「ロリムトー」spam 図表資料・６

ロリムトーと里梨香spamとの関係

送信情報

2003/10/ 6 : OCN東京（丸の内）

「★★わたし、飛びます★★」

9/ 6〜 7 : OCN東京（丸の内）

「★★わたし、飛びます★★」

8/31 : OCN東京（丸の内）

「●お願い！すぐ見て！（美樹）」など

8/30 : OCN東京（丸の内）

「●亜希子だよ！夏休みはもう終わり」, 「●私って可愛い？」, 「■珠美です（３年２組）」, 「■大至急見て！裕子より」など

8/30 : （ISP不明）

「●亜由美です！（中学１年）」

6/28〜29 : NTTPC東京

「■大泥棒市場→貴金属・PC・デジカメが超超激安■」

6/ 3〜 4 : NTTPC東京

「■大泥棒市場→貴金属・PC・デジカメが超超激安■」

5/31 : NTTPC東京

「【激安】ブランド時計・Bag【1/100の特価】」

5/29〜30 : SaiNet

「【激安】ブランド時計・Bag【1/100の特価】」

5/26〜27 : VECTANT東京

「★尻有ナンバー集販売★」

2003/ 5/20〜21 : NTTPC東京

「●架空名義通帳・携帯・身分証」
→ 実際に注文してみたかたのリポート ： 『架空モノを検証してみました。』（探偵ファイル）

これより前のもの（ただし2003年4月以降）は、旧情報ページに残してあります。

里梨香spamの謎

2003年3月8日から9日にかけて「ムトーspam」が再発し、いつものNTTPC回線の他に、ZEROの回線も用いてspam送信が行なわれていました。
そこで、「ムトーspam」の送信された、ZEROのIPアドレスを、SpamCopでチェックしたところ、 同じアドレスから別のspamが報告されていたことに気がつきました。
それは「里梨香　１４才（中２）」という件名の、児童ポルノ(?)販売spamです。
当方で「ムトーspam」を確認できたZEROの３アドレスすべてにおいて、その数日前に、「里梨香spam」が送信されました。
4月16日には、同じ日に「ムトーspam」と「里梨香spam」が送信されたことがありました。
（この4月の「里梨香spam」は、数も少なくヘッダも特殊なので、どちらかといえば試験送信に近いのだと思います）
その後も、日をおかずに「ムトーspam」と「里梨香spam」が続けて送信された例が何度もありました。

（★＝里梨香系spam , ◆＝ムトーspam）

これを見れば、「里梨香spam」は「電子メール広告社」が送信したと考えるのが自然かつ妥当でしょう。

里梨香spamの仲間たち

私自身は、2003年3月3日から4日にかけて、里梨香spamを８通受信しています。
そのうち４通は2002年12月から2003年2月にかけてムトーspamが届き続けた４アドレス（おとりアドレスのtrap-t, trap-t2, trap-t3, trap-t4）で、 残り４通は2003年2月に「ムトー」に収集されたアドレス（trap-13, trap-14, trap-15, trap-16）です。
前者４アドレスと、後者４アドレスは、それぞれがグループ（一緒のリスト）となって、spam送信に用いられています。
いずれのアドレスも、時期をずらして収集されたもので、これらのアドレスが一緒になったアドレス・リストを「ムトー」でないspammerが持っていることは、リストの譲渡・販売以外には考えられません。
ところが、それのアドレスへ同時に、いわゆる「ムトーのヘッダ」ではないspamが幾度も届いています。

（◆＝ムトー , ◎＝飛びます , ＊＝ほっとマガジン , ★＝里梨香 , ○＝白い粉 , ※＝七福 , ◇＝ソフト激安 , △＝激安調査 , □＝偽ブランド , ▽＝泥棒 , 回＝幻覚 , 凸＝架空名義 , 凹＝尻有 , ×＝その他）
（受信が24時を少し超えて翌日になったものも、当日としてまとめています）

ムトーspamを除くspamは、ヘッダの形式が特徴的かつ酷似しているのが興味深いです。
そして、これらのアドレス群に届いた時、同じspamが別のアドレスに一緒に届いたことはありません。
つまりそれらのspamは、同じ環境から送信された、同じspammerによる送信という推測ができます。
また、いずれのアドレスにも「ムトーspam」が届いているのという事実があります。

それから、3月31日に、trap-t19へ送られた「飛びますspam」と「ソフト激安spam」は、From欄に同じアドレスが書いてありました。
これは、ほぼ確実に「飛びます」＝「ソフト激安」ということを意味しています。

アドレス・リストの流れ

前章で「同じspammer」という推測を書きましたが、実際の送信パタンからは、大きな流れが見られます。
それを明確な図（PDF形式）として示してくれたかたがいます。 → 『またspamかー』（望月さん：「酔っぱらいお兄ちゃまの日々」内）
また、『それ逝けぼくらのアンパンspammer』（たかゆきさん：「りとる・ろまんす」内）という情報もあり、 それらを総合すると、以下の３つの流れが見えます。

1. 「ムトー」→「飛びます」→「里梨香」→「白い粉」→「ソフト激安（PCソフト）」→「激安調査」→「偽ブランド」→「泥棒」→「架空名義」→「尻有」→……（ムトー本流 里梨香系：東京ZERO接続メイン）
2. 「ムトー」→「飛びます」→「ネットチャンネル」→「アンパン」→「コーク」→「限定商品」→「ご連絡」→「幻覚」→「知らない世界」→「グッツ」→……（傍流 ネチャン系：東京FreeBit(GMO)接続メイン）
3. 「ムトー」→「ほっとマガジン」→「七福」（分流 七福系：埼玉発）

です。
私の上表（表６-B）でいえば、上の４アドレスが赤線（元祖広告社から）、その下の４アドレスが黄線（Group3）ということになります（収集時期も、全く矛盾なく合致しています）。
（ただし当方では、赤線が伸びている「ネットチャンネル」について、上表(表６-B)のアドレスには届いていません）

もうひとつ、TCEさんのサイト内での考察『メールアドレスの流れ』にも、 これらの件について、興味深い事実が並べられています。

アドレス収集時の痕跡

里梨香spamは８通のうちの「２通目」としたもの、表６-Bではおとりアドレス trap-t15 にあたりますが、そのアドレスを収集しに来たアクセス・ログが、当方に残っています。
02/22 09:38 Mozilla/4.0 (compatible; MSIE 6.0; Windows 98) [pl447.nas927.o-tokyo.nttpc.ne.jp]
（IE 6.0というのは偽装です）
このpl447.nas927.o-tokyo.nttpc.ne.jpが見覚えあると思ったら、 2003年2月9日から24日まで「ムトー」spam送信に使用されていた回線でした(61.197.107.191)。
ちょうど、アドレス収集に使われた2月22日は、送信を休んでいますね。

（◆＝ムトーspam受信報告 , ＠＝アドレス収集）

このアドレスは完全に、収集時点では「ムトー」しか知り得ないアドレスです。
そのアドレスへspamが届くということは、送信者が「ムトー」であるか、「ムトー」がアドレス・リストを渡しているという結論しか導かれません。

ZERO東京＋α接続spam

ここで、ZEROのフレッツ東京接続のspamを表にしてみます。
（ZEROのフレッツ東京接続とは、f-tokyo-******.zero.ad.jpを指します）
（2003年5月20日以降は別ISPを使用するようになりました。 ですからそれ以降は、ISPにこだわらず、里梨香系spam送信の記録となっています）

ここに書いた「回線数」は、当方が確認できた分だけですので、実際はこの数とは多少異なると思います。
2003年2月17〜18日の「飛びます」は、接続回線を細かく調べていませんので、回線数は不明です。
2003年3月31日は、「飛びます」と「ソフト激安」が並行して送信されたので、同一送信者であると考えれば、3回線＋6回線＝9回線（以上）となります。
2003年5月29〜30日のSaiNet「偽ブランド」は、東京AP2回線＋埼玉AP6回線で、8回線となっています。

上表を、各アドレス順に並べたのが、《表６-E：ZERO東京＋α接続のspam送信状況》です。
ほとんどのアドレスはバラバラなため、大きい表の割には情報量は少ないので、別ページにしました。

送信ISPとなっているZEROへ電話で問い合わせたかたの情報によると、 ZEROではspam送信が確認されると、すぐに退会処分と回線切断措置を行なうようにしているとのことです。
それを踏まえて上表を見ると、送信IPアドレスがバラバラなのは、その都度回線断が行なわれているということを裏づけているようにも見えます。
（そして、処分を受けているにもかかわらず、再契約を繰り返しているという図式も顕わになっていますが）
しかし、5月20日以降の「里梨香spam」は、ZERO以外からの送信となりました（NTTPCやVECTANT）。
ZEROが「里梨香spammer」を追放することに成功したのではないでしょうか。

まとめ

これらをまとめると、以下のような結論になります。
「ムトーspam」とここで紹介した多種のspamの送信者は、同一もしくは密接な関係にある。
「里梨香」と「ムトー」との緊密性は、上記情報などから、非常に高いことが判ります。
「なぜ別送信者のように装うのか」という単純な疑問の他は、別組織と言えるだけの根拠が見つからないほどです。
そして、その「里梨香」と同じ送信ソフトや送信リストを使っている「ネットチャンネル」や「七福・ほっとマガジン」もまた、「ムトー」と近い関係にあると考えるのが自然です。
一応、送信パタン・規模・地域などの差異から、「ネットチャンネル」や「七福」は、「ムトー」とは別組織ではないかとは想定されます。
もっとも、過去に「ムトー」spamも埼玉（大宮のホテル）から送信されたことがあるので、現時点では、完全に別物と断定するだけの材料は揃っていません。
2003年5月終わりには、彩ネット(SaiNet)の東京・埼玉両APから、同じ日に「里梨香」spamが送信されています （「ムトー」spamも埼玉APから送信されている）。
ですので「七福」を完全に別のものと裏づける証拠はないのです。
それどころか、「●架空名義通帳・携帯・身分証」を実際に注文してみた人のリポート 『架空モノを検証してみました。』（探偵ファイル）によれば、（インチキな）商品は、草加局（埼玉県）から送られてきたとのこと。
「七福」の送信もNTTPC草加だったんですよね……。

附章：「白い粉のエクスタシー」

これまでの考察により、2003年3月20日に多数送信された「白い粉のエクスタシー」についても、「ムトー」あるいはそれに非常に近しい存在からの送信と判断してもよさそうです。
「飛びますspam」もそうですが、これらのspamは、「spam」ということだけでなく「薬物販売」というもうひとつの問題も含んでいます。
「薬物販売」については、受信したら即座に、各機関へ通報するべきでしょう。
通報先１：『薬物に関する情報提供のお願い』（警視庁/銃器薬物対策課）
通報先２：『薬物密売情報通報フォーム』（厚生労働省/麻薬取締官）
その他、（受信者の）地元の道府県警察ハイテク犯罪相談窓口なども、通報先としては適切と思われます。
（この章は、臨時に設置していた『特設：「白い粉のエクスタシー」』をまとめたものです）