google.comのリダイレクタを使って ttp://220.227.40.36/.chaseonline.chase.com/ に飛ばされます。

アドレス220.227.40.36はインドで逆引きはありませんがSMTPの応答ではjctlinux.jctsfd.comです。ディレクトリ名がドットから始まるのでクラックされたものと考えられます。

サーバーの応答はApache/2.0.40 (Red Hat Linux)です。cyota.comに通報しました。

アンケートに答えると20ドル振り込むと餌を見せて口座情報、カード情報を詐取します。（上部）

上半分がアンケート、下半分が詐取画面です。（下部）

www.auction7-yahoo.comのアドレスは216.239.138.170でアメリカ、逆引きは216-239-138.170.cluster.omnis.comです。

ttp://www.auction7-yahoo.com/ としてつなぐと本物のオークションのログインページ ttp://login.yahoo.co.jp/config/login に飛ばされます。

ドメインauction7-yahoo.comはもちろん詐欺のために取得したもので3月30日の登録で期限は1年です。オーナーは以下のように一応日本人名義ですね。DNSなど実際につながるように登録データを変更したのは4月6日です。

Domain Name Owner:
Nonaka, Ayako
1418-7 Matsuoka
Fujishi, Shizuoka 416-0909
JP

Record Information:
Domain Record Created: March 30, 2006 00:00
Domain Record Updated: April 06, 2006 18:36
Domain Record Expires: March 30, 2007 00:00

omnis.comはレンタルサーバーなので犯人自身が加入したものと思われます。レンタルサーバーの管理者が設定したようでサーバーの応答からはOSなどを知る情報は入手できません。

IDとパスワードの詐取画面です。@を含むメールアドレスを入れると次のエラー画面になります。@が無いと本物のサイト（オークション）に飛ばされます。

エラー画面です。

本件は http://no.phishing.jp/pfile/2006/04/yahoo_japan_216.html から通報されたものです。JPCERTにも通報していただいたそうです。ありがとうございました。一応 omnis.com のabuseにも通報しました。

追記：16:55に調べたらアドレスはDNSから消滅していました。ドメインの状態も Status: REGISTRAR-HOLD となり何らかの措置が行われたものと思われます。生きているドメインだと通常 Status: REGISTRAR-LOCK か Status: ACTIVE のどちらかになります。

ClamAVでHTML.Phishing.Pay-17と検知されています。すでにページは消えています。

わかりやすい表記だとttp://72.41.236.36/images/.paypal.com/ でアメリカにあるシッピングサイトがクラックされていました。

現在のサーバーの応答は Apache/1.3.31 (Unix) PHP/4.3.11 mod_ssl/2.8.18 OpenSSL/0.9.6b FrontPage/5.0.2.2635 mod_throttle/3.1.2 です。