【必読】JALを騙る不審メール「JMBアカウントご利用状況の確認およびマイル有効期限について」を徹底解析

■ 最近のスパム動向について
今回ご紹介するのは、日本航空（JAL）を騙る（かたる：偽ること）非常に巧妙な詐欺メールです。
なお、過去に発生した類似の悪質な事例や、他のブランドを騙る犯罪手口の関連記事につきましては、このページ末尾にございます「データベースアーカイブ」からいつでもまとめてご覧いただけます。

📊 不審メール基本情報

🖼️ 不審メールの視覚的特徴（検証）

【不審メール本文・全体外観（HTML表示）のスクリーンショット】

【不審メールのテキスト形式表示スクリーンショット】

🎨 メールデザインと犯人の目的・感想

スクショ画像を確認しますと、HTML表示（1枚目）では「JAL」のブランドロゴが左上に美しく配置され、中央には目を引く真っ赤な「ログインして状況を確認する」という大きなボタンが用意されています。これにより、受信者に「公式からの緊急通知だ」と視覚的に思い込ませる作りになっています。

犯人の目的は、今月末（2026年5月31日）にマイルが全て消滅してしまうという嘘の「緊急性」で受信者を焦らせ、ボタンやリンクをクリックさせて偽のログイン画面に誘導し、お得意様番号やパスワード、クレジットカード情報を盗み出すことにあります。
感想としては、HTML版では無駄な文章を削ってボタンを目立たせる一方、テキスト表示（3枚目）ではわざわざマイルの活用法（PontaポイントやWAONへの交換など）を細かく記載して公式らしさを精巧に演出しており、環境に合わせて見せ方を変える非常に悪質な二段構えの手口であると感じます。

⚙️ メールヘッダー解析（技術的検証）

※注意：受信メールの生ヘッダー（メールの配送ルートが記録された詳細情報）のスクリーンショットには、当事務所の運用する受信用サーバーの内部情報や、固有の契約者番号、受信者個人のメールアドレスといった重要なプライバシー情報が多数含まれているため、セキュリティ保護の観点から画像そのものの掲載は控えさせていただきます。その代わり、抽出した確実なデータのみを安全に加工して公開いたします。

メールヘッダー内から、送信元の安全性を証明する「Received-SPF（送信元偽装を防ぐ認証記録）」と、時系列において最も古い（犯人が最初にメールを送り出した）「Received」の行を抽出して解析を行いました。
なお、表示にあたり、中継されたサーバー情報や、当事務所の受信メールアドレスなどのプライバシー領域はすべて安全にマスク（伏せ字）処理を行っております。

【解析結果と偽装判定】
メール本文に記載されている送信者ドメイン（services.gbakuh.com）が持つIPアドレスと、時系列で一番古いReceivedに刻まれた送信元IPアドレス（35.219.142.164）を突き合わせた結果、これらは完全に一致しています。
つまり、「差出人のメールアドレス自体は偽装されておらず、犯人が用意した使い捨ての詐欺用ドメイン（犯罪用に取得したアドレス）から直接送信されている」ということです。公式であるJALの正規ドメイン（@jal.com等）は一切使われていません。

🌐 送信元サーバーの物理位置情報

※注意：IPアドレスが示す割り当て地やロケーション情報は、ネットワークの経由ルートや契約状況により刻々と変化するため、あくまで強力な参考データ（追跡の手がかり）として捉えてください。

🔗 誘導先詐欺サイトの徹底調査とクローキングの罠

【仕込まれていたURLの解説】
メールテキスト版に直接露出していたリンク、およびHTML版の赤いログインボタンに隠されて配置されていた誘導先URLは、以下の通りです。安全のため一部を伏せ字（*）に処理し、リンク自体を無効化しております。

● 犯人が用意した詐欺URL：https://www.ucnkj.com/?czPUCRqD8c1X （一部伏せ字表記：h*t*p*s*:*/*/*w*w*.*u*c*n*k*j*.*c*o*m*/*?*c*z*P*U*C*R*q*D*8*c*1*X*）

このURLを調査したところ、日本航空（JAL）の正しいドメイン「jal.co.jp」とは何の関係も接点もない、全く無関係の不審な海外ドメインであることが一目で判断できます。

【セキュリティ警告スクリーンショットの技術解説】

今回、このリンク先へ接続を試みた際に表示された「アクセス拒否　リクエストがブロックされました。後ほどお試しください。ファイアウォールで保護されています」という画面は、極めて高度な悪意ある技術である「クローキング（Cloaking：相手によって表示する画面を騙し分ける不当な手法）」が行われた結果です。

クローキングとは、アクセスしてきた相手が「一般の被害者（スマホや一般PC）」であるか、あるいは「セキュリティ調査会社の解析ロボットやGoogleの検閲システム」であるかを犯人のサーバー側が瞬時に識別し、調査目的のアクセスに対しては上記のような偽の『アクセス拒否画面（またはエラー画面）』を見せて引き返させ、一般の被害者がアクセスした時だけ綺麗に作り込まれた『本物そっくりの偽ログイン画面』を表示して情報を盗み出すという、極めて卑劣で狡猾な隠蔽工作（いんぺいこうさく）のことです。つまり、「調査の目を完全に欺く（あざむく）ために仕組まれた防壁である」ということです。

🖥️ リンク先サイトの現在の状態とサーバー所在

※注意：IPアドレスから割り出される地理的位置情報は、犯罪グループによるサーバーの移転やルーティング変更により変化するため、現時点での有力な追跡データとしてご利用ください。

🚨 今後の注意点と正しい対処方法

▼ 日本航空（JAL）による公式の不審メール・フィッシング注意喚起ページは下記となります。常に最新の情報をご確認ください。
JAL公式：JALグループを装った不審メール・不審電話・偽サイトにご注意ください

🏁 まとめ

今回の詐欺メールは、月末という期限を切って私たちの焦りを誘う、典型的なフィッシング（情報を盗み出す詐欺）の手口でした。
さらに、クローキングという調査の手から逃れるための悪質な偽装技術まで組み込まれており、その手口は日々高度化しています。
身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。

🗄️ データベースアーカイブ（関連記事）

関連する過去の解析事例はこちらから検索できます。

📌 同じ手口の関連記事：【実録】ANA（全日本空輸）を騙る詐欺メールも確認されています→こちら

最後までお読みいただき、本当にありがとうございました。
皆様がインターネットを安全に、そのまま安心して使いこなせるよう、これからも Heartland-Lab は全力で高度なサイバー解析を続け、街のIT専門家として役立つ情報を発信してまいります。どうぞ次回の解析レポートもお楽しみに。