【調査報告】三井住友カード「お支払い金額のお知らせ」フィッシング詐欺──消えた誘導先ドメインの正体

2026年6月20日

【調査報告】三井住友カード「お支払い金額のお知らせ」フィッシング詐欺の正体

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

今回ご紹介するのは「三井住友カード」を名乗り、「6月26日のお支払い金額は35,000円です」と通知してくるフィッシングメールです。本物のVpassのデザインをかなり忠実に再現しており、見た目だけではかなり判断が難しい仕上がりになっていました。三井住友カードをお使いの方は、ぜひ最後まで読んでみてください。

※重要：HTMLメールとして配信されており、開封するだけでアクティブなアドレスとして攻撃者のリストに登録されるリスクがあります。

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★★★ (5/5)

ご覧の通り、このメールは公式サイトを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

■ メールヘッダー解析（送信者情報）

件名：[spam] お支払い金額のお知らせ

送信者名：“三井住友カード”

送信元アドレス：info@jlzf8.com

送信元IPアドレス：136.110.23.21

受信日時：2026年6月19日 19:42頃

※ヘッダーには受信者の情報が含まれるため、本来なら掲載してご紹介するのが本筋ですが、個人情報保護のため伏せさせていただきます。

差出人名は「三井住友カード」となっていますが、送信元アドレスのドメインはjlzf8.comという意味不明な文字列です。本物の三井住友カードからのメールが、こんな素性の分からないドメインを使うことは絶対にありません。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

（宛名部分は伏せ字）様

三井住友カードＶＩＳＡをご利用いただきありがとうございます。
次回のお支払い金額のお知らせです。

6月26日のお支払い金額

三井住友カードＶＩＳＡ
35,000円

【 Vpassで利用明細を確認
（アプリで開く）】

Web版 Vpassでの確認はこちら＞

※ポイントサービスに関するお問い合わせは、カード裏面に記載の連絡先へお問い合わせください。

アプリ・LINEでもお支払い金額を確認できます

▷ Vpassアプリ（アプリを開くだけ！金額確定通知の機能も！）
iPhone：App Storeからダウンロード／Android：Google Playで手に入れよう

▷ Vpass LINEミニアプリ（いつものLINEで簡単アクセス）
友だち追加

※Apple、Appleのロゴ、App Store、iPhoneは、Apple Inc.の商標です。
※iPhoneの商標は、アイホン株式会社のライセンスにもとづき使用されています。
※Android、Google Playおよび Google Playのロゴは Google LLC の商標です。

いいキャッシュレスが、いい毎日を作る。
Have a good Cashless.

ハンドルネームの設定はこちら＞
メール冒頭にハンドルネームが表示されることにより、不審なメールと見分けることができます。

お客さま情報の更新はこちら＞
より安心してカードをご利用いただくために、定期的なお客さま情報（外国籍のお客さまは在留期間などの情報を含む）の更新をお願いいたします。住所変更がある際は弊社からのご案内が届かない場合もありますので、お早めにお手続きをお願いいたします。

お問い合わせ先（お客さまサポート）はこちら＞
※送信元「statement@vpass.ne.jp」は送信専用です。

※本メールは重要なお知らせのため、メール配信を「受け取らない」に設定されている方にも送信しております。

発行者
三井住友カード株式会社
大阪市中央区今橋4丁目5-15
登録番号　近畿財務局長第00209号

本メールに関する一切の記事の無断転載および再配布を禁じます。
Copyright (C) Sumitomo Mitsui Card Co., Ltd.

ここまで読んで「えっ、これ全部偽物なの？」と驚いた方も多いと思います。それも無理はありません。ロゴ、配色、グリーンのボタンデザイン、App StoreやGoogle Playのバッジ、さらには「ハンドルネームの設定」「お客さま情報の更新」といった本物のVpassが実際に案内している項目まで、ほぼそのままコピーされています。ここまで丁寧に作り込まれた偽メールは、開いた瞬間に「偽物だ」と見抜くのがかなり難しいタイプです。

それでも見分けるための手がかりはいくつかありました。まず、本文の宛名が正しく入っていません（今回は伏せ字にしていますが、本物のVpassからのメールであれば必ず会員様のお名前が表示されます）。また、「お客さま情報の更新」の案内文に「外国籍のお客さまは在留期間などの情報を含む」という一文がさらりと混ざっているのも気になるポイントです。これは在留資格を持つ方を狙い撃ちにした、本物の三井住友カードの案内文をそのまま流用した可能性が高いです（笑）。本物の文面を丸ごと借用しているからこそ、デザインの完成度が異様に高くなっているわけです。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received-SPF: Pass (sender SPF authorized) identity=mailfrom; client-ip=136.110.23.21; helo=jlzf8.com; envelope-from=info@jlzf8.com

【偽装判定】：
SPF認証はPassと表示されていますが、これは「攻撃者自身が管理するドメインからの送信として、その送信元自体は正規」という意味でしかありません。SPF・DKIMがPassでも、それが三井住友カード本物の証明にはならない点に注意が必要です。送信元ドメイン「jlzf8.com」は三井住友カードの正規ドメイン（smbc-card.com等）とは一切関係がなく、ヘッダー上では複数のサーバー（mas17.kagoya.net、fmail21.kagoya.net、dmail04.kagoya.net等）を経由していることも確認できました。

発信元ロケーション解析：
IPアドレス136.110.23.21の地理的情報は【ip-sc.netで確認する】からご覧いただけます。ロケーションデータは日々変化する可能性がありますので、あくまで調査時点の参考情報としてご覧ください。

「jlzf8.com」という送信元ドメイン名そのものも引っかかる点です。意味のある単語や企業名を連想させる要素が一切なく、ランダムな英数字を組み合わせただけのドメインに見えます。こうした命名規則は、攻撃者が機械的に大量のドメインを取得・使い捨てしている際の典型的な特徴で、人間が長期的な運用を想定して名付けたドメインとは明らかに性質が異なります。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://bestfriendclub.net/?label=e81f82740779b53ad42e5fb150829ce3 (一部伏字)

リンクドメイン：bestfriendclub.net

サイトサーバーIP：調査時点で名前解決不可（既に失効・削除済み）

【サイトの状態】：調査時点でアクセスを試みたところ、ブラウザに「DNS_PROBE_FINISHED_NXDOMAIN」というエラーが表示され、サイト自体が完全に消滅していました。「ベストフレンドクラブ」という、クレジットカード会社とはかけ離れた名前のドメインが使われていたのも不自然な点です。

※解析データに基づき、攻撃者は短期間でドメインを使い捨てていることが確認されています。

URLパラメータの末尾に付いているlabel=e81f82740779b53ad42e5fb150829ce3という長いランダム文字列も気になるポイントです。これは恐らく、メールを受け取った個々の宛先ごとに異なる識別子を割り振り、「誰がリンクをクリックしたか」を攻撃者側で追跡するための仕組みだったと考えられます。サイト自体は既に閉鎖されていますが、もしリンクを開いた時点でこの識別子付きのアクセスが記録されていれば、その時点で「このメールアドレスは実際に開封・クリックする人だ」という情報が攻撃者側に渡ってしまっていた可能性があります。

■ 注意点と対処法

URLをクリックしない：リンク先は情報を盗むための精巧な偽サイトです。本物そっくりのデザインでも、リンク先のドメインが正規のものでなければ偽物です。
公式サイト・公式アプリで確認：お支払い金額の確認は、必ずVpassアプリを直接起動するか、自分でブックマークしておいた公式サイトからアクセスしてください。
宛名の有無を確認：本物の三井住友カードからのメールには必ず会員様のお名前が記載されます。宛名がない、または不自然な場合は疑ってください。
公式注意喚起の参照：三井住友カード公式サイト「フィッシング詐欺にご注意」

本レポートの結論

今回のメールは、本物のVpassのデザインを忠実にコピーした、完成度の高いフィッシングメールでした。SPF認証がPassでも安心材料にはならず、誘導先ドメインは調査時点で既に消滅していたことから、攻撃者が短期間でインフラを使い捨てていることが分かります。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

📱 この記事をLINEで家族・友人に共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net