【セゾンカード詐欺メール】「Vポイント未反映分・補填対象者様へのご案内」は偽物｜Vpassとブランドが混線

2026年8月3日

セゾンカードを騙る「Vポイント未反映分の補填」というメールが届きました。今回は誘導先を追いかけてみたところ、たどり着く前にすでに道が塞がれているという、少し珍しいオチのある一通でした。

📋 調査レポート：概要

緊急性レベル	★★☆☆☆ (2/5)
偽装工作精度	★★★☆☆ (3/5)
受信日時	2026年8月3日

セゾンカードを騙り「Vポイントに未反映分があり、補填の受取手続きが必要」と持ちかけるフィッシングメールです。誘導先を確認したところ、すでにドメイン自体が消滅しており、加えてブラウザのセキュリティ機能にも危険サイトとして検知されるという、二重に無効化された状態でした。※メールヘッダー詳細は個人情報保護のため非掲載です。

⚠️ このメールはセゾンカード公式ではありません。詐欺メールです。

それでは、実際に届いたメールの内容から見ていきましょう。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

VPOINT ADJUSTMENT OFFICE
Vポイント未反映分・補填のお知らせ

当社システムの集計遅延により、お客様のVポイントに未反映分が発生しております。

（受信者番号） 様

平素よりVpassをご愛顧いただき、誠にありがとうございます。
Vポイント調整事務局でございます。

このたびの四半期ポイント集計監査において、お客様のVポイント残高に未反映のポイントが存在することが判明いたしました。

未反映ポイント補填のご案内
補填対象ポイント：7100 ポイント
未反映発生日：2026年7月カードご利用分
補填受付期限：2026年8月3日より7日以内

本来、このポイントは自動的に付与されるべきものですが、システムの都合上、お客様ご自身による受取確認のお手続きが必要となっております。

［未反映ポイントを受け取る］

受取期限を過ぎた場合、補填手続きは自動的に無効となります

本補填に伴う費用は一切発生いたしません。お手続きは携帯電話番号のご入力のみで完了します。

発行元：三井住友カード株式会社
Vpassカスタマーセンター：0570-004-980（平日9:00-17:00）

実際に受信した詐欺メールの画面。宛名部分には受信アドレスの数字部分がそのまま表示されている

1. ■ 送信ルートおよび偽装判定
2. ■ 誘導先の解析——たどり着く前に道が塞がれていた
3. ■ 注意点と対処法

■ 送信ルートおよび偽装判定

送信元IP（Received-SPFヘッダーより特定）：
35.215.46.22（helo=receipt.quuiickq.com）

GeoLite2（IPアドレスから国を割り出すデータベース）で調べたところ、この送信元はGoogle Cloud Platform（グーグルが提供するクラウドサービス）のカナダ地域のサーバーでした。正規のセゾンカードからのメールが、クラウド上の契約サーバーから送られてくることはありません。SPF・DKIM（送信元やメールの改ざんを確認する仕組み）が両方Passしていても、それはあくまでこの送信基盤自体の設定が正しいというだけで、セゾンカード本人であることの証明にはなりません。

なお、本文のHTMLソースを確認したところ、画面には一切表示されないランダムな英数字を含むHTMLコメント（例：）が本文中の複数箇所に埋め込まれていることが分かりました。これは見た目を操作するゼロ幅文字や双方向テキスト制御文字とは違い、メールの内容をテンプレートごとにわずかに変化させることで、迷惑メールフィルターの「完全一致」による検出をすり抜けようとする狙いとみられます。

■ 誘導先の解析——たどり着く前に道が塞がれていた

誘導先URL（伏せ字）：
hxxps://www.qrbcrgktvblcnd[.]top/

このリンクへアクセスしようとしたところ、まずブラウザ（Google Chrome）のセーフブラウジング機能により「危険なサイト」として警告が表示されました。フィッシングサイトとしてすでに検出済みであることを示す警告です。

[IMAGE_URL_Chromeによる危険サイト警告画面]

Google Chromeのセーフブラウジング機能が表示した警告画面。フィッシングサイトとして検出済みであることが分かる

さらに警告を確認したうえで先に進もうとしたところ、今度はDNSの問題でサイト自体にアクセスできない状態（ドメインがすでに消滅していることを示す表示）になっていました。ブラウザのセキュリティ機能とドメイン消滅という、二重の意味でこのサイトはすでに機能していません。攻撃側の使い捨てインフラが、こちらが確認する前に片付けられてしまったのか、あるいは何らかの理由で早期に閉鎖されたのか、詳しい経緯は分かりませんが、結果的に実害には至らない状態でした（笑）。

誘導先URLへアクセスした際の画面。ドメイン自体がすでに存在しないことを示すエラーが表示されている

■ 注意点と対処法

「ポイントが未反映」「補填手続きが必要」といった連絡が届いた場合、メール内のリンクではなく、セゾンPortalアプリやNetアンサーから直接ポイント残高を確認してください。
宛名が氏名ではなく、自分のメールアドレスの一部（数字など）になっている場合は、名簿を使った無差別送信の可能性が高いサインです。
ブラウザが「危険なサイト」と警告した場合は、絶対にそれを無視して先に進まないでください。
誘導先が現在アクセスできない状態でも油断は禁物です。攻撃者は同じ手口で新しいドメインを使い、繰り返し似たメールを送ってくることがあります。

誘導先が使えない状態でも、同じ手口が形を変えて繰り返される可能性があります。この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。

📱 LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit
配色テーマ：Amethyst