DISPLAY: none">晰韵皙楮真??</SPAN></p>
「三菱東京ＵＦＪ銀行」本人認証サービス
とかいう題名のSPAMが来ました。
html形式でメールを表示させると
とか、個人情報の漏洩を起こした銀行からのメールなハズなのに「こんにちは！」なんて、ビックリマークまで付いている親友並みの軽い書き出しの挨拶文で始まっている時点で怪しい臭いしかしない文章。でも、メールに書いてあるURLを見ると
mufg.jp
で始まり一見、三菱東京ＵＦＪ銀行の公式のログインページのリンクのコピペらしい。こんなリンクをメールで送ってくるようなセキュリティ意識がゼロな銀行が存在したら即解約するわっつ。
普通は、TOPページに謝罪文とかあって、そこから問い合わせやら手続きができるようにしてあるもんだと思うんですが？ いきなりヘンテコなリンク先で怪しさ倍増。 (当然、偽装)
んで、HTMLメールのソースを見ると
初歩的なURL偽装が仕掛けてありました。
AタグでURL偽装して「mm162.cn」という戦車動画で有名な天安門とかいう広場のある某国のサーバーに接続されるようになっていました。
（htmlメール表示時に「https:」で始まるように見える「mufg.jp」ドメインは文字として表示されているだけ)
偽装サイトにウイルスが仕掛けられたりしていたら嫌なので繋いでませんが、繋いだらどうなるのかは？？？
どちらにしろ銀行口座の不正利用や、乗っ取りされかねない、危険な詐欺スパム（（（((((･･; サササッ
