一封突如其来的钓鱼邮件——追查以及建议

前言

晚上随便拿起手机一看，收到一封邮件，标题是日文的「【メルカリ】ログイン通知」。

大意是：你的 Mercari 账号刚刚在一台 iOS 设备上登录了，如果这不是你本人操作，请点下面的按钮修改密码。

问题是：我根本没有 Mercari 账号(ー_ー)!!

所以这封邮件从一开始就站不住脚 —— 一个不存在的账号，哪来的登录通知呢。

不过难得有人送上门来，我就顺手把它后面的东西查了一遍。结果比我想的有意思。

说明：本文所有信息来自公开渠道（WHOIS、DNS、证书透明度日志、邮件头），没有对目标站点做任何扫描或攻击。文中域名和 IP 均进行了去毒化处理（[.]、hxxps）。

一、第一眼为什么看不出问题

这封邮件做得很认真(以至于我真的点了链接，直到被浏览器的保护拦下)：

日文写得完全正确，排版跟真的通知信一模一样
页脚是 〒106-6118 東京都港区六本木6-10-1 六本木ヒルズ森タワー —— 这是 Mercari 真实的东京总部地址
版权信息 ©️ 2026 Mercari, Inc. 也在

后来我查到原因了：这个模板是从一封真的 Mercari 邮件里复制出来的，后面会讲到。所以它长得像真的 —— 因为它本来就是真的，只是被改了链接。

这也说明了一个道理：光看"像不像"是分辨不出钓鱼的。 现在这活儿太容易了，复制粘贴就行。得看"结构"。

二、破绽一：发件人地址

手机上收邮件，一般只显示一个名字，比如"メルカリ"。

但那只是显示名，是可以随便填的。要点开看完整的邮箱地址。

这封邮件的真实地址其实是：

[email protected]

dcmiccomo.jp，跟 Mercari 没有半点关系。

三、破绽二：链接（这个手法比较搞）

我把邮件里的链接全部提取出来看了看：

位置	链接	真假
「开始处理」按钮	`hxxps://icoliooiuo[.]jp/?e=...`	❌ 假的
帮助中心	`https://gl.help.jp.mercari.com/ja/`	✅ 真的
重设密码	`https://login.jp.mercari.com/recovery`	✅ 真的

看出问题了吗？

这封邮件里大部分链接是真的，只有那个最重要的按钮是假的。

一般人收到这种邮件，可能会：随手点一下"帮助中心"看看 → 发现是真的 mercari.com → 放心了 → 回去点那个主按钮。

这是很典型的套路。所以不能"抽查"链接，要看你真正会点的那一个。

顺便说，链接后面那个 ?e=你的邮箱地址 是攻击者的追踪参数 —— 每个受害者收到的链接都不一样，一点下去对方就知道"是谁、什么时候点的"。这也意味着你的邮箱已经被记进名单了，后面还会收到。

四、开始查钓鱼网站

4.1 域名是当天注册的

查 WHOIS 得到：

域名        icoliooiuo.jp
注册时间    2026/10/09    ← 就是今天
注册人      非公开
注册商      お名前.com（日本 GMO 集团）

钓鱼网站很少用老域名。因为老域名会被安全厂商标记、被浏览器拉黑，所以他们的做法是当天注册、当天用、用完就扔。

反过来，这个特征也很有用：看到"注册不到几天的新域名"，风险等级直接往上调。

4.2 证书透明度日志：一个免费的情报源

这里介绍一个很好用的东西。

现在所有 HTTPS 网站都必须把证书信息公开记录到几个"公开账本"里，任何人都能查 —— 这叫证书透明度（Certificate Transparency，CT）日志。

也就是说：一个网站只要申请过 HTTPS 证书，它就在全网"公示"了。 查询网站是 crt.sh。

我查这个域名，查到两条记录：

icoliooiuo.jp   Let's Encrypt   签发于 2026-10-09 07:12 (JST)
icoliooiuo.jp   Let's Encrypt   签发于 2026-10-09 07:13 (JST)

两个信息：

两张证书只差 16 秒 —— 这是自动化脚本批量申请的特征。
证书是单域名的，没有子域名。说明攻击者没有为这个站准备任何备用域名，投入很小，就是"能用就行"。

4.3 服务器在哪

域名解析到：

89.187.28[.]99

查 IP 归属，结果：

项目	值
主机商	Latitude.sh（美国公司）
机房位置	日本东京
ASN	AS396356

机房确实在日本。

4.4 它在"装死"

我想知道这个网站长什么样，但我不想用自己的 IP 去访问（会留在对方日志里）。所以我让一个第三方服务帮我看 —— 结果返回的是：

HTTP/1.1 302 Found
Server: nginx/1.30.5
X-Powered-By: Express
Location: https://jp.mercari.com/

翻译一下：访问它的首页，它把你直接跳转到真正的日本 Mercari 官网去了。

不带那个 ?e=邮箱 参数访问？对不起，这里就是个"正常网站"。

这个手法叫 Cloaking（伪装跳转）。作用有三个：

骗过安全扫描器 —— 自动化爬虫爬到的只是一个跳到正牌网站的普通服务器，判定无害
骗过你本人 —— 点完觉得不对劲，回头再打开看看，发现是个正经电商，于是放心了
骗过情报库 —— 我查了 VirusTotal、urlscan.io、OpenPhish 这些主流的威胁情报平台，全都是 0 条记录

所以"查不到"不等于"安全"，很多时候恰恰相反。

顺便，响应头里还有个细节：X-Powered-By: Express，说明后端是 Node.js 的 Express 框架。再看它的 Cookie 名是 connect.sid —— 这是 Express 的默认名字，说明他们用的是一套现成的、没做任何加固的钓鱼模板。

技术含量其实不高，胜在量大、换得快。

五、查发信方：又发现一个域名

钓鱼网站查完了，回头看看这封邮件是怎么发出来的。

5.1 两个域名分工

邮件头里藏着发信服务器的信息：

From:       [email protected]
Received:   from mail.dcmiccomo.jp (unknown [116.80.119.241])
             by gzmx19 (Coremail) ...

发信域名是 dcmiccomo.jp，跟钓鱼网站的 icoliooiuo.jp 是两个完全不同的域名。

这是个有意识的设计：发信域名被拉黑了，不影响钓鱼页面；钓鱼页面被端了，发信域名还能继续用。把风险拆开。

这两个域名的 DNS 配置时间，我通过 SOA 序列号算了一下：

icoliooiuo.jp（钓鱼页）：2026-10-09 07:58:57 JST
dcmiccomo.jp（发信）：2026-10-09 09:23:42 JST

同一天上午，相隔 85 分钟。 基本上可以确定是同一个人在同一个时间段里，把两个域名都配好了。

5.2 ⭐ 重点：这封邮件通过了所有"正版验证"

邮件头里有这么一行：

Authentication-Results: gzmx19;
    spf=pass  [email protected];
    dkim=pass [email protected]

SPF 和 DKIM 全部通过。

这两个是什么？简单说：

SPF：一个域名可以声明"只有这几台服务器能代表我发邮件"
DKIM：给邮件加一个数字签名，收件方能验证"这封信确实来自这个域名，中途没被改过"
DMARC：告诉收件方"如果上面两条没过，应该怎么处理"

这套机制是专门用来防冒名发信的。

那么问题来了：既然都通过了，为什么还是钓鱼邮件？

因为 —— SPF/DKIM 只能证明"这封信确实是从 dcmiccomo.jp 这个域名发出来的"，它不能证明这个域名是好人。

攻击者自己注册了一个域名 dcmiccomo.jp，然后正经八百地给自己的域名配好了 SPF 和 DKIM。对邮件系统来说，一切都是"合法"的 —— 它只是在诚实地转述"这封信来自 dcmiccomo.jp"，至于这个域名是不是 Mercari，它不管。

所以记住这句话：邮件"通过了安全验证"，只能说明它没有伪造身份，但也只能说明这个。

5.3 一个细节：中继链只有一跳

正常的公司邮件，从发出到送达，中间通常要经过好几台服务器，邮件头里会有好几条 Received: 记录。

而这封邮件：

Received: from mail.dcmiccomo.jp ... by gzmx19 ...

只有一条。

也就是说，它是从 mail.dcmiccomo.jp 这台机器直接投递到 163 的邮件服务器的，中间没有任何中继。

这是典型的批量发信基础设施的行为 —— 没有正常的邮件系统，就是一个专门用来群发的机器。

查一下这个 IP 116.80.119.241：

项目	值
运营商	NTTPC Communications, Inc.
位置	日本东京千代田区
IP 类型	HOSTING-NET4（服务器托管网段）

又是一个日本的托管服务器。

六、最有意思的一段：从源码里看到攻击者的"工作台"

前面提到，这封邮件的模板是从真邮件复制的。证据就在邮件源码里。

6.1 模板来自 Gmail

邮件正文里的图片，地址长这样：

https://ci3.googleusercontent.com/meips/ADKq_...=s0-d-e1-ft#https://static.mercdn.net/assets/img/mail_responsive/common/logo.png

ci3.googleusercontent.com 是 Gmail 的图片代理服务器。# 号后面那个 static.mercdn.net 才是 Mercari 真正的图片地址。

链接也是同样的痕迹：

https://www.google.com/url?q=https://login.jp.mercari.com/recovery&source=gmail&ust=1787380540627000&usg=...

source=gmail —— 这是 Gmail 自动改写外链的标准格式。

这说明什么？

说明攻击者在自己的 Gmail 邮箱里收到了一封真正的 Mercari 通知邮件，然后把这封邮件的 HTML 原样复制出来，只把主按钮的链接改成了钓鱼站，其它都没动。

那行 ust=1787380540627000 是 Gmail 改写链接时留下的时间戳。我把它换算了一下：

2026-08-22 14:35:40

也就是说，这次"取材"发生在 8 月 22 日，比今天这波投递早了差不多七个星期。

（也就是说，他们大概是在八月份收到了一封真的 Mercari 通知，存了下来，今天拿出来用。）

6.2 一处忘了删的痕迹

邮件正文的开头，残留着这么一行：

email:****@163.com

这是群发系统用来替换收件人的占位符 —— 发送的时候自动把每个人的邮箱填进去，但这一处忘了清理。

这是批量群发的直接证据。

也跟前面链接里的 ?e=邮箱 对上了：每个受害者的链接都不一样，后台可以精确统计谁点了、什么时候点的。

七、为什么不"反击"

查到这儿，可能有人会想：都知道服务器在哪了，为什么不直接把它打掉？

答案很明确：绝对不行。

原因很简单：

违法。 未经授权对别人的系统做扫描、渗透、破坏，在中国和日本都是刑事犯罪。
会暴露自己，还会打草惊蛇。 一但去探测，你的 IP 就留在对方日志里了。对方立刻知道"有人在查我"，第一反应就是销毁证据、换域名。等于亲手把线索做没。
会误伤别人。 那台服务器是共享的，同一个 IP 上还住着别的普通用户的网站。粗暴操作很容易伤到跟这事完全无关的人。
而且没必要。 真正有效的是走举报渠道 —— 让主机商把它停机、让浏览器把它拉黑。这比黑回去有用得多，也安全得多。
在写这篇博客之前，我已经向 フィッシング対策協議会 举报了本次事件。如果有回复，我会在评论区更新(大概率是石沉大海)

八、普通人该怎么办

这次的事情让我挺有感触的。以前我觉得钓鱼邮件是"老人容易中招"的东西，但实际看过之后发现，技术门槛比想象的低，伪装比想象的好。

收到可疑邮件，记住三步

第一步：停一下。
凡是制造紧迫感的（"24 小时内"、"否则冻结"、"最后一次通知"），先别急。紧迫感本身就是个信号 ，正经公司不会吓唬你。

第二步：别点链接。
真要确认，自己手动打开 App 或输入官网地址。这是最有效的一个习惯。

第三步：核实。

看完整的发件人地址（不是显示名），重点看 @ 后面
长按看链接的真实地址
注意：邮件认证通过（SPF/DKIM pass）不等于安全
有疑问，直接打官方客服电话

如果已经点了，甚至输了密码

别着急，按顺序来：

立刻改密码 —— 在自己手动输入的官网上改，不要用邮件里的链接
改完把所有登录设备踢下线
开启两步验证（2FA） —— 这一步能挡掉绝大多数后续攻击
如果输过银行卡，马上打银行客服冻结
检查邮箱的转发规则，攻击者经常偷偷设置转发
有资金损失，打 96110 或报警

附录：本次事件的 IOC

给做安全的朋友参考，已去毒化：

# 钓鱼落地页（2026-10-09 注册）
icoliooiuo[.]jp
hxxps://icoliooiuo[.]jp/?e=<受害者邮箱>

# 发信域名（无 A 记录，纯发信）
dcmiccomo[.]jp
mail.dcmiccomo[.]jp
admin@dcmiccomo[.]jp          # 显示名为「メルカリ」
SPF: v=spf1 mx a ip4:116.80.119.241 ~all
DKIM: s=mail  d=dcmiccomo.jp

# 服务器
89.187.28[.]99     AS396356 Latitude.sh（东京）      ← 钓鱼页
116.80.119[.]241   AS2514 NTTPC Communications（东京） ← 发信

# 证书 (SHA-256)
730233b4b5ef79b15b3f53f362f4a1d0f69d63e6c75a559e8083f247cbce6368
40fa07b6085ce213d8222412ff51fc135cf983dedf4bb44de7f816a19cacd2ee

# 行为特征
GET / → 302 Location: https://jp.mercari.com/     (Cloaking)
Header: X-Powered-By: Express
Cookie: connect.sid

一封突如其来的钓鱼邮件——追查以及建议

前言

一、第一眼为什么看不出问题

二、破绽一：发件人地址

三、破绽二：链接（这个手法比较搞）

四、开始查钓鱼网站

4.1 域名是当天注册的

4.2 证书透明度日志：一个免费的情报源

4.3 服务器在哪

4.4 它在"装死"

五、查发信方：又发现一个域名

5.1 两个域名分工

5.2 ⭐ 重点：这封邮件通过了所有"正版验证"

5.3 一个细节：中继链只有一跳

六、最有意思的一段：从源码里看到攻击者的"工作台"

6.1 模板来自 Gmail

6.2 一处忘了删的痕迹

七、为什么不"反击"

在写这篇博客之前，我已经向フィッシング対策協議会举报了本次事件。如果有回复，我会在评论区更新(大概率是石沉大海)

八、普通人该怎么办

收到可疑邮件，记住三步

如果已经点了，甚至输了密码

附录：本次事件的 IOC

相关资源

发表评论取消回复

评论暂无评论

前言

一、第一眼为什么看不出问题

二、破绽一：发件人地址

三、破绽二：链接（这个手法比较搞）

四、开始查钓鱼网站

4.1 域名是当天注册的

4.2 证书透明度日志：一个免费的情报源

4.3 服务器在哪

4.4 它在"装死"

五、查发信方：又发现一个域名

5.1 两个域名分工

5.2 ⭐ 重点：这封邮件通过了所有"正版验证"

5.3 一个细节：中继链只有一跳

六、最有意思的一段：从源码里看到攻击者的"工作台"

6.1 模板来自 Gmail

6.2 一处忘了删的痕迹

七、为什么不"反击"

在写这篇博客之前，我已经向 フィッシング対策協議会 举报了本次事件。如果有回复，我会在评论区更新(大概率是石沉大海)

八、普通人该怎么办

收到可疑邮件，记住三步

如果已经点了，甚至输了密码

附录：本次事件的 IOC

相关资源

发表评论 取消回复

评论 暂无评论

在写这篇博客之前，我已经向フィッシング対策協議会举报了本次事件。如果有回复，我会在评论区更新(大概率是石沉大海)

发表评论取消回复

评论暂无评论