GmailとAmazonの仕様の違いを利用した恐ろしく巧妙なスパムの話

おかしなメールが届くようになったのは、きっとどこかでメアドが漏れたせいです。

GmailとAmazonを使ったスパムが巧妙すぎて怖い。

（序章）Facebookからのメアド追加確認メール

先日、Facebookからこんなメールが届きました。

ある人（Aさんとします）のアカウントにこのメールアドレスが追加されたので認証してね、という内容です。

メールアドレスはたしかに私のものです。（だから自分に届いた）

しかし、アカウント名のAさんの名前に見覚えはありません。

メールの差し出し人のアドレスは「noreply@facebookmail.com」で、このドメインはFacebookがユーザーにメールを送るときの正式のものだったはず。

Aさん（またはそのFacebookアカウントにアクセスできる人）がFacebook上で私のメールアドレスを追加する操作を行い、そのメアドの認証のためにこのメールが送られた、ということのようです。

Aさんが実在するFacebookユーザーなのか、それともAさんのアカウントがスパマーが作ったスパム用アカウントなのかはわかりません。

このメールが届いたせいで「どこかで自分のメアドが漏れてるな」と警戒心が高まりました。

Facebookからのメールを受け取った数日後、こんどはAmazonからこんなメールが届きました。

Amazonで新しいアカウントを作る操作をしたときに、メールアドレスが正しいことを確認するためのメールです。

メールの差出人アドレスのドメインは「amazon.co.jp」で、こちらも本物のAmazonから送られてきているようです。（ヘッダーも見ましたが偽装されている様子はありません）

しかしこのメール、よく見てみると宛先アドレスの「@」より手前の途中に「.」（ピリオド）が一つ挟まれています。

正しいアドレスが「abc1234xyz@gmail.com」だとすると、「abc.1234xyz@gmail.com」のようになっているということです。

Gmailの仕様では、メールアドレスの途中にピリオドを加えて送信されたメールも、すべてピリオドなしのアドレスの持ち主に送られることになっています。（ピリオドの有無でユーザーを区別しないということです）

これは賢い人が悪事を働こうとしているのではないか？

Facebookの方はどういう意図で送られたものかわかりませんが、Amazonの方はスパムの匂いがします。それもとても巧妙な。

どういうことかというと…

スパマーが実在のGmailアドレスを手に入れる
メアドはあちこちで漏れるものです。
スパマーは1.にピリオドを追加したメアドを使って新しいAmazonアカウントを作る
Amazonはピリオドの有無を区別するので、新しいアカウントとして認識される。
Amazon（本物）からの確認メールがメアドの持ち主に届く
普段からAmazonを利用しているユーザーなら、気づかずに承認する可能性が高い。
結果、スパマーは他人のメアドを使ったAmazonアカウントを手に入れる
その後スパマーは、このAmazonアカウント経由でメアドの持ち主の個人情報や決済情報を手に入れる
Amazonアカウントの情報更新を促すメールをAmazonから送らせる方法があるのでしょう。

4.でメアドの持ち主が受け取るメールはAmazonからの本物のメールで、そこから誘導されるサイトも本物のAmazonのサイトになるはずなので、注意深い人でも騙されてしまうんじゃないでしょうか。

3.を突破されないことが大切です。

今回わたしはたまたま気づくことができましたが、たとえばお酒を飲んで警戒心が緩んでいたりしたら、どうなっていたかわかりません。

また、自分の家族がこういう攻撃をかわせるかというと、非常に心もとないです。

やっぱりセキュリティソフトくらい入れておいたほうがいいのかもしれませんね。