「日本の税務当局」を騙る税金還付詐欺メール、誘導先は無関係な「Active!mail」偽ログイン画面——口実と攻撃対象がずれた雑なキットの正体

2026年8月3日

今日は「日本の税務当局」を名乗る税金還付のお知らせメールが届きました。読み進めていくと、あちこちに辻褄の合わない点が見つかる、なかなか興味深い一通でした。

📋 調査レポート：概要

緊急性レベル	★★★☆☆ (3/5)
偽装工作精度	★★☆☆☆ (2/5)
受信日時	2026年8月3日

「日本の税務当局」を名乗り、「税金の還付手続きをお待ちしている」という体裁でリンクをクリックさせようとするフィッシングメールです。ところが実際にリンク先をたどると、税金還付とは全く無関係な、国内メールサービスのログイン画面にたどり着くという、口実と実態がかみ合わない作りになっていました。※メールヘッダー詳細は個人情報保護のため非掲載です。

⚠️ 日本に「税務当局」という機関は存在しません。これは詐欺メールです。

それでは、実際に届いたメールの内容から見ていきましょう。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

税金還付に関するご案内

（受信者のメールアドレス） 様

税金還付のお手続きについて、現在お客様のご対応をお待ちしている状況です。

下記の公式ポータルより内容をご確認のうえ、お手続きをお願いいたします。

本メールの日付: 2026年8月2日

［公式ポータルで確認する］

ご不明な点がある場合は、サポート窓口までお問い合わせください。

サポート窓口: support@japannataionaltaxagency.jp

※
このメールはご案内専用です。個人情報の入力は必ず公式ポータル上で行ってください。

実際に受信した詐欺メールの画面。宛名の部分に氏名ではなくメールアドレスがそのまま表示されている

1. ■ 送信ルートおよび偽装判定
2. ■ 誘導先の解析——口実と実態がずれた着地点
3. ■ 注意点と対処法

■ 送信ルートおよび偽装判定

送信元アドレス：
noreply@staxsystem.com（表示名は「日本の税務当局」という日本語の偽名）

送信元IP（Received-SPFヘッダーより特定）：
156.70.35.240（helo=mta-70-35-240.sparkpostmail.com）

この送信元はSparkPost（スパークポスト）という、実在する海外のメール一斉配信サービスの正規インフラです。企業がメールマガジンや通知メールを大量に送る際に使う商用ツールで、それ自体は合法的なサービスです。SPF（送信元がなりすましでないかを確認する仕組み）・DKIM（メールが改ざんされていないかを確認する電子署名）が両方Passしているのも、あくまでSparkPostの正規基盤を経由しているからであり、「日本の税務当局」を名乗る根拠には一切なりません。

また、本文中の問い合わせ先として記載されていたアドレスはsupport@japannataionaltaxagency.jpでした。よく見ると「national（ナショナル）」が「nataional」と綴りミスをしています。実在する日本の税務当局のドメインは「nta.go.jp」のみで、こうした独自ドメインを名乗ること自体がすでに不自然です。急いでテンプレートを作ったのか、単純な誤字なのか、詰めの甘さが垣間見えます（笑）。

■ 誘導先の解析——口実と実態がずれた着地点

本文中のリンク先：
lifegeteco.emlnk9.com/lt.php?x=（長いトラッキングパラメータ省略）

このリンクも、SparkPostが提供するクリック計測用の正規機能（メール内リンクを一度自社ドメイン経由にして開封・クリック状況を計測する仕組み）が悪用されたものです。実際にこのリンクへアクセスしようとすると、セキュリティソフトが以下のように警告を表示しました。

セキュリティソフト（ウイルスバスタークラウド）が表示した警告画面。このリンク先がフィッシングサイトとして検知されている

警告を確認したうえで、慎重に最終的な着地点を確認したところ、税金還付とは全く無関係な、国内メールサービス「Active!mail」を模した偽ログイン画面にたどり着きました。

最終的な誘導先の画面。税金還付とは無関係な、メールサービスのログイン画面が表示された

回線情報（ip-sc.net確認）：
プロバイダ：Aceville Pte. Ltd.／AS139341（ACE-AS-AP）／利用形式：hosting
所在地：シンガポール

誘導先のドメイン名には大手クラウド事業者のCDN（コンテンツ配信network）製品を示す文字列が含まれていましたが、実際にこのIPアドレスを保有していたのはシンガポールの別事業者でした。CDNサービスは地域ごとに現地の事業者と提携していることも多く、ドメイン名だけで運営元を断定するのは早計です。

「税金還付」を口実にしながら、実際に盗もうとしているのはメールアカウントのログイン情報という、口実と攻撃対象が一致しない作りです。おそらく汎用的なクレデンシャル（ログイン情報）窃取用のキットを、テーマだけ税金還付に差し替えて使い回しているのでしょう。メールアカウントを乗っ取られると、そこを起点にさらに別の詐欺メールを大量に送られたり、他のサービスのパスワード再設定に悪用されたりする危険があります。