【解析】ワンタイム認証が未設定です(ANA騙り偽装メール)

【調査報告】最新の詐欺メール解析レポート
本レポートはメールの解析結果に基づいた技術ドキュメントです

 

■ 最近のスパム動向
今回ご紹介するのは「ANAマイレージクラブ」を騙るメールですが、その前に最近のスパム動向について触れておきます。4月に入り、年度替わりの「ポイント失効」や「新生活の整理」に便乗した攻撃が急増しています。特に今作のように、送信者表示と内容が完全に乖離している(楽天銀行を名乗りつつANAの内容を送る)といった、複数の名簿リストを使い回したと思われる雑な作りが目立ちますが、不慣れな利用者が騙されるリスクは依然として高い状態です。

 

件名 [spam] ワンタイム認証が未設定です
件名の見出し 件名に「[spam]」が付与されているのは、サーバー側のアンチスパム機能がこのメールを「迷惑メール」として自動判定した証拠であり、非常に危険です。
送信者 “楽天銀行” <noreply@mail40.xgmjmh.com>
受信日時 2026-04-05 09:58

 

■ 送信者に関する情報
表示名は「楽天銀行」となっていますが、ドメイン「xgmjmh.com」は楽天銀行とは一切無関係です。さらに内容は「ANA」に関するもので、攻撃者が適当なリストとテンプレートを組み合わせて送信している典型的な特徴です。ドメイン「xgmjmh.com」はGoogle Cloudを基盤に使い捨て目的で取得されたものと推測されます。

 

※できる限り忠実に再現していますが、本物の詐欺メールとデザインが異なる場合もあります。


ANAマイレージクラブ

お客様各位

平素よりANAマイレージクラブをご利用いただき、誠にありがとうございます。

お客様の口座には現在24,152マイルが貯まっておりますが、このうちの一部につきまして、まもなく有効期限を迎えます。期限が過ぎますと、これらのマイルはすべてご利用いただけなくなり、失効いたしますので、お早めにお手続きくださいますようお願いいたします。
━━━━━━━━━━━━━━━
■失効期限:2026年4月2日 23:00
━━━━━━━━━━━━━━━
対象となるマイル数:24,152マイル
━━━━━━━━━━━━━━━
■24,152マイルのご活用例

国内線特典航空券(往復分)と交換することが可能です
国際線特典航空券のために、不足分を追加することもできます
ANAショッピング「A-style」にて、人気の商品と交換いただけます
Amazonギフト券など、日常のお買い物にすぐにお使いいただけるギフト券もご用意しております

この機会に、お持ちのマイルをぜひ旅先や日々の暮らしの中でお役立てください。
━━━━━━━━━━━━━━━
■ マイル交換のお手続き
━━━━━━━━━━━━━━━

下記リンクよりログイン後、特典交換ページに進んでいただき、お手続きをお願いいたします。

https://www.ana.co.jp.●●●.asia/ja/jp/amc/
(※上記URLは一部を伏せ字にして無効化しています)

※期限を過ぎたマイルの再発行はできませんので、あらかじめご了承ください。
━━━━━━━━━━━━━━━

ご不明な点がございましたら、ANAマイレージクラブサービスセンターまでお問い合わせください。
今後ともANAグループをご愛顧賜りますよう、よろしくお願い申し上げます。
━━━━━━━━━━━━━━━

本メールは送信専用のため、ご返信いただいてもお答えできません。
本メールに心当たりのない方、または既にマイルをご利用済みの方は、本メールを破棄していただけますようお願いいたします。

全日本空輸株式会社(ANA)
〒105-7133 東京都港区東新橋1丁目5番2号 汐留シティセンター
ANAマイレージクラブサービスセンター:0570-029-709

配信停止:https://www.ana.co.jp/●●●/
© ANA 2026 All rights reserved.
AOWeeqHD

 

■ メールの目的及び感想
犯人の目的:ANAマイレージクラブのID・パスワード、およびクレジットカード情報を盗み出すこと(フィッシング詐欺)です。
専門的解説:24,152マイルという具体的な数字で焦らせる手法や、末尾の「AOWeeqHD」というランダム文字列によるスパムフィルター回避など、典型的な詐欺テンプレートです。署名にある電話番号「0570-029-709」自体は実在するものですが、メールアドレスとの不一致が最大の見抜くポイントです。

 

■ 注意点と対処法
最大のおかしな点は、送信者が「楽天銀行」なのに内容が「ANA」であること。本物のANAなら送信ドメインは `ana.co.jp` になります。宛名が「お客様各位」なのも不自然です。絶対にリンクをクリックせず削除してください。
ANA公式:フィッシング詐欺への注意喚起

 

■ Received (送信者情報)
これは送信に利用された技術情報であり、カッコ内のIPアドレスは信頼できる送信元データです。
Received from mail40.xgmjmh.com (mail40.xgmjmh.com [34.84.126.24])
送信ドメイン xgmjmh.com
送信IPアドレス 34.84.126.24
ホスティング社 Google Cloud (bc.googleusercontent.com)
国名 Japan

メール回線関連情報:送信ドメインと表示名が一致せず偽装は明らかです。IP 34.84.126.24 はGoogle Cloud上で運用されています。
本レポートの根拠データ (ip-sc.net: 34.84.126.24)

 

■ リンク先ドメインの情報
リンク先URL https://nativecrossings.com/jt●●●● (伏字を含む)
ドメイン名 nativecrossings.com
IPアドレス 162.241.226.79
ホスティング社 Unified Layer (Bluehost/HostGator系列)
国名 United States
ドメイン取得日 2026年3月後半 (最近取得)

サイト回線関連情報:ドメイン取得日が非常に最近であるのは、詐欺サイト発覚後にすぐ乗り換えるための使い捨てドメインである証拠です。
リンク先URLの解析ページ (ip-sc.net)

URLの危険ポイント:ANAの公式サイトとは一切関係ないドメインであり、現在サイトは稼働中ですが「403 Forbidden」を表示して一般のアクセスを遮断し、特定のターゲットのみを誘導している可能性があります。

 

■ 詐欺サイトの画像
アクセス時に表示されたエラー画面の例(403 Forbidden)
403 Forbidden

nginx

 

■ まとめ
今回のケースは、年度替わりのポイント失効を餌にした典型的な攻撃でした。過去の事例と比べても、送信者設定ミスなど雑な点が多いですが、誘導先のドメインを頻繁に変えることで検知を免れようとしています。

ANA公式:不審なメールに関するご注意(改めて確認)