身に覚え無いの無い「ご利用のお知らせ」通知が届くクレジットカード
2023年5月から急に増えた。件名「ご利用のお知らせ」のメール。それも天下の三井住友カードさんを名乗ってますよー。これは酷い。
ほぼ毎日のように4時間置きとか1日2回も届いています。
結論からいうと、利用通知サービスは設定しているけど、メールアドレスが異なり、内容に全く身に覚えのない利用場所と時間、金額です。全く無関係なので、詐欺・迷惑メールなのは間違いありません。
ただ、変なIPアドレスやドメイン、リダイレクトは見つからなかったんですよね。
それにメールヘッダーは合っている？！と判断できる状態でした。
あまり参考にはなりませんが、同じメール本文を受信した人は多いと思います。心当たりがなければ迷惑メール扱いで問題無いでしょう。他の記事も含め、ポイントを抑えて怪しいメールを調べてみてください。
メール本文は本物と変わらない？
いつものように、メール本文を見てみると、URLも含め本物と何ら変わりません。URLも実在しているアドレスになってる。
三井住友カード ＳＭＢＣ会員 様
いつも三井住友カードをご利用頂きありがとうございます。
お客様のカードご利用内容をお知らせいたします。
ご利用カード：三井住友カードＶＩＳＡ（ＳＭＢＣ）
◇利用日：2023/06/12 08:44
◇利用先：ローソン
◇利用取引：買物
◇利用金額：612円
ご利用内容について、万が一身に覚えのない場合は、以下URLにてお問い合わせ先のご案内をしております。
▼身に覚えのない明細でお困りの方
https://www.smbc-card.com/mem/info/meisai_inquiry.jsp
また、ご自身でカードのご利用を一時的に制限することが可能なあんしん利用制限サービスをご用意しております。
▼あんしん利用制限サービスについて
http://vpass.jp/usage2m/
※カードご利用の承認照会があった場合に通知されるサービスであり、カードのご利用 及び ご請求を確定するものではありません。
※ご利用店舗は、当社に売上の情報が到着後、Vpassのご利用明細照会やWEB明細で確認していただけます。反映までにお日にちがかかる場合がございます。
※あとからリボ、あとから分割はご利用の内容がVpassのご利用明細照会やWEB明細に反映後、お申込みいただけるようになります。
※携帯電話や公共料金などの継続的なご利用（注） 及び ETCやPiTaPa等、一部の電子マネー利用については通知されません。
（注）利用内容によっては通知される可能性がございます。
▼Oliveフレキシブルペイをお持ちのお客様
本通知はクレジットモードのご利用のお知らせです。明細の確認や利用制限等の各種照会・設定はアプリからお手続きください。
▼Vpassのログインはこちら
https://www.smbc-card.com/mem/index.jsp
▼ご利用通知サービスの詳細、設定変更・解除はこちら
https://www.smbc-card.com/mem/service/sec/selfcontrol/usage_notice.jsp
※このメールアドレスは送信専用です。ご返信に回答できません。
■発行者■
三井住友カード株式会社
https://www.smbc-card.com/
〒135-0061 東京都江東区豊洲2丁目2番31号 SMBC豊洲ビル
唯一、ダウトだと思えのは「三井住友カード ＳＭＢＣ会員 様」と登録者名や設定したニックネームが入っていないことが挙げられる。私は設定している。皆さん、設定した方が良いですよー。
メールサービス「三井住友カードレター」や「WEB明細」でお送りする「請求額確定通知メール」には、お客さまが指定したハンドルネームが付きますので確認しましょう。（ハンドルネームの登録がない場合はカード名称を表示）
引用元：https://www.smbc-card.com/mem/service/sec/phishing01.jsp
認証結果もパスしてる
認証結果も正しいみたいで、dkim、spfは共にパスして、dmarcもパスしている。
Authentication-Results: mx.google.com;
dkim=pass header.i=@vpass.ne.jp header.s=s-dkim-key02 header.b=m1F4LFmL;
spf=pass (google.com: domain of ds-id0lis2o1e2uq.3ad49f4e@mail401.vpass.ne.jp designates 58.138.162.11 as permitted sender) smtp.mailfrom=ds-id0lis2o1e2uq.3ad49f4e@mail401.vpass.ne.jp;
dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=vpass.ne.jp
designates 58.138.162.11 as permitted senderとあるように、許可されている送信者になっている。
これ、本物じゃね？？
怪しいところが見つからない･･･。
三井住友カードの公式にある通知サンプルとも同じです。まぁ、これは真似られるけどね。
ご利用のお知らせ【三井住友カード】 〇〇 様 いつも三井住友カードをご利用頂きありがとうございます。 お客様のカードご利用内容をお知らせいたします。 ご利用カード：〇〇カード ◇利用日：XXXX/XX/XX XX:XX ◇ご利用先店名：XXX ◇利用取引：買物 ◇利用金額：XXX円 ご利用内容について、万が一身に覚えのない場合は、ご自身でカードのご利用を一時的に制限することが可能なあんしん利用制限サービスをご用意しております。以下URLよりご設定ください。 ▼あんしん利用制限サービスについて http://vpass.jp/usage2m/ カードご利用の承認照会があった場合に通知されるサービスであり、カードのご利用 及び ご請求を確定するものではありません。 ご利用店舗は、当社に売上の情報が到着後、Vpassのご利用明細照会やWEB明細で確認していただけます。反映までにお日にちがかかる場合がございます。 あとからリボ、あとから分割はご利用の内容がVpassのご利用明細照会やWEB明細に反映後、お申込みいただけるようになります。 携帯電話や公共料金などの継続的なご利用（注） 及び ETCやPiTaPa等、一部の電子マネー利用については通知されません。 （注）利用内容によっては通知される可能性がございます。 ▼Vpassのログインはこちら https://www.smbc-card.com/mem/index.jsp ▼ご利用通知サービスのサービス内容紹介はこちら http://vpass.jp/selfcontrol/ このメールアドレスは送信専用です。ご返信に回答できません。 ■発行者■ 三井住友カード株式会社 http://www.smbc-card.com/ 〒135-0061 東京都江東区豊洲2丁目2番31号 SMBC豊洲ビル引用元：https://www.smbc-card.com/mem/service/sec/selfcontrol/pop/usage_notice_sample.jsp
Gmailで受信しているとリンクのHTMLはリダイレクト
ちなみに、Gmailではリンクのソースは、次のようにgoogle.comにクエリとして外部URLへリダイレクトするように設定されます。
メール本文のHTMLソースを見ると分かる。
...data-saferedirecturl="https://www.google.com/url?q=http://vpass.jp/usage2m/&source=gmail&ust=999999999999990&usg=xxxxxxxxxxxxxxx"
このクエリに指定されたURL（https://www.google.com/url?q=以降）が、実際に表示されているURLと異なるというなら偽サイトへの誘導と言えるでしょう。（今回は同じURLだった）
Gmail自体がこのようなURL表示をさせるので、ここにgoogleとあっても、それがGmailであれば通常通りかと思われる。
本当はGmailで受信しない方が分かりやすい。
メールヘッダーも見てみた
メールヘッダーはいつものと違い、ダウトな箇所が見つかりませんでした。
ヘッダー内にあるURLもIPアドレスも三井住友カード関連のサーバの様子です。
58.138.162.11
mail311.smbc.co.jp
@mail401.vpass.ne.jp
@mail601.vpass.ne.jp
statement@vpass.ne.jp
webmaster@smbc-card.com
それぞれサーバドメインも本物だった。
送信者がmail311.smbc.co.jpで、送信者IPアドレスは58.138.162.11となっていて問題無かった。
先程のようにdmarcもパスしていることもあり、偽装もされないと判断しても良いと思う。
一定の評価があるdmarcを疑っては本末転倒な気がするが、仮に信頼をするなら偽装されていないことになる。そうなると説明が付かない。
見覚えないのに本物？？
実際、送られているメール内容をみても、その時間に買い物もしていませんし、そもそもカードも使っていません。利用明細をWeb明細で確認しても全く挙がっていない。（リンクから飛ばず、きちんとブックマークしたページからログインしている）
毎日のように2〜3通は届いていて、1,000円以下の少額決済をコンビニでというのが多い。
もっというと、コンビニのローソンは住んでいる地域と隣の市町村を合わせても、恐らく2〜3店舗しかない場所のため、4時間置きに毎日買い物行くこともありませんし、できません。
他にも、餃子の王将 大岡山店での買い物などあった。
株式会社王将フードサービスさんでは別の内容でも被害があるらしい。
心当たりが1つある
もしかしたら、という心当たりが1つだけあります。
現在も三井住友カードは利用していますが、**実は10年以上前に、この受信しているメールアドレスで設定してた過去があります。**といっても10年、いや15年以上前だと思うし、そもそも当時のカードは解約しています。
現在の三井住友カードには、このメールアドレスで一度も設定していません。
このことから推察するに、以前の情報が残っていて、どういうことか検討も付きませんが悪用されているのではないか？？
誰がということは難しいでしょうから、機械的に悪用されている気がする。
流石に楽天市場みたいにメールアドレスの有効性を確認しないでカードに紐付け登録できることはありませんからね。
合わせて、この受信したメールアドレスは、全世界に漏洩しています･･･。当時IDもパスワードもね。2つの会社から漏洩しました。（某通信会社と某通信教育業者）
あっ、書いてもいいか、事実だし。
ソフトバンクBBと進研ゼミです。
どちらも確か500円のクオカードで済まされた。今はしっかりとしたセキュリティなんでしょうけどね。当時はビックリしましたよ。
後に世界に漏洩したのをこの目で確認しました！
その後にパスワードは変更しましたし、二段階認証なので不正ログインはないのですが、どうも悪用されているっぽいんですよね。赤い国にね。
今回はお手上げ･･･
先ず、不審なメール本文のURLをクリックしないのは、皆さんも徹底してください。
今回は記載されているURLも別に調べて確認しました。
私が理解出来る範囲では、初めてお手上げ状態の迷惑メールです。もっと深く理解しないと読み解けない。
これまでの経験と知識では、今回のメールは本物と変わらないという判断でした。メール送信者から受信までは特にダウトらしいのは見つかりませんでした。
となると、大元が管理している部分に、この受信したメールアドレスがあるかどうかってことですよね。それは個人では特定できません。仮に不具合があっても認めないでしょう。
疑って悪いですが、これは複雑にしている企業にも問題があるような気がしますよ。
大手だと仕方ないけど、メールサーバだけでもたくさんあります。当然ながらAkamaiも使っているようですし、大規模ならロードバランサーも必要です。業務ごとにも分けないとならないでしょうから、どんどん複雑な作りになっていくのは想像できます。
しかし、なぜ私の該当メールアドレスに届いてしまうのか不思議。傷物のメルアドですから気にしてませんがね。
5月から増えたのは、**「Vpass」にてご利用通知サービスを受付いたしましたので、本メールにてご案内いたします。**というメールも届いていたんですよ。
利用通知サービスは有効にしていますけど登録メルアドが違うんです。それにニックネームも設定しています。だから、該当メールアドレスに届くわけがないのです。
そして、最大の問題は、設定してあるメルアドに利用通知メールが届いていない！？
多分、恐らく、推測ですが、利用通知をオンにしたら、昔々の解約したメルアドに紐付いてしまっている？！！ しかも利用金額も何もかもデタラメか、悪さされているか、他人と紐付いているか？？
あくまでも邪推なので、確証は何もありません。
なので、利用通知をオフして様子を見ることにします。
もしも、邪推が合っていたらとしたら、大変なことですねー。そのシステム。
追記2023/6/19：**利用通知サービスを停止しても、迷惑メールは止まらない。**明細にも載っていない。
今回は私の特殊なメルアドによって起きているケースだと思います。請求もされていないし、迷惑メールが届くだけなので実害はありません。
もしかして、メールサーバがハックされているんじゃないか？？
どの企業も、なんだかややこしい事になっているんじゃないですかねー。
まさにカオス状態。嫌な世界でございます。
