<迷惑メール>Officeプロダクトキー不正コピーで騙す詐欺フィッシング注意 : 無題なログ

<迷惑メール>Officeプロダクトキー不正コピーで騙す詐欺フィッシング注意

OFFICEのプロダクトキーが不正コピー!?

日本マイクロソフト を勝手に名乗って成りすまし、「不正コピーされたプロダクトキーでオフィス製品 Microsoft Office を利用してる」という通知を装った日本語の怪しい 迷惑メール（スパムメール） が不特定多数に送信されてます。

不審メール件名ご注意！！OFFICEのプロダクトキーが不正コピーされています。 / 警告！！ご利用のOFFICEのプロダクトキーが何者かにコピーされています。
差出人 <support ＠ microsoft-securityprotection-support>
セキュリティ警告！！
お使いになっているオフィスソフトの授権が終了されてしまう可能性があります！！
日本マイクロソフトセキュリティチームはお使いのオフィスソフトのプロダクトキーが違法コピーをされた可能性があることを発見しています。
攻撃者はお使いのオフィスソフトのプロダクトキーを利用して他のオフィスソフトを起動しようと試みています。ご本人の操作なのかどうかが確定できないため、お手数ですが、直ちに検証作業をしてくださいますようお願いします。
検証作業をしていただけない場合、日本マイクロソフトはお使いのオフィスソフトのプロダクトキーの授権状態を終了させていただきますので、ご了承ください。
今すぐ認証
*ライセンス認証(マイクロソフトプロダクトアクティベーション)とは、不正コピーを防止するための技術で、手続きは、短時間で簡単に実行できますまた、この手続きは匿名で行われるので、お客様の個人情報は保護されております。

詐欺メール件名［大切］マイクロソフトのプロダクトキーが不正コピーされた警告です！
［大切］すぐマイクロソフトのプロダクトキーをご認証ください。さもなくば権限付与が中止されます！
ご利用のオフィスソフトの授権が終了されてしまう恐れがあります！
マイクロソフトセキュリティチームはご利用のオフィスソフトのプロダクトキーが違法コピーされた恐れがあることを発見しています。
攻撃者はご利用のオフィスソフトのプロダクトキーでほかのオフィスソフトを起動する試みをしています。ご本人の操作なのかどうかが確定できないので、お手数ですが、検証作業をしてください。
検証作業をしていただけない場合、ご利用のオフィスソフトのプロダクトキーの授権状態を終了しますので、ご了承ください。
今すぐ認証
*ライセンス認証(マイクロソフトプロダクトアクティベーション)とは、不正なコピーを防止する技術で、手続きは簡単に実行できます。また、この手続きは匿名で行われるので、お客様のプライベートな情報は保護されています。ご安心ください。

日本語の文章が不自然なので怪しいEメールと気づくことが可能だけど、自称「日本マイクロソフト」による衝撃的な警告で驚かせて心理的に焦って内容です。

日常的に使わない表現で怪しい「オフィスソフトの授権が終了」「プロダクトキーの授権状態を」
企業が送信する真面目に重要なEメールでは一般的に使用しないビックリマークが登場！！

怪しいEメール誘導先はマイクロソフトの偽ログインページ

メール本文中の [今すぐ認証]リンク をポチッとクリックすると、誘導先は Microsoft Office の公式サイトっぽく外観デザインが巧妙に偽装されてる不正なページでした。

＜動揺させる演出かブラウザのダイアログを2回ポップアップ表示する

《ブラウザのダイアログ》
セキュリティ警告！！

お使いになっているオフィスソフトの授権が終了されてしまう可能性があります！！

日本マイクロソフトセキュリティチームはお使いのオフィスソフトのプロダクトキーが違法コピーをされた可能性があることを発見しています。攻撃者はお使いのオフィスソフトのプロダクトキーを利用して他のオフィスソフトを起動しようと試みています。ご本人の操作なのかどうかが確定できないため、お手数ですが、直ちに検証作業をしてくださいますようお願いします。検証作業をしていただけない場合、日本マイクロソフトはお使いのオフィスソフトのプロダクトキーの授権状態を終了させていただきますので、ご了承ください。
あなたのOfficeプロダクトキー及び製品包装を他人に漏えいしないでください。

直ちに下記の手順で検証を行って、安全で信頼できるpinコードを設定することであなたのOfficeを保護してください。検証をしていただけない場合は、あなたのプロダクトキーが間もなく取り消されることになります。

Officeに新しいプロダクトキーを改めて購入しなければなりませんので、ご注意ください。

《ページの内容》
ご注意！！OFFICEのプロダクトキーが不正コピーされています
お客様のOfficeのプロダクトキーが不正コピーされていることが日本マイクロソフトに検出されました。正規版の利用者であれば、日本マイクロソフトの認証にご協力ください。でなければ24時間後に当プロダクトキーを無効にします [今すぐ認証]

このページの [今すぐ認証]リンク をポチッとクリックするとメールアドレスとパスワードの入力欄が用意された偽サインインページへ移動します。

「マイクロソフトアカウントのサインイン」と称した偽ログインページ

Microsoft アカウントを盗みとることを目的にしたフィッシング詐欺の脅威と分かります。

マイクロソフトを装った不審メールの配信について | News Center Japan
https://news.microsoft.com/ja-jp/2017/01/12/

2017年1月11日深夜より、マイクロソフトを装った『ご注意！！OFFICEのプロダクトキーが不正コピーされています。』という件名の不審メールが、不特定多数のお客様に断続的に配信されています。
このメールはマイクロソフトから配信したものではなく、記載されている内容は事実ではありません。メールの受信を確認した場合は、開かずに、そのまま削除してください。
メールを開いてしまった場合でも、本文中に記載のURLをクリックしないでください。URLをクリックすると、クレジットカード情報等の個人情報入力を求められる画面が表示されますが、絶対に情報を入力しないようお願いいたします。

個人情報とクレジットカード情報の送信を要求する詐欺

その先の画面へ進めると、氏名、住所、電話番号、さらにクレジットカード情報の入力フォームを確認できました。

＜PINコード？

「PINコードを用いてOfficeを守ります」!?

PINコードを用いてOfficeを守ります
PINコードと本パソコンのOffice認証コードを併用することで、万が一Office認証コードが故障し、または紛失した場合、PINコードで修復可能です。
*ライセンス認証(マイクロソフトプロダクトアクティベーション)とは、不正コピーを防止するための技術で、手続きは、短時間で簡単に実行できますまた、この手続きは匿名で行われるので、お客様の個人情報は保護されております。
詳しいお客様情報の追加
アカウント認証のため、さらに多くの情報が必要です。
お支払い情報の追加
Microsoft では、お客様のプライバシー保護に努めております。詳細については、プライバシーとクッキーをお読みください。

Q. ウイルスに感染しますか？

いいえ。仮にフィッシング詐欺サイトにアクセスしても、コンピュータウイルス（マルウェア）に感染する場面は存在せず大丈夫♪

あなたの意思でもって、アカウント情報やクレジットカード情報を入力して送信しない限り、危険性はありません。

マイクロソフトを騙るフィッシング詐欺サイト URL アドレス

フィッシングサイトのURLアドレスは異様に長い文字列で、正規マイクロソフトのドメイン名 microsoft.com ではありません。

＜見分け方はURLアドレスで

【フィッシング詐欺サイト URL 例】
http：// microsoft-securityprotection-support[.]com/
→ http：// microsoft-securityprotection-support[.]com/verify.html

http：// support-securityprotection-microsoft[.]com/
→ http：// support-securityprotection-microsoft[.]com/verify.html

http：// warning-securityprotection-microsoft[.]com/

http：// dns8u[.]com/
　↓
http：// warning-securityteam-microsoft[.]com/
http：// warning-securityteam-microsoft[.]com/verify.html

サーバーの地理的な位置は、海外の ロシア、あるいは アメリカ でした。

> www.virustotal.com/ja/ip-address/5.63.154.184/information/ ロシア
> www.virustotal.com/ja/ip-address/104.27.161.63/information/ アメリカ
> www.virustotal.com/ja/ip-address/205.251.129.23/information/

フィッシング詐欺サイトのドメイン保有者はロシア人？

ドメイン保有者の WHOIS 情報を確認してみると、虚偽でデタラメの可能性もあるけれど、中国・上海市の住所の外国人がロシア系レジストラ「reg.ru」でドメインを取得しています。

Registrant Name: Lev Aleksandr
Registrant Street: Shankhai-roud 1 d
Registrant City: Shankhai ploshchad
Registrant State/Province: ShankhShankhai
Registrant Postal Code: 120000
Registrant Country: CN
Registrant Email: rippertheworld ＠ gmail

もう一つのドメイン保有者は、ロシア系レジストラ「Regtime Ltd.」で取得されていて、日本の名古屋の住所、ロシア人っぽい名前でしょうか。

Registrant Name: Sidorov Petrovich
Registrant Street: KUSUMURA Company 79-3Chaomei, syumoku-Chao
Registrant City: Higasi-Ku
Registrant State/Province: Nagoya-Shi
Registrant Postal Code: 4610014
Registrant Country: JP
Registrant Email: syas33_wawa＠mail[.]ru

一方で、フィッシングサイトの HTML ソースを確認すると、中国で正規に提供されてるアクセス解析サービス 51.la の JavaScript コードが末尾に確認できます。