【実録】楽天銀行「本日中にご対応ください」偽メールの正体——Microsoft系クラウドで送信、Alibaba Cloud東京にPC/スマホ二段階クローキングサイトを確認

いつも「Heartland-Lab」をご覧いただきありがとうございます。名古屋では昨日、最高気温39.7度を記録し、今日も40度超えが予想されるという記録的な猛暑になっています。こう暑いと注意力もつい落ちてしまいますが、そんな折を狙うかのように「本日中にご対応ください」と即日対応を迫る楽天銀行なりすましメールが届きましたので、詳しく解析していきます。

1. 実際に届いた「本人確認のお願い」メールの全貌

まずは実際に届いたメールの画面を確認しましょう。件名は「【楽天銀行】本人確認のお願い（本日中にご対応ください）」、緑色の帯で「楽天銀行公式アカウントより送信」と表示するなど、公式メールに見せかける工夫が随所に施されています。

※実際に届いた「本人確認のお願い」偽メールの画面です。

本人確認（利用者認証）のお願い

平素より楽天銀行をご利用いただき、誠にありがとうございます。

当行のセキュリティシステムにより、お客様の口座に対して未登録のデバイスからの
ログイン試行が検知されました。つきましては、お客様ご本人による確認を実施させ
ていただきたく、下記のリンクよりログインのうえ、本人確認をお済ませください。

ご確認が完了しない場合、一部の取引が制限される可能性がございます。あらかじめ
ご了承ください。

［本人確認を実施する］

⚠ ご注意
・本メールは楽天銀行のセキュリティセンターより送信されております。
・ログインは必ず楽天銀行公式サイト（rakuten-bank.co.jp）から行ってください。
・ご不明な点は、楽天銀行カスタマーサポート（0120-776-910）までお問い合わせく
　ださい。

■送信元：楽天銀行 セキュリティセンター
■受付時間：9:00～17:00（土日祝除く）

このメールは自動送信されています。ご返信いただいても対応できかねます。
※本メールに心当たりのない場合は、破棄いただきますようお願いいたします。
※フィッシング詐欺には十分ご注意ください。

「楽天銀行公式サイト（rakuten-bank.co.jp）から行ってください」と注意書きまで用意しながら、本文中の実際のリンク先は公式ドメインと無関係の詐欺サイトという、なんとも矛盾した作りになっています。ご丁寧な「ご注意」文言に騙されず、まずはリンクを開かないことが第一です。

2. 送信ルートおよび偽装判定

メールヘッダーのうち、送信元を特定するもっとも信頼できる情報である「Received-SPF: client-ip=」を確認したところ、実際の送信元は 104.46.220.109 でした。

SPFが「Pass」だからといって安全とは限りません。今回のケースでは攻撃者が自分で用意した使い捨てドメイン（hlnsqz[.]top）に対して正しくSPFを設定していただけであり、Microsoft社のクラウド基盤を”踏み台”として借りているに過ぎません。実際、このドメインは調査時点で既にDNS登録が失効しており、使い捨てインフラの典型例です。

なお、メールヘッダー内のゲートウェイ検知情報からは、以下の誘導URLも確認されています。

※メールヘッダー詳細は個人情報保護のため非掲載

3. フィッシングサイト詳細解析——PC/スマホ二段階クローキング

メール本文の「本人確認を実施する」リンク先を調査したところ、2つの誘導先URLが用意されており、それぞれパソコン・スマートフォンでアクセスした際の挙動が異なる、巧妙な仕掛けが確認されました。

まずパソコンから直接アクセスすると、以下のように「403 Forbidden」が表示され、閲覧そのものを拒否されます。

※PCから直接アクセスした際の「403 Forbidden」表示です。

一方、同じリンクにスマートフォンからアクセスすると、以下のような「セキュリティ確認」を装った偽の人間認証（Bot判定）画面が表示されます。これは解析ツールやパソコンからの機械的なアクセスを弾き、スマートフォンを使う生身の人間だけを本物の偽サイトへ通す”門番”の役割を果たしていると見られます。

※スマホ側で表示される偽「セキュリティ確認」画面です。

さらに、メール本文中のもう一つの誘導先URLへスマートフォンからアクセスすると、確認画面を経由せず直接、楽天カードの会員サイト「楽天e-NAVI」を模した偽ログイン画面が表示されました。

※スマホ側で表示される偽「楽天e-NAVI」ログイン画面です。

なお、パソコンから2つ目の誘導先URLへアクセスした場合にどのような画面が表示されるかは、今回は確認できていません。

ここにIDやメールアドレス、パスワードを絶対に入力しないでください。入力した情報はそのまま攻撃者に送信され、不正ログインや不正利用の被害に直結します。

なお余談ですが、件名では「楽天銀行」を騙りながら、実際に表示される偽サイトは「楽天カード」「楽天e-NAVI」のロゴという、ブランドの取り違えが起きています。おそらく複数の楽天グループなりすましテンプレートを使い回す中で、貼り付けるロゴを間違えたのでしょう。詐欺師の”雑さ”がうかがえる一幕です。

4. こうしたメールが届いたときの対処法

• 「本日中にご対応ください」など即日対応を迫る件名は、まずリンクを開かずメール自体を削除する
• 本人確認や口座確認が必要な場合は、普段使っている公式アプリやブックマークから直接アクセスする
• 送信者の表示名だけでなく、実際のメールアドレスのドメイン（＠より後ろ）が本物か必ず確認する
• 万が一IDやパスワードを入力してしまった場合は、公式サイトから直ちにパスワードを変更する
• 二要素認証（ワンタイムパスワード）を設定しておくと、パスワード漏えい時の被害を最小限に抑えられます

「本日中に」「未登録のデバイスからログイン試行」といった文言は、読者の不安を煽り冷静な判断力を奪うための典型的な心理トリックです。焦って対応する前に、一度深呼吸をして、本当に公式サービスからの通知かどうかを確認する習慣をつけましょう。

今回の記事が役に立ったら、家族や職場の仲間にもぜひ共有してください。同じメールが届いている方がいるかもしれません。

Data Provided by Heartland-Lab Security Research Unit
※本記事に記載のIPアドレス・ロケーション情報は調査時点（2026年7月）のものであり、日々変化する可能性があります。
根拠データ参照元：ip-sc.net

使用配色テーマ：Burgundy（PRIMARY #6d1f2a / ACCENT #cc0000）