h-harryの日記： amazon.co.jpを騙るフィッシングのFromアドレス

「Subject: Amazon.co.jp にご登録のアカウント（名前、パスワード、その他個人情報）の確認」で来ている詐欺メールのFromの変遷が面白い

古いものから
From: "Amazon.co.jp" <[e-mail]>
From: "Amazon.co.jp" <[e-mail]>
From: "Amazon.co.jp" <[e-mail]>
From: "Amazon.co.jp" <[e-mail]>
From: "Amazon.co.jp" <[e-mail]>
From: "Amazon.co.jp" <[e-mail]>
From: "Amazon.co.jp" <[e-mail]>
From: "Amazon.co.jp" <[e-mail]>
From: "Amazon.co.jp" <[e-mail]>
From: "Amazon.co.jp" <[e-mail]>

あからさまに怪しいアドレスからマトモっぽいものになっている。
Fromなんて詐称しているんだから始めからamazon.co.jp使ってればいいのに。

DMARC

[Anonymous Coward]

amazon.co.jpはDMARC設定してあるので、header fromを詐称しては届きにくくなってしまうと思いますが。

Re:DMARC

[h-harry (24932)]

ヘッダー見てみると

Authentication-Results: smtp.sample.com; spf=permerror smtp.mailfrom=[e-mail];
          dkim=neutral reason="no\ key\ for\ signature" header.i=[e-mail];
          dmarc=fail header.from=[e-mail]
Received: from amazon.co.jp ([45.220.67.91])
          by smpt.sample.com. with ESMTP id xxxx
          for [e-mail]; Thu, 23 Jan 2020 21:14:18 +0900

となってますね。
spf/dmarcはfailしているけどプロバイダーが受け付けているのか。
接続元はVPNみたいです。

inetnum: 45.220.64.0 - 45.220.95.255
netname: VPN5
descr: low budget VPN service
country: US
admin-c: MU6-AFRINIC
tech-c: MU6-AFRINIC
status: ASSIGNED PA
mnt-by: InspiringNetworks-mnt
source: AFRINIC # Filtered
parent: 45.220.64.0 - 45.220.127.255

Re:

[Anonymous Coward]

SPF も同じかなー
$ dig -t TXT amazon.co.jp
前略
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;amazon.co.jp. IN TXT

;; ANSWER SECTION:
amazon.co.jp. 3600 IN TXT "spf2.0/pra include:amazon.com include:spf-bma.mpme.jp include:amazon-spf.mrs.mpub.ne.jp -all"
amazon.co.jp. 3600 IN TXT "v=spf1 include:amazon.com include:spf-bma.mpme.jp include:amazon-spf.mrs.mpub.ne.jp -all"
amazon.co.jp. 3600 IN TXT