クロネコヤマト偽装「不在連絡」詐欺——実在の日本語ドメインが乗っ取られコンゴ共和国経由で送信、珍しく開封確認まで要求

ご覧の通り、このメールはヤマト運輸を装った真っ赤な偽物です。送信元が実は乗っ取られたドメインだったという事実も含め、この解析結果をご家族に共有して注意喚起してください。

• 1. ■ メール本文の再現
• 2. 💡 ここで！豆知識：「開封確認」の要求と正規ドメインの乗っ取り
• 3. ■ 送信ルート及び偽装判定
• 4. ■ フィッシングサイト詳細解析
• 5. ■ 注意点と対処法

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。※メールヘッダー詳細は個人情報保護のため非掲載です。

ヤマト運輸からのお知らせ

尊敬なるヤマト運輸のユーザー様

本日、お客様宛てのお荷物をお届けに参りましたが、誠に残念ながら
ご不在でした。お客様の大切なお荷物は、安全に最寄りの営業所にて
お預かりしております。

■ 配送詳細
保管期限：2026/8/1 営業終了まで
サービス：宅急便

ご注意：保管期限の延長はできませんので、ご了承ください。また、
ご依頼主様のご指示により、保管期限前に返送されることがあります。

■ 再配達のご案内
1. 保管期間中、お客様のご都合に合わせて再配達をお申し込みいただけます。
2. 再配達のお申し込みは、以下のボタンからお願いいたします。
3. 再配達には41円の費用が発生します。
4. ご不在時でも安心してお受け取りいただける「置き配」サービスも
   ご用意しております。再配達お申し込み時に「置き配」をお選びください。

［再配達を申し込む］

ご不明な点がございましたら、お気軽にお問い合わせください。
お客様のお荷物を安全にお届けできるよう、誠心誠意努めてまいります。

注：24時間以内にご返信がない場合は、発送元に返送されます。

【国際宅急便について】
国際宅急便サービスセンター：0120-5931-69（受付時間：9時～18時、年中無休）

【UPSワールドワイド・エクスプレス・セイバー(WWX)について】
ユーピーエス・ジャパン株式会社：0120-74-2877（受付時間：9時～18時30分、土日祝日除く）

© YAMATO HOLDINGS CO., LTD. All rights reserved.

■ 用語解説

開封確認（Return-Receipt）：メールソフトに搭載されている、メールが開封されたことを送信者に通知する機能です。今回のメールにはこの機能を使った要求が含まれており、開封してしまうと「このメールアドレスが実際に使われている」ことを攻撃者に知らせてしまう可能性があります。表示された確認ダイアログでは「キャンセル」を選んでください。

正規ドメインの乗っ取り：実在する企業や個人が保有するドメインの管理権限やメールサーバーの設定が、何らかの形で攻撃者に不正利用される状態です。SPFやDKIMがそのドメイン自体で「合格」してしまうため、一見すると正規のメールのように見えてしまう厄介なケースです。

送信元メールアドレス：Adrianne@tsuzuki-jin.jp（表示名「クロネコヤマト」）

ヤマト運輸の正規ドメインとは全く関係ありません。さらに注目すべきは、送信元の「tsuzuki-jin.jp」自体が実在する日本語の企業・個人向けドメインらしき名称である点です。

送信元IP（Received-SPF: client-ip）：
102.129.82.158（SPF判定：Softfail＝ドメイン所有者がこのホストの使用を推奨しないと明記）

【偽装判定・重要】：
このIPアドレスはコンゴ共和国（首都圏の港湾都市ポワントノワール）のプロバイダー「Congo Telecom」に割り当てられています。SPFがSoftfail（弱い不合格判定）である点も含め、正規のドメイン所有者が意図した送信ではなく、ドメインの管理設定やメールサーバーが何らかの形で不正に乗っ取られ、遠く離れたアフリカのネットワークから詐欺メールの送信に悪用されたとみられます。

発信元ロケーション：
コンゴ共和国 ポワントノワール
詳細：【ip-sc.netで確認する】

■ 誘導先URL（伏せ字）

hxxps://corially［.］apphkc.cn/8Hg97ml/loginbab

リンク先IP：43.165.167.152（Shenzhen Tencent Computer Systems Company Limited）。ip-sc.net上の位置情報表示は「東京都渋谷区」ですが、AS名が「TENCENT-NET-AP-CN」であることから中国系ネットワークの割り当てである可能性があり、実際の運用実体の所在地は断定できません。

アクセスするとヤマト運輸のロゴを使用した精巧な「配達依頼」画面が表示され、「住所を更新してください」という名目で個人情報の入力へ誘導します。当ラボの調査中は、このフィッシングページと「403 Forbidden」エラーが不安定に切り替わる状態で、サーバー側の運用が安定していない様子もうかがえました。

■ こんなメールに要注意

1. 「再配達に費用が発生する」という案内：ヤマト運輸の正規の再配達サービスは基本無料です。金額の提示があれば詐欺と判断してください。
2. 開封確認ダイアログが出たら：「キャンセル」を選んでください。「OK」を押すと、このメールアドレスが実際に使われていることを送信者に伝えてしまいます。
3. 差出人ドメインが自然な日本語名でも油断しない：実在の企業らしきドメインが乗っ取られているケースもあります。URLの最終的な行き先まで必ず確認してください。
4. 不安な場合は：メール内のリンクは使わず、ヤマト運輸の公式アプリや荷物お問い合わせシステムで直接確認してください。

本レポートの結論

定番の「不在連絡」詐欺ながら、実在の日本語ドメインが乗っ取られ、コンゴ共和国のネットワークを経由して送信されているという、送信インフラの面で珍しい特徴を持つ事例でした。開封確認の要求という珍しい手口もあわせて、油断のならない一通です。この記事のURLをコピーして、ご家族のLINEグループで『これ気をつけてね』と共有してあげてください。