国税庁を装うメール
日々、様々なフィッシングメールやらspamが来るが、ちょっと面白い巧妙なものを見つけたので紹介。
差出人：e-Tax-Noreply@comm.zdlrd.com (国税庁なら info@e-tax.nta.go.jp)
件名：不正アクセスの可能性・至急確認
ドメインのSPF、DKIM、DMARCはちゃんとPASSしているが、表示送信者名(From)に細工がしてある。Unicodeの双方向テキスト制御文字（BiDi）を使って、「庁税国」を「国税庁」のように表示させる細工が含まれている。さらに件名にも、ゼロ幅文字などの不可視文字が挿入されている。
メール本文には、次のボタンが設置されている。
Android版 e-Tax アプリをダウンロード
実際のリンク先は以下はここで、大変危ない。
https://zdlrd.com/share/link/qkrw (クリックしないでね)
まあ、狙いは、
① 国税庁を装ったメールSPF / DKIM / DMARC = PASS
↓
② 不正アクセス警告
受信者に緊急対応を促す
↓
③ Androidアプリのダウンロード誘導
zdlrd.com/share/link/qkrw
↓
④ 不正アプリの配布・認証情報の窃取など
推定段階：リンク先の実体は未検証
なのだろう。
今回のメールで使われていたのは、Unicodeの BiDi（Bidirectional Text：双方向テキスト）制御という仕組みで、本来はアラビア語やヘブライ語など、右から左へ書く言語と、左から右へ書く言語を同じ文章に表示するための機能。ところが、この仕組みを悪用すると、実際に記録されている文字列と、画面上に表示される文字列を異なる順序にできる。
なぜ攻撃者はこんな面倒なことをするのか。理由の一つは、文字列を単純に照合する迷惑メールフィルタを回避するためだろう。こうすると、迷惑メールフィルタに「国税庁」と入れてあっても引っかからないで、メール件名は国税庁と表示される。
件名やHTML本文には、次のような文字も大量に挿入されていた。
– U+200B — ZERO WIDTH SPACE
– U+200C — ZERO WIDTH NON-JOINER
– U+200D — ZERO WIDTH JOINER
– U+2060 — WORD JOINER
– U+FEFF — ZERO WIDTH NO-BREAK SPACEとして使われることがある文字
これらは見た目をほぼ変えず、文字列の内部表現だけを変更できるもの。
気を付けましょう。
