Mastercardセキュリティ認証メールの解析レポート｜フィッシング詐欺調査

今回ご紹介するのは「Mastercard」を騙るメールですが、その前に最近のスパムの動向について解説します。
2026年3月現在、新年度を控えたカード利用の活発化に便乗し、「不審な取引の検出」を口実にしたフィッシング詐欺が急増しています。特に中国ドメイン（.cn）や、クラウドサービス（Google Cloud等）を悪用した送信経路が目立ち、フィルタリングを回避しようとする傾向が強まっています。

送信者アドレスのドメイン「ocarina.qqsrusp.cn」は中国のものであり、Mastercard公式サイトとは一切無関係です。
アドレス前半の「teshimarisa1972」という文字列は、実在する人物や無関係なアカウントを装うことでスパムフィルタを突破しようとする攻撃者の手口と考えられます。

【犯人の目的】

このメールの唯一の目的は、受信者を偽のログイン画面に誘導し、**クレジットカード番号、有効期限、セキュリティコード、および個人情報を盗み取ること**にあります。盗まれた情報は即座に不正決済に使用されるか、ダークウェブで転売されます。

【専門的な解説】

本メールには署名がなく、問い合わせ先の電話番号や所在地も記載されていません。また、本文に「お客様名（宛名）」の記載がない点は、フィッシング詐欺の典型的な特徴です。
ロゴが添付ファイルにされている場合、それはメールの容量を増やしてセキュリティソフトの検査を遅延させたり、画像URLによる検知を逃れるための細工です。

ヘッダーから抽出した送信元の生データです。カッコ内のIPアドレスは信頼できる送信元情報です。

【回線情報の検証】
正規のMastercardの通知がエチオピアの一般回線から送信されることは絶対にありません。ドメインの登録状況を確認したところ、非常に最近取得されており、攻撃用に用意された使い捨てドメインであると断定できます。

⇒ IP-SC.netでこの送信元IP（196.188.126.68）の解析結果を見る

【サイト回線関連情報】

リンク先のドメイン登録日が最近である理由は、フィッシングサイトが通報によって数日で閉鎖されることを見越し、次々と新しいドメインに乗り換える「ドメイン・ホッピング」を行っているためです。

⇒ IP-SC.netでリンク先サーバー（155.94.156.241）の詳細データを確認する

調査時点では、上記のようなタイムアウトエラーが発生していました。これは既にサイトが閉鎖されたか、あるいは特定のIPアドレス以外からの接続を遮断している「クローキング」と呼ばれる手法の可能性があります。

今回のメールは、エチオピアの回線を経由し、中国のドメインを利用して、アメリカのサーバーへ誘導するという、典型的な国際的フィッシング詐欺の構造を持っています。
過去の事例と比較しても、本文の日本語に不自然さはないものの、技術的な送信経路の偽装は隠しきれていません。

■ Mastercard公式サイトによる注意喚起
⇒ Mastercard公式：不審なメールやSMSへのご注意（外部サイトへリンクします）