【必読】「99通のメールが遅延しています」という恐怖を煽る詐欺メールの正体

今回検知されたのは、企業のインフラシステムとして広く導入されているWebメール「Active! mail」のログイン認証情報を掠め取ろうとする極めて悪質な標的型フィッシングメールです。
メールを開いただけで即座に金銭的被害が出るわけではありませんが、本文中のリンクには受信者の環境に合わせた精巧な罠が仕掛けられています。もし「画像付きメール」や「開通通知付き」の仕組みが組み込まれていた場合、開封した時点で「有効なメールアドレス（生体通知）」として攻撃者リストに登録され、今後さらに大量の詐欺メールや執拗なサイバー攻撃の標的にされる危険性があります。

【判定】完全なる送信元偽装（なりすまし）

送信元アドレスは日本の正規プロバイダである `jsdi.or.jp` のドメインを騙っていますが、実際にメールを送り出してきたIPアドレスはロシア（`195.177.94.11`）のサーバーです。当然ながら、正規サーバーではないためSPF認証は「Fail（認証失敗）」を記録しています。日本の組織を装い、ロシアの通信インフラを踏み台にして配信された不正メールであることは明白です。

【危険性と判断のポイント】

誘導先のURL末尾が `activemailkagoya.html` という、あからさまな文字列で生成されています。これは、ホスティングサービスの「カゴヤ・ジャパン（KAGOYA）」が提供する環境で「Active! mail」を運用している企業をダイレクトに狙い撃ちした設計です。
現在、Googleセーフブラウジング等のセキュリティ検知機能により「危険なサイト」として赤画面で強力にブロックされる状態、もしくはアクセス拒否を返す状態になっていますが、認証情報を奪取するために用意された「使い捨ての偽装用HTMLページ」であることは確定しています。

サイトを表示

[Active! mail偽ログイン画面のスクショ画像]

※本家「Active! mail」のロゴや、ユーザーID・パスワードの入力フォームを精巧に盗用。

2. 万が一ID・パスワードを入力してしまった場合の即時対応
もしリンク先でWebメールのログイン情報を入力してしまった場合、攻撃者によってメールアカウントが完全に乗っ取られます。自社アカウントが大量のスパムメールの送信踏み台にされたり、取引先とのメールを盗み見られて機密情報が流出するなどの深刻な二次被害に直結します。速やかにホスティング元のコントロールパネル等から、パスワードの変更および不正な海外IPからのログイン履歴がないか確認を行ってください。

「自社のメールシステムからの警告」と思い込ませるこの手口は、オフィスの従業員やシステム担当者が最も引っかかりやすい罠の一つです。この記事のURLをコピーして、家族のLINEグループや社内の共有チャットで「これ気をつけて！」と共有してあげてください。