今日も怪しいメールがやってきた。
今回は、受信したメールの怪しさを判定するのに利用している方法の一つを紹介しよう。
今回受信したメール。
題名：（三菱UFJニコス）通信の一部が第三者に漏えいする可能性があることが報告されています。
差出人：三菱UFJニコス<smbc@edm2.smbccojp3.com>
宛先 ：
本文
いつも三菱UFJニコスをご利用いただき、誠にありがとうございます。
～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～
インターネット通信の暗号化方式「SSL3.0」および「TLS1.0」「TLS1.1」について、通
信の一部が第三者に漏えいする可能性があることが報告されています。
このため、当行においてもセキュリティ強化のためSSL3.0、TLS1.0、TLS1.1による通信
を無効化いたします。
お客さまのDCカード・MUFGカード・NICOSカードにおいて第三者による不正利用の懸念
がございましたので、会員規約第3条に基づきカード利用を一時利用停止されました。
ご利用環境が本人の確認してからセキュリティ更新後、下記のURLを再開手続きの設定
してださい。（この辺りの日本語は怪しい。一ノ谷）
～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～
※本メールは、セキュリティ強化のため、下記のURLを再開手続きはこちら↓（これも怪しい）
https://www2.cr.mufg.jp/newsplus/?xxxxxxxxxxxxxxxxxxxx(一ノ谷が一部修正しました）
～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～
※本メールは三菱UFJニコスの「Ｅメール通知サービス」を
ご利用のお客さまへ配信しています。
■編集・発行:株式会社三菱UFJ銀行
東京都千代田区丸の内2-7-1
[登録金融機関]関東財務局長(登金)第5号
[加入協会]日本証券業協会
一般社団法人 金融先物取引業協会
一般社団法人 第二種金融商品取引業協会
■ご登録にお心あたりのない場合や電子署名についてのお問い合わせ
<インターネットバンキングヘルプデスク>
0120-xxx-xxx(または042-xxx-xxxx(通話料有料))(一ノ谷が一部修正しました)
受付時間/毎日 9:00～21:00
■配信停止・Eメールアドレス変更はこちらからお手続きください。
https://direct.bk.mufg.jp/btm/xxxxxxxxxxxxxxxx.html(一ノ谷が一部修正しました)
■個人情報保護方針について
三菱UFJニコスでは、お客さまの個人情報を適切に保護するため、その取り扱いにつき
ましては細心の注意を払っています。
https://www.bk.mufg.jp/kojinjouhou/xxxxxxx.html(一ノ谷が一部修正しました)
■本メールの送信アドレスは送信専用となっております。返信メールでのお問い合わせ
は承りかねますので、あらかじめご了承願います。(23726)
――Copyright(C) MUFG Bank,Ltd.All rights reserved.―― 04:32
ざっと読んだだけではそれなりにもっともらしく思えたので、メールヘッダの詳細に書かれている「Authentication-Results」をみてみることにした。
Authentication-Results：
nifty.com; spf=none
smtp.mailfrom=smbc@edm2.smbccojp3.com; sender-id=none
header.From=smbc@edm2.smbccojp3.com; dkim=none; dkim-adsp=none
上から、一行ずつ読んでみる。
「Authentication-Results：」というのは、メールヘッダの一項目で、受信したメールに対して、「SPF」や「DKIM」といった送信元を保証するしくみ（送信ドメイン認証）を利用して、なりすまし・偽証メールかどうかの結果を記録している。
nifty.com; spf=none
SPF（Sender Policy Framework）というのは、あらかじめDNSサーバーにメールを送信するサーバーの情報を登録しておき、受信した側が受信したメールの送信元とDNSサーバーの登録情報を照合する認証方式である。
値がnoneになっている場合は、SPFレコードが宣言されていないということである。
smtp.mailfrom=smbc@edm2.smbccojp3.com；sender-id=none
Sender IDというのは、SPFと同様にメールの送信元とDNSサーバーの登録情報を照合する認証方式である。
メールの送信元はヘッダーのResent-Sender、Resent-From、Sender、From。
値がnoneになっている場合は、SPFレコードが宣言されていないということである。
header.From=smbc@edm2.smbccojp3.com; dkim=none; dkim-adsp=none
DKIM（DomainKeys Identified Mail）というのは、送信者が送信サーバーにある秘密鍵を使ってメッセージの電子署名を付与し、受信者はDNSサーバーから送信者ドメインの公開鍵を取得し、電子署名を照合する認証方式である。
値がnoneになっている場合は、メールにDKIMの電子署名が付与されていないということである。
結論としては、このメールが正しい送信元から届いたかどうかは保証されていないということである。
以下に、NTT西日本とアマゾンの公式からから届いたメールのAuthentication-Results：を載せる。
NTT西日本
Authentication-Results：
nifty.com; spf=pass
smtp.mailfrom=bounce-000012217-xxxxxxxxxxxxxx@dm3.club-ntt-west.com;（一ノ谷博士が一部修正）
sender-id=softfail header.From=chienetta@ipcc.ntt-w.net; dkim=none;
dkim-adsp=none
アマゾン
Authentication-Results：
nifty.com; spf=pass
smtp.mailfrom=202009250335024b205654xxxxxxxxxxxxxxxxxx0p0fe-c23mu3c5kuydda@bounces.amazon.co.jp;（一ノ谷博士が一部修正）
sender-id=pass header.From=store-news@amazon.co.jp; dkim=pass
header.i=@amazon.co.jp; dkim-adsp=pass
値がpassになっているのは、認証に成功した。もしくは、メールにDKIMの電子署名が付与されており、照合が成功したという意味である。
毎日これでもかというほどやってくるアマゾンの迷惑メールだが、さすがにアマゾンの公式側でもきちんと認識しているようで、メールヘッダの詳細を見ると簡単に識別できる。
いずれにしても、頻繁に利用するサイトからの連絡メールは書かれているリンクは利用せずにあらかじめ登録しておいた、ブラウザのお気に入りなどを利用したほうがいいだろう。
今回紹介した、「題名：（三菱UFJニコス）通信の一部が第三者に漏えいする可能性があることが報告されています。」というメールはどうやらフィッシングメールのようですので、同じメールを受信した方は、リンクに触れずに削除されることをお勧めします。
追記:我が家に届いた迷惑メールには、送信ドメイン認証が全てpassしているのに、ドメインの情報が存在しないケースがあります。
きちんと迷惑メールに分類した@niftyのメールサーバーは偉い。かな（笑）。
今回は、受信したメールの怪しさを判定するのに利用している方法の一つを紹介しよう。
今回受信したメール。
題名：（三菱UFJニコス）通信の一部が第三者に漏えいする可能性があることが報告されています。
差出人：三菱UFJニコス<smbc@edm2.smbccojp3.com>
宛先 ：
本文
いつも三菱UFJニコスをご利用いただき、誠にありがとうございます。
～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～
インターネット通信の暗号化方式「SSL3.0」および「TLS1.0」「TLS1.1」について、通
信の一部が第三者に漏えいする可能性があることが報告されています。
このため、当行においてもセキュリティ強化のためSSL3.0、TLS1.0、TLS1.1による通信
を無効化いたします。
お客さまのDCカード・MUFGカード・NICOSカードにおいて第三者による不正利用の懸念
がございましたので、会員規約第3条に基づきカード利用を一時利用停止されました。
ご利用環境が本人の確認してからセキュリティ更新後、下記のURLを再開手続きの設定
してださい。（この辺りの日本語は怪しい。一ノ谷）
～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～
※本メールは、セキュリティ強化のため、下記のURLを再開手続きはこちら↓（これも怪しい）
https://www2.cr.mufg.jp/newsplus/?xxxxxxxxxxxxxxxxxxxx(一ノ谷が一部修正しました）
～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～
※本メールは三菱UFJニコスの「Ｅメール通知サービス」を
ご利用のお客さまへ配信しています。
■編集・発行:株式会社三菱UFJ銀行
東京都千代田区丸の内2-7-1
[登録金融機関]関東財務局長(登金)第5号
[加入協会]日本証券業協会
一般社団法人 金融先物取引業協会
一般社団法人 第二種金融商品取引業協会
■ご登録にお心あたりのない場合や電子署名についてのお問い合わせ
<インターネットバンキングヘルプデスク>
0120-xxx-xxx(または042-xxx-xxxx(通話料有料))(一ノ谷が一部修正しました)
受付時間/毎日 9:00～21:00
■配信停止・Eメールアドレス変更はこちらからお手続きください。
https://direct.bk.mufg.jp/btm/xxxxxxxxxxxxxxxx.html(一ノ谷が一部修正しました)
■個人情報保護方針について
三菱UFJニコスでは、お客さまの個人情報を適切に保護するため、その取り扱いにつき
ましては細心の注意を払っています。
https://www.bk.mufg.jp/kojinjouhou/xxxxxxx.html(一ノ谷が一部修正しました)
■本メールの送信アドレスは送信専用となっております。返信メールでのお問い合わせ
は承りかねますので、あらかじめご了承願います。(23726)
――Copyright(C) MUFG Bank,Ltd.All rights reserved.―― 04:32
ざっと読んだだけではそれなりにもっともらしく思えたので、メールヘッダの詳細に書かれている「Authentication-Results」をみてみることにした。
Authentication-Results：
nifty.com; spf=none
smtp.mailfrom=smbc@edm2.smbccojp3.com; sender-id=none
header.From=smbc@edm2.smbccojp3.com; dkim=none; dkim-adsp=none
上から、一行ずつ読んでみる。
「Authentication-Results：」というのは、メールヘッダの一項目で、受信したメールに対して、「SPF」や「DKIM」といった送信元を保証するしくみ（送信ドメイン認証）を利用して、なりすまし・偽証メールかどうかの結果を記録している。
nifty.com; spf=none
SPF（Sender Policy Framework）というのは、あらかじめDNSサーバーにメールを送信するサーバーの情報を登録しておき、受信した側が受信したメールの送信元とDNSサーバーの登録情報を照合する認証方式である。
値がnoneになっている場合は、SPFレコードが宣言されていないということである。
smtp.mailfrom=smbc@edm2.smbccojp3.com；sender-id=none
Sender IDというのは、SPFと同様にメールの送信元とDNSサーバーの登録情報を照合する認証方式である。
メールの送信元はヘッダーのResent-Sender、Resent-From、Sender、From。
値がnoneになっている場合は、SPFレコードが宣言されていないということである。
header.From=smbc@edm2.smbccojp3.com; dkim=none; dkim-adsp=none
DKIM（DomainKeys Identified Mail）というのは、送信者が送信サーバーにある秘密鍵を使ってメッセージの電子署名を付与し、受信者はDNSサーバーから送信者ドメインの公開鍵を取得し、電子署名を照合する認証方式である。
値がnoneになっている場合は、メールにDKIMの電子署名が付与されていないということである。
結論としては、このメールが正しい送信元から届いたかどうかは保証されていないということである。
以下に、NTT西日本とアマゾンの公式からから届いたメールのAuthentication-Results：を載せる。
NTT西日本
Authentication-Results：
nifty.com; spf=pass
smtp.mailfrom=bounce-000012217-xxxxxxxxxxxxxx@dm3.club-ntt-west.com;（一ノ谷博士が一部修正）
sender-id=softfail header.From=chienetta@ipcc.ntt-w.net; dkim=none;
dkim-adsp=none
アマゾン
Authentication-Results：
nifty.com; spf=pass
smtp.mailfrom=202009250335024b205654xxxxxxxxxxxxxxxxxx0p0fe-c23mu3c5kuydda@bounces.amazon.co.jp;（一ノ谷博士が一部修正）
sender-id=pass header.From=store-news@amazon.co.jp; dkim=pass
header.i=@amazon.co.jp; dkim-adsp=pass
値がpassになっているのは、認証に成功した。もしくは、メールにDKIMの電子署名が付与されており、照合が成功したという意味である。
毎日これでもかというほどやってくるアマゾンの迷惑メールだが、さすがにアマゾンの公式側でもきちんと認識しているようで、メールヘッダの詳細を見ると簡単に識別できる。
いずれにしても、頻繁に利用するサイトからの連絡メールは書かれているリンクは利用せずにあらかじめ登録しておいた、ブラウザのお気に入りなどを利用したほうがいいだろう。
今回紹介した、「題名：（三菱UFJニコス）通信の一部が第三者に漏えいする可能性があることが報告されています。」というメールはどうやらフィッシングメールのようですので、同じメールを受信した方は、リンクに触れずに削除されることをお勧めします。
追記:我が家に届いた迷惑メールには、送信ドメイン認証が全てpassしているのに、ドメインの情報が存在しないケースがあります。
きちんと迷惑メールに分類した@niftyのメールサーバーは偉い。かな（笑）。
