iCloud+ サブスクリプションのお支払い失敗を装うフィッシング詐欺メールを解析

日ごとに暑さが増す季節となりましたが、皆様いかがお過ごしでしょうか。デジタルライフを支えるクラウドサービスの更新時期は、こうした季節の変わり目にも容赦なくやってきますが、そこに付け込む悪質なメールには注意が必要です。

1. 届いた詐欺メールの文面

実際に届いたメールの内容は以下の通りです。Appleのロゴを配し、もっともらしい文面で「お支払いの更新」を迫ります。

iCloud
iCloud+ サブスクリプションのお支払いに関するお知らせ

お客様

Apple ID に現在登録されているお支払い方法で、iCloud+ サブスクリプションの更新料金を処理できませんでした。

お支払い情報に問題が発生したため、現在の iCloud+ プランの継続ができませんでした。このままお支払い情報の更新が行われない場合、iCloud+ は自動更新されず、ストレージは 5GB の無料プランに戻り、一部の高度な機能（iCloud プライベートリレーや匿名メールアドレスなど）がご利用いただけなくなることがございます。

サービスを継続するには、以下のリンクよりお支払い情報の更新をお願いいたします：

Apple ID でお支払い情報を更新する

正規のiCloud通知を忠実に再現したメール本文

2. 送信ルートと技術的解析

このメールがどこから送られてきたのか、技術的な解析結果をまとめます。

驚くべきことに、攻撃者はMicrosoft Azureのクラウドインフラを悪用してメールを送信しています。独自ドメイン `iwtykhg.cfd` を取得し、正規のメール認証（SPF/DKIM）をパスさせることで、迷惑メールフィルターを潜り抜けようとしています。なお、ドメイン名の「iwtykhg」という文字列は、キーボードを適当に叩いて作ったような、作成者のやる気のなさ（あるいは自動生成の痕跡）を感じさせます。

3. 巧妙な詐欺サイトの正体

メール内のリンク先は、Apple公式サイトではなく以下のURLでした。

hxxps://cxisonkpcftdub[.]top/neymqoqe/

このサイトは、接続する端末（PCかスマートフォンか）によって表示を変える、極めて姑息な隠蔽工作を行っています。

スマホでアクセスした際に表示される偽のエラーページ

4. 対処法とまとめ

もし、このようなメールが届いても、絶対にリンクをクリックしてはいけません。お支払いに不安がある場合は、ブックマークした公式サイトや、Apple純正の「設定」アプリから直接確認を行ってください。

万が一、カード情報を入力してしまった場合は、速やかにカード会社へ連絡し、利用停止の手続きを行ってください。Apple IDのパスワードを入力してしまった場合は、公式の「Apple IDの復旧」手順に従い、パスワードの変更と2段階認証の確認を行ってください。

Data Provided by Heartland-Lab Security Research Unit
IP Location Data: United States (Microsoft Azure)

※IPアドレスの詳細はip-sc.net等で確認可能です。

Theme: Burgundy (#6d1f2a)