【手口公開】東京電力を装う「【最終通知】TEPCO 未払い料金の支払い」詐欺メールの調査結果

2026年6月1日

【最近のスパム動向】
今回ご紹介するのは「東京電力エナジーパートナー」を騙るフィッシング詐欺メールの解析情報です。この他にも日本国内で横行している様々な偽メールの関連記事を、ページ末尾に設置しているデータベースアーカイブからいつでもご覧いただけます。

【実録】東京電力の未払い料金請求を装う詐欺メールを徹底分析！不自然な「中華漢字」だらけの偽通知に騙されないための手口公開

⚠️ メールを開いただけで直ちに金銭的被害が出るわけではありません。しかし、画像付きのHTMLメールや開通通知（確認用の仕組み）が埋め込まれている場合、メールを開封したという事実（アドレスの生存状態）が送信元へ自動的に通知され、今後さらに危険な詐欺メールの送信対象リスト（カモリスト）に登録されてしまうリスクが極めて高くなります。不審なメールは不用意に開かず、即座に削除することが最も安全です。

1. 届いた不審メールの概要と緊急性評価

危険度評価	★★★☆☆（星3：注意が必要）
件名（Subject）	[spam] 【最終通知】TEPCO 未払い料金の支払い番号：84588185 （※メールサーバーの迷惑メール検知機能により、先頭に「[spam]」という警告ラベルが自動付与されています。これが付いている時点で100%迷惑メールですので、絶対に信用してはいけません。）
送信者名・アドレス	“TEPCO【支払い管理部門】” <fire@fire.ynkcn.com>
メール受信日時	2026年5月31日 12:39:55（日本時間）

ご覧の通り、このメールは公式サイトを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

2. メール本文のビジュアルと忠実再現

【メール本文のスクリーンショット】

以下は、受信した実際のフィッシングメールのレイアウトおよび文字遣いを可能な限り忠実に再現したテキストです（リンクの無効化処理を施しています）。日本の正規のビジネス文書では絶対にあり得ない不自然な文字（簡体字）が随所に混入していることが確認できます。

东京電力エナジーパートナー：未決済の電気料金がございます

弊社にてお支払状況を確認したところ、2026年4月分の料金が未納となっております。お忙しい中恐缩ですが、ご確認をお願いします。

請求内容	2026年4月分電気料金
請求金額	5,931円（税込）
お支払期限	2026-05-31

お手数ですが、下記リンクよりお支払い方法（クレジットカード、コンビニ、銀行振込等）を選択し、お手続きをお願いいたします。

≫ お支払い手続き画面へ（公式サイト）

※本メールは送信専用アドレスからお送りしています。
※既にお支払い済みの場合は、本メールを破棄してください。
東京電力エナジーパートナー株式会社

■ スクリーンショットおよび本文から読み取れる不審なデザインと違和感

・致命的な誤字（中華フォント・簡体字の混入）：「東京」が「东京」、「確認」が「确认」、「恐縮」が「恐缩」、「選択」が「选択」となっており、海外の詐欺グループが適当に翻訳・作成した痕跡が丸出しです。
・不安を煽る期限設定：メールが届いた当日の日付（2026-05-31）がそのままお支払期限として赤字で指定されており、受信者を焦らせて冷静な思考を奪おうとする典型的な心理トラップ（心理的誘導）です。
・過剰な自己主張：誘導先のリンクにわざわざ「（公式サイト）」と手書きで書き足している点が、かえって怪しさを倍増させています。

3. メールヘッダー解析と送信元IPの特定（偽装判定）

※ご注意：メールヘッダー情報には、受信者側のサーバー固有の内部ネットワーク構成情報や、詳細な個人用メールアドレスといったプライバシーに関わる文字列が含まれるため、セキュリティ保護の観点からヘッダー全体のスクリーンショット画像は本記事には掲載いたしません。代わりに、以下に安全な形で抽出・解析した結果を公開します。

■ 送信者の表示アドレスと実際の認証IPアドレスの比較

メールの表面上の送信元は fire@fire.ynkcn.com となっています。
このドメイン fire.ynkcn.com の認証状態をヘッダーから追跡すると、Received-SPF: Pass と記録されており、送信元IPアドレスである 141.148.181.185 （オラクルクラウド：世界規模のインフラ）は一見して正規にそのドメインから送られたように見えます。
しかし、最も注目すべきなのは、さらにその前段階（メールが最初に発信された地点）を示す最古の Received ヘッダーの記録です。

■ 最も古い「Received」ヘッカートから特定した真の送信元

Received: from smtp.signal-automation.jp ([85.253.131.218]) by fire.ynkcn.com ... (Authenticated sender: mail971@fire.ynkcn.com)
つまり、犯人は 85.253.131.218 というIPアドレスを踏み台（中継地点）にして接続し、認証を通した上でメールを大量送信していることがはっきりと判明しました。東京電力を名乗っていながら、日本の電力会社のサーバーは一切経由していません。

解析対象の種類	IPアドレス	ロケーション・地理的配置（参考情報）
最古の経由サーバー（真の発信元）	`85.253.131.218`	エストニア共和国（Estonia）緯度・経度：約 59.4370 / 24.7535 Googleマップで位置を確認 ip-sc.netで詳細なIP情報を確認
SPF認証IP（中継システム）	`141.148.181.185`	オラクルクラウド（日本/アジア地域割当インフラ）緯度・経度：約 35.6895 / 139.6917 Googleマップで位置を確認 ip-sc.netで詳細なIP情報を確認

※IPアドレスから割り出される地理的ロケーション情報は、プロバイダの割り当て変更やルーティングによって刻々と変化するため、あくまで解析時点の参考データとなります。

■ DKIM認証の破綻（決定的な偽物確定要素）

ヘッダー内には dkim=fail (body hash did not verify) という決定的なエラーが記録されています。これは、メールが送信された後に中身が改ざんされたか、あるいは署名の作成自体が失敗していることを意味します。セキュリティ認証技術（電子署名）の観点からも、このメールは完全に信頼性を失っています。

4. 誘導先リンクURLの危険度とサイト解析（クローキングの手口）

メール本文に仕込まれていた誘導先のURLは以下の通りです。
偽URL： https://rcoinfi.com/6opd60r▼Wg.utsunomiya.jp （※セキュリティ確保のため一部を「▼」に書き換えて無効化しています）

【セキュリティ警告画面のスクリーンショット】

【アクセス不可画面のスクリーンショット】

■ 巧妙な「クローキング（Cloaking）」現象の解説

このURLをクリックした際、セキュリティシステム（ウイルスバスターなど）が「フィッシング脅威」として検知し遮断する一方で、一般的なブラウザで直接踏み込もうとすると「このサイトにアクセスできません（DNS_PROBE_FINISHED_NXDOMAIN）」というエラー画面が表示されます。
これはクローキング（閲覧者の環境によって表示をカメレオンのように変える隠蔽工作）、あるいはセキュリティ会社の自動巡回ロボットによる検知・ブラックリスト登録を逃れるために、特定の条件（特定のスマートフォン端末からのアクセスや、特定のリンク元経由など）を満たした被害者候補にだけ本物の詐欺ページを見せ、それ以外のアクセスには存在しないエラーサイトを見せるという極めて悪質な技術的偽装を行っている結果です。
つまり、つまり「エラーで表示されないから安全なサイトだったんだ」と勘違いさせること自体が犯人側の狙い（＝アクセス拒否・リクエストがブロックされました、といった見せかけの処理）なのです。

項目	解析・稼働ステータス詳細
対象ドメイン	`rcoinfi.com`
ドメインIPアドレス	NXDOMAIN （IP未割り当て・または動的ブロック状態） ※ネームサーバー側でレコードが即座に消去されたか、クローキング防御により通常のホスト名変換を遮断しています。
ロケーション情報	ホスト名解決不可のため位置特定不能（ネットワーク上からの緊急離脱・隠蔽状態）
URLが危険と判断できるポイント	末尾に「utsunomiya.jp」という日本の自治体を連想させるサブドメイン構造を無理やり偽装して付与していますが、実際の親ドメインは「rcoinfi.com」という全く無関係の海外登録ドメインです。日本の公的インフラ機関がこのような海外ドメインで集金手続きを行うことは絶対にありません。
リンク先が稼働中かどうか	特殊隠蔽稼働中（クローキングによる防御体制）

5. メールの注意点と対処方法

・公式の窓口以外からは絶対にログインしない：電気料金の確認や支払い手続きを行う際は、メールに記載されたリンクからではなく、あらかじめブラウザのブックマーク（お気に入り）に登録してある「東京電力エナジーパートナー」の公式サイトや、公式のスマートフォンアプリからログインして状態を確認してください。
・漢字の不自然さにアンテナを張る：今回のように「东京」などの漢字が使われている場合は、その時点で海外からの組織的サイバー犯罪であると断定して問題ありません。
・クレジットカード情報を入力してしまった場合：万が一、リンク先のページでカード番号や暗証番号を入力してしまった場合は、一刻も早くクレジットカード会社の紛失・盗難受付ダイヤル（24時間対応）に連絡し、カードの利用停止および再発行の手続きを行ってください。

■ 関連する公式の注意喚起情報

東京電力エナジーパートナーによる公式のフィッシング詐欺に関する注意喚起は、以下の公式サイトよりご確認いただけます。どのような文面で注意が出されているか、一度目を通しておくことをお勧めします。
👉 公式URL: 東京電力エナジーパートナー公式：不審なSMS・メールへの注意喚起ページ

6. まとめ

インターネット上の詐欺手口は日を追うごとに巧妙化していますが、今回の事例のように、基礎的な技術解析（ヘッダー確認やフォントの違和感チェック）を行うことで、確実に偽物であるという証拠を掴むことができます。
「自分は大丈夫」と思っていても、ふとした油断や忙しい時間帯に騙されてしまうケースが後を絶ちません。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。

💡 関連する過去の解析事例アーカイブ
関連する過去の解析事例はこちらから検索できます：
👉 「東京電力」に関する過去の解析事例を検索する

📌 同じ手口の関連記事：
【実録】関西電力を騙る詐欺メールも確認されています→こちら