魔改造B-CAS詐欺、新誘導先「cas-ccc.online」で継続中——今回はプロキシ経由の”脅威レベル高”IPから配信

ご覧の通り、このメールは違法な改造カード販売への勧誘です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた勧誘メールを技術検証のために忠実に再現したものです。

COOL SUMMER CAMPAIGN

涼しく、賢く、お得に選ぶ夏

6月17日の毒電波対策品、B-CASカード改造、激安ただでBSCSが観られる。

夏の注目商品を特別価格で
数量限定のお得情報

6月17日の毒電波対策品、B-CASカード改造、激安ただでBSCSが観られる。

夏限定のお買い得企画です。
人気商品は早期終了となる場合があります。

［夏の特別価格を確認する］

最新の価格と在庫状況は商品ページでご確認ください。

本メールは、期間限定キャンペーン情報をご案内しています。

実際に受信した勧誘メールの画面。「COOL SUMMER CAMPAIGN」という涼しげなデザインで違法商品を宣伝している

• 1. ■ 送信ルートおよび偽装判定
• 2. ■ 誘導先の解析——短縮URL・海外リダイレクトサービスを経由
• 3. ■ 注意点と対処法

送信元IP（Received-SPFヘッダーより特定）：

188.92.28.76（helo=ib.systems）

回線情報（ip-sc.net確認）：

プロバイダ：Baykov Ilya Sergeevich／AS41745（FORTIS-AS）／利用形式：corporate
所在地：フランス パリ
プロキシ使用：あり（httpプロキシ）
脅威レベル：高（「サイバーアタックの攻撃元／攻撃対象：Web」との情報あり）

これまでのシリーズと異なり、今回は既知の攻撃実績があるIPが使われています。

これまでご紹介してきた魔改造B-CASシリーズの送信元は、ip-sc.net上ではおおむね脅威レベル「低」でしたが、今回のIPは「高」評価かつプロキシ経由でした。攻撃者側のインフラ調達手段が変化した、あるいは複数の配信ルートを使い分けている可能性があります。

SPF：

Softfail（送信元ドメイン管理者自身が「このホストからの送信は推奨しない」と表明している状態）。これまでのシリーズはPassが目立ちましたが、今回はドメイン側の設定からしても正規の送信ではないことが伺えます。

リダイレクトチェーン：

メールヘッダー内には、ロシアの短縮URLサービス「clck.ru」から、Yandex（ロシアの検索大手）のリダイレクトサービスを経由するよう設定された記録が残っていました。複数のリダイレクトを重ねることで、自動解析や追跡を妨げる狙いがあるとみられます。

最終誘導先URL（伏せ字）：

hxxps://cas-ccc[.]online/

回線情報：

解決先IP：104.21.86.28（Cloudflareのアドレス帯）
※Cloudflareのanycast方式のため、この位置情報は実際のホスティング地点を示すものではありません。

誘導先の商品販売ページ。価格・特典・保証内容とも、6月17日の初出以来まったく変わっていない

1. メール内のリンクは絶対にクリックしない：違法な改造カードの購入勧誘であり、個人情報を入力すると詐取されるリスクがあります。
2. 「無料視聴」を謳う怪しい商品には近づかない：B-CASカードの改造は違法行為であり、購入・使用者自身も法的リスクを負う可能性があります。
3. 短縮URLを不用意に開かない：clck.ruのような短縮URLは、実際の遷移先が分からないまま開いてしまう危険があります。
4. 心当たりのないキャンペーンメールは削除する：「期間限定」「早期終了」といった煽り文句は、冷静な判断力を奪う典型的な手口です。

本レポートの結論

6月17日から続く魔改造B-CASカード違法販売勧誘の最新版です。誘導先ドメインは「cas-ccc.online」に更新され、送信元には過去のシリーズにはなかった脅威レベル「高」のプロキシ経由IPが使われていました。手口自体は変わらず違法な個人情報詐取のリスクがあります。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。