【続報】セゾンカード詐欺、ドメインを変えて再登場——前回と同一のTencent Cloudサーバー・同一URLパスを使い回すフィッシングキットの正体

2026年7月28日

先日、セゾンカードを装う偽ログイン画面の記事を公開したばかりですが、今度は別のドメインから、そっくりな手口のメールが届きました。調べてみると、驚きの共通点が見つかりました。

【続報】セゾンカード詐欺、ドメインを変えて再登場——前回と同一のTencent Cloudサーバー・同一URLパスを使い回すフィッシングキットの正体

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

前回、「セゾンカード取引内容確認手続きのご案内」は詐欺！中国系クラウド上の偽ログイン画面でID・パスワードを狙う手口という記事で、evoxtrm.comというドメインを使ったセゾンカードなりすましフィッシングを解析しました。今回は「セゾンカードカード利用内容確認のご連絡」という新しい件名・新しいドメインで届いたメールを調べたところ、誘導先サイトのIPアドレスとURLパスが前回とまったく同じであることが判明しました。

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★★☆ (4/5)
前回記事との一致度	誘導先IP・URLパスが完全一致

■ メールヘッダー解析(送信者情報)

件名：セゾンカードカード利用内容確認のご連絡

送信者表示名：“セゾンカード”(詐称)

送信元アドレス：Bram@kidsdoor.net

送信元IP：178.80.4.178(サウジアラビア、国レベル判定)

SPF判定：Softfail(ドメイン所有者がこのホストの使用を推奨していません)

DKIM署名：あり(攻撃者自身のドメインkidsdoor.netで自己署名)

※メールヘッダー詳細は個人情報保護のため非掲載

送信ドメイン・件名は毎回変わりますが、誘導先の中身は前回と同じ。攻撃者は「使い捨てるのはドメイン名だけ」という運用をしています。

実際に届いたメールがこちらです。今回は「Amazon eギフトカード」の高額請求をでっち上げる内容でした。

▲ 「注文番号」「ご請求金額418,000円」など、具体的な項目を並べて不安を煽る構成

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

カードサービス利用状況のお知らせ

お取引状況確認に関するお知らせです。
安全管理のため、対象となる取引情報の確認を実施しております。

注文番号：WSJ-65488-QS
ご注文内容：Amazon eギフトカード
ご利用店舗：Online Store
ご請求金額：418,000円
配送先：神奈川県
注文状況：出荷準備中

[利用情報を表示する]

前回のメールは「Amazonで33,800円」という比較的少額の設定でしたが、今回は「418,000円」という高額請求に変わっており、より強く不安を煽る内容にエスカレートしています。

■ 送信ルート及び偽装判定

正規の送信元IP(Received-SPFのclient-ip)：
178.80.4.178(国レベル判定：サウジアラビア)

【偽装判定】：
送信ドメイン「kidsdoor.net」もセゾンカード・クレディセゾンとは無関係の、攻撃者が用意したドメインです。前回のkagemasakatana.comとは別のドメインですが、手口の構造は同一です。

続いて誘導先を確認したところ、前回記事で解析したサイトとの一致が見つかりました。

■ 誘導先サイトの詳細解析

誘導先URL(伏せ字)：hxxps://sancice［.］eyewyu［.］cn/eD9490/index

サイトサーバーIP：43.167.12.139

このIPアドレスは、前回記事で解析した「evoxtrm.com」とまったく同じです。さらにURLの末尾「/eD9490/index」という部分まで一致しており、ドメイン名だけを使い捨てて同一のフィッシングキット(偽サイトを構築する一式のプログラム)を使い回していることがうかがえます。

ホスティング事業者：Tencent Cloud Computing (Beijing) Co., Ltd(AS132203／TENCENT-NET-AP-CN、前回記事で確認済み・脅威レベル低)

セキュリティソフトの判定：今回もウイルスバスタークラウドが「フィッシング」としてこのURLへのアクセスを既にブロックしていました。

▲ 前回と同じく「フィッシング」の脅威種別でブロックされている

▲ 読み込み中の画面も前回とまったく同じデザイン

▲ 表示される偽ログイン画面も、前回記事のものとピクセル単位で同一に見える

警告をブロックして先へ進めても、表示される画面は前回記事で確認した偽ログイン画面と同一でした。つまり攻撃者にとって使い捨てているのはドメイン名だけで、フィッシングサイト本体やサーバーはそのまま使い回しているということです。この使い回しに気づけば、似たような件名・デザインのメールを継続的に警戒する目安になります。

■ 注意点と対処法

ドメインが違っても油断しない：「見たことのないドメインだから初めての攻撃」とは限りません。中身は使い回しの可能性があります。
メール内のリンクからログインしない：必ず公式アプリ、またはブックマークしたNetアンサーの正規URLからアクセスしてください。
高額請求の演出に驚かない：身に覚えのない請求額が書かれていても、まずは公式サイト・公式アプリで直接確認しましょう。
公式注意喚起の参照：セゾンカードを騙る不審なメール・SMSにご注意ください(セゾンカード公式)

本レポートの結論

今回のセゾンカードなりすましは、前回記事と同一のTencent Cloudサーバー・同一URLパスを使い回したフィッシングキットでした。ドメイン名を変えるだけで何度でも再利用できる手口だからこそ、一度見た画面のデザインを覚えておくことが有効な防御になります。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

LINEでシェア

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
関連記事：「セゾンカード取引内容確認手続きのご案内」は詐欺！中国系クラウド上の偽ログイン画面でID・パスワードを狙う手口
使用配色テーマ：Forest