moomoo証券「W-8BEN情報更新」詐欺が半年ぶりに再来——オランダ発、Cloudflare認証を挟む新しい誘導手口

HL-META: date=2026-07-29 | brand=moomoo証券 | sender_geo=オランダ | site_geo=unknown | spf=pass | dkim=pass | cloaking=unknown

ご覧の通り、このメールはmoomoo証券を装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果をご家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

---

お客様各位,

平素よりご利用いただきありがとうございます。

お客様の口座に登録されているW-8BEN情報について、更新が必要となっております。

W-8BENは、お客様の税務上のステータスを確認し、関連する税務報告および源泉徴収手続きを適切に行うために必要な書類です。口座情報を正確かつ最新の状態に保つため、できるだけ早めに内容をご確認のうえ、必要な更新手続きを完了してください。

下記の安全な更新ページより、現在の情報をご確認いただき、必要事項をご提出ください：
W-8BENを更新する。

更新内容の送信後、担当部署にて確認を行い、お客様の口座情報に反映いたします。手続きが完了しましたら、登録済みのメールアドレス宛に確認通知をお送りいたします。

なお、W-8BEN情報の更新が完了していない場合、口座の継続利用に影響が生じる可能性があります。一部のサービス、取引機能、または口座機能が制限、遅延、もしくは一時的に利用できなくなる場合があります。

ご不明な点がございましたら、公式サポート窓口までお問い合わせください。

何卒よろしくお願いいたします,
moomoo証券

*This is a system mail, please do not reply.

■ 送信ルート及び偽装判定

表示上の送信者：moomoo@wyldlo.com

送信元（SPF client-ip）：31.77.204.38
HELO：mail.wyldlo.com
この送信元IPはオランダ・アムステルダムのホスティング事業者（Xorek.Cloud）に割り当てられたものです。SPF・DKIMともに「Pass（合格）」ですが、これは「wyldlo.com」という送信元ドメイン自身への認証にすぎず、moomoo証券の公式ドメイン（moomoo.com）とは一切無関係です。

【気になる配信の形跡】：ヘッダーには「X-MailOps-Test」「X-MailOps-Trace」という見慣れない項目が含まれていました。詳細は不明ですが、何らかのメール配信管理システムを経由して送られた形跡があり、大量配信を前提とした攻撃基盤が使われているとみられます。

【偽装判定】：正規のmoomoo証券からのメールは公式ドメイン「moomoo.com」から送信されます。本メールの送信ドメイン「wyldlo.com」はmoomoo証券と一切関係のない、フィッシング目的とみられるドメインです。SPF・DKIMの認証結果が「Pass」でも、それは「本物」を意味しません。送信元ドメインそのものが公式と無関係であれば、認証がいくら通っていても偽物です。

💡ここで！ 用語をやさしく解説

W-8BEN：アメリカの証券や株式を取引する際に、日本など米国以外の居住者であることを証明し、税金の源泉徴収を正しく行うために提出する書類です。証券会社が正式な手続きなしに、メールのリンクだけで再提出を求めることは基本的にありません。

Cloudflare Turnstile（セキュリティチェック）：本来は不正なアクセスやボットを見分けるための正規の仕組みです。詐欺サイトがこれを導入すると、「ちゃんとしたセキュリティ対策をしているサイトだ」という誤った安心感を与えてしまう場合があります。セキュリティチェックがあるからといって、サイト自体が安全とは限りません。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://cj3cvufe57wm6bl0dv［.］live/

本文中の表示リンクと、ヘッダー内の内部解析用リンクの遷移先は一致しており、表示URLと実リンクの偽装は今回は使われていませんでした。ただしこの誘導先はCloudflareのネットワーク（anycast、複数のサーバーが同じIPアドレスを共有する仕組み）を経由しているため、実際のサーバーの所在地はこの情報だけでは特定できません。

このセキュリティチェックを通過すると、moomoo証券の公式ログイン画面を模した偽ページが表示されます。「Email/User ID」でのログインを促す構成は本物のデザインを意識して作られており、慣れていない方が見分けるのは簡単ではありません。この画面でメールアドレスやパスワードを入力すると、そのままアカウント情報が攻撃者に送信されてしまいます。

■ 過去の関連記事（続報について）

同じくmoomoo証券のW-8BEN更新を騙るメールについては、2026年2月にも取り上げています。

・前回の解析記事：【解析】moomoo証券偽メール「W-8BEN再提出」の詐欺サイトとIP特定（https://ymg.nagoya/spam-mail-3528/）

前回は送信元ドメインが「zmtgncjf.xyz」、誘導先が「tdfpexywllo.com」でしたが、今回は送信元・誘導先ともに完全に別のドメインへ入れ替わっています。約5ヶ月の間隔を空けて、同じ題材のテンプレートを使い回す攻撃者の存在がうかがえます。

■ 注意点と対処法

1. 送信元アドレスを確認する：moomoo証券からのメールは公式ドメイン「moomoo.com」からのみ配信されます。それ以外のドメインからのメールは偽物です。
2. メール内のリンクからログインしない：口座の状態が気になる場合は、必ず公式アプリまたはブックマークからアクセスして確認してください。
3. 「セキュリティチェック」の有無で安全性を判断しない：詐欺サイトでも正規のセキュリティ機能を導入している場合があります。
4. 公式注意喚起の参照：moomoo証券公式：不審なメール・偽サイトに関する注意喚起

本レポートの結論

「W-8BEN情報更新のお願い」を名乗るmoomoo証券なりすましメールは、半年近い間隔を空けながらも、送信元・誘導先インフラを一新して繰り返し届いています。今回はCloudflareのセキュリティチェックを挟むなど、以前より手口が洗練されている点にも注意が必要です。身近な方が慌ててログイン情報を入力してしまう前に、この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。