sima2*blog

まずはメールのテキストから。

宛先：*****@*******
件名：Citicard Account Verification
差出人：account@citibank.com

Dear Citicard Member,

Recently, our Account Review Team identified some unusual activity in your
account. In accordance with our User Agreement and to ensure that your
account has not been compromised, access to your account was flagged.
Your account will remain flagged until this issue has been resolved.
This is a fraud prevention measure meant to ensure that your account
is not compromised.

We encourage you to log in and restore full access as soon as possible.
Should your account remain flagged for an extended period of time,
it may result in further limitations on the use of your account or
may result in eventual account closure.

Please click on the link below to complete the verification process
and restore full access to your account.

https://www.citibank.com/us/cards/?flag=1&sessID=23&type=verify

Thank you for your prompt attention to this matter.
We apologize for any inconvenience.

Sincerely,
CitiBank Account Management

Copyright © 2005, Citicorp

なんか「あなたのアカウントでちょっと不審な操作があったのでフォームで情報を確認したい」とかなんとかいっちゃってます。不審な動きをしてるのはキミだろうがｗ
普通のテキストっぽい内容で、ＵＲＬもcitibank.comなのでクリックしよっかなー、と思うと、このメールがＨＴＭＬメールになっていてリンク先がＩＰベースの全然違うところになっています。そこをクリックしてみると・・・

これが実際のサイトとフィッシングサイトです。ロゴとかはご丁寧に一緒になっていますが、やっぱり色調に統一感がないですね。しかし、ちょっとコピペ系をやるだけで個々まで作れちゃうのか、と感心しました。
実際のURLはhttp://xxx.xxx.xxx.xxx/citibank/とかになっていて、しばらく/yahoo/とか/eBay/とか色々試してしまいましたｗ

細かいところを見ると変なことになっちゃったりしています。ちゃんとJavaScriptでの入力チェックとかがあって、必死こいて情報取ろうとしています。
けど・・・前のメールで「大変大変」とか思ってると気がつかないかも知れないですねぇ。

既に既知のフィッシングサイトらしく、上のURLのIPでGoogleで検索してみたら1件引っかかりました。そこの情報からするとトルコのＩＰらしいです。

一応このまま適当な値を入れてサブミットすると「Success！」というページにいって、しばらくすると次は「citibank IRA」とかいう別のフィッシングサイトに飛びますｗ
ＩＲＡを調べてみると米国の確定拠出型の個人年金の略称みたいですね。いやー、どっかの街金から街金へ・・・みたいなたらいまわし状態でしたｗ