「SAISON CARD」の正体はUnicode逆読み偽装だった——3Dセキュア義務化から1年、なりすまし件名・本文にまでゼロ幅文字を仕込む徹底ぶり

HL-META: date=2026-07-28 | brand=セゾンカード | sender_geo=オーストリア | site_geo=unknown | spf=pass | dkim=pass | cloaking=no

「SAISON CARD」という表示は、実は目の錯覚ではありません。文字そのものが逆順に描画されるよう、Unicodeの制御文字が仕込まれていました。

■ 送信者名の偽装トリック：RLO(右から左書式)制御文字

送信者名のエンコードをデコードすると、実際に書かれている文字は次の通りでした。

[U+202E] DRAC N [U+2060] OSIAS

先頭のU+202Eは「Right-to-Left Override(RLO)」と呼ばれるUnicode制御文字で、本来はアラビア語やヘブライ語など右から左に読む言語を正しく表示するための仕組みです。これを悪用すると、続く文字列を強制的に逆向きに表示させることができ、「DRAC NOSIAS」という文字の並びが画面上では「SAISON CARD」に見えてしまいます。ファイル名の拡張子偽装などで知られてきた手口ですが、メール送信者名への応用は珍しいケースです。

💡 ここで！ 用語をやさしく解説

RLO(Right-to-Left Override)：文字の表示順序を強制的に右から左へ切り替えるUnicodeの制御文字です。目に見える文字ではないため、メールソフトやOSの表示上は気づきにくく、実際に書かれている文字列と画面に表示される文字列が全く逆になることがあります。「見た目のブランド名」を鵜呑みにしないことが重要です。

ゼロ幅文字によるキーワード分断：件名の「SAISON」という単語の各文字の間、さらに「確認」という単語の間にも、画面には一切表示されない特殊文字(U+200B・U+200C・U+200D・U+FEFFなど)が挿入されていました。人間が読むと普通に「SAISON」「確認」と読めてしまいますが、機械的な文字列一致でキーワードを検知するタイプのスパムフィルターには「S・A・I・S・O・N」がそれぞれ別の文字として認識され、単語として一致しなくなります。

■ 誘導先サイトの詳細解析(3段階リダイレクト)

①メール内の直リンク：hxxps://hklangxun［.］com/QLELn7g8/verify

②中継先：hxxps://duiadkfdvd［.］clwwq［.］com/(ウイルスバスターがここで「フィッシング」として検知)

③さらに中継：hxxps://zztyhg［.］com/LTWhyiTM/(サーバーIP：8.211.153.128／Alibaba Cloud系ホスティング／脅威レベル低)

④最終的な偽サイト：精巧に再現された「SAISON CARD」ログイン画面

■ 注意点と対処法

1. 送信者名の見た目を信用しない：特殊な制御文字によって、実際の文字列と画面表示が異なる場合があります。
2. セキュリティソフトの警告は無視しない：「ブロックしたWebサイトにアクセス」を選ばず、素直に画面を閉じてください。
3. 3Dセキュアの手続きはメール経由で行わない：必ず公式アプリまたはブックマークした公式サイトから確認してください。
4. 不審なメールは報告・削除：返信やリンクへのアクセスはせず、迷惑メールとして処理しましょう。

本レポートの結論

今回のセゾンカードなりすましは、Unicode制御文字による送信者名の反転偽装、件名・本文へのゼロ幅文字の徹底的な注入、3段階のリダイレクトという、文字コードレベルから作り込まれた非常に手の込んだ攻撃でした。2つのセキュリティ製品がそれぞれ独立して警告した事実を、ぜひ重く受け止めてください。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。