iCloud+「決済エラーのお知らせ」は詐欺！ウイルスバスター・Chrome二重警告の先に精巧な偽Apple Account画面

HL-META: date=2026-08-05 | brand=iCloud+／Apple（なりすまし） | sender_geo=日本（東京都渋谷区、Microsoft Azure） | site_geo=中国（Tencent Cloud、深圳） | spf=pass | dkim=valid | cloaking=unknown

立て続けの解析になりますが、今度はiCloud+を騙る「決済エラー」詐欺メールが届きましたのでご紹介します。本文のデザインを見た瞬間、「これ、どこかで見た構成だな」と感じた方もいらっしゃるかもしれません。実は当ラボが何度も取り上げてきた、かなり息の長いフィッシングキットの使い回しでした。

Heartland-Lab（ハートランド・ラボ）専門調査レポート 目次 1. iCloud+「決済エラーのお知らせ」は詐欺！ウイルスバスター・Chrome二重警告の先に精巧な偽Apple Account画面 1.1. ■ 送信ルートおよび偽装判定 1.2. ■ フィッシングサイト詳細解析——2つのセキュリティ製品が揃ってブロック 1.3. ■ 注意点と対処法 1.4. 本レポートの結論 iCloud+「決済エラーのお知らせ」は詐欺！ウイルスバスター・Chrome二重警告の先に精巧な偽Apple Account画面 緊急性レベル ★★★☆☆ (3/5) 偽装工作精度 ★★★★☆ (4/5) iCloud+の月額サブスクリプション決済が失敗したとして、支払い情報の更新を促すフィッシングメールです。ウイルスバスター クラウドとGoogle Chrome、2つのセキュリティ製品が揃ってブロックする程度には既に把握されている詐欺サイトですが、両方の警告を無視して進むと、本物そっくりのApple Accountサインイン画面が待ち構えていました。

※重要：本文中のリンクは絶対にクリックしないでください。

※メールヘッダー詳細は個人情報保護のため非掲載です。

ご覧の通り、このメールはiCloud+・Appleを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果をご家族のLINEグループに転送して注意喚起してください。

それでは、実際に届いたメールの内容から見ていきましょう。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです（実際にはHTMLメール形式で届いています）。

iCloud+

お支払いに失敗しました
　　　　　　　　［要確認］

ご登録のお支払い方法で決済を試みましたが、処理を完了できませんでした。期限までに更新が行われない場合、現在のご契約プランは自動更新されず、一部機能が制限される可能性があります。

登録メール　　　　［%ToEmail］
請求日　　　　　　2026/08/05
支払い状況　　　　決済失敗
対応期限　　　　　2026/08/05 23:59
お問い合わせ番号　CS-048392

カード情報または支払方式確認

お手続きのご案内
・カードの有効期限・利用限度額をご確認ください。
・別のカードまたは別の支払い方法をご利用いただくこともできます。
・更新後、数分後に反映されます。

iCloud+ 50GB（月額）　　　　￥150
次回請求日: 2026年08月05日

［お支払い情報を更新］　［請求内容を確認］

本メールは、情報配信専用システム『Apple IDに登録されたお客様情報』に基づき送信されています。
Copyright (C) 2026 Apple Inc. All rights reserved.
Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA

実際に受信した詐欺メールの画面

よく見ると「登録メール」の欄に、本来お客様のメールアドレスが差し込まれるはずの変数タグ「[%ToEmail]」がそのまま表示されています。大量配信用テンプレートの差し込み処理に失敗した、攻撃者側のケアレスミスがまるわかりの一幕です（笑）。

■ 送信ルートおよび偽装判定

表示上の送信者：“iCloud+” <info@mail28.kingfulcol.com>

実際の送信元（Received-SPF client-ip）：20.89.51.156
HELO：mail28.kingfulcol.com
回線情報（ip-sc.net確認）：Microsoft Corporation／AS8075（MICROSOFT-CORP-MSN-AS-BLOCK）／所在地：東京都渋谷区
この送信元IPはMicrosoft Azureの割当帯域です。東京リージョンのサーバーが割り当てられているとみられますが、これはAzureの汎用サーバー所在地であり、攻撃者本人の実際の所在地を示すものではありません。

【偽装判定】：SPF認証は「Pass（合格）」、DKIM署名も「Valid（有効）」ですが、これはいずれも攻撃者が用意した「mail28.kingfulcol.com」というドメイン自身への認証にすぎません。SPF・DKIMが「Pass」であっても、それが正規のApple・iCloudドメインでなければ何の意味もありません。正規のiCloud+からのメールはApple公式ドメインから送信されており、本メールの送信インフラとは一切関係がありません。

【気になる点】：メールヘッダーには、実在する某研究機関・某公的機関のドメイン名を含む中継記録がいくつか記載されていましたが、正規のSPF認証結果と整合しない不自然な内容だったため、攻撃者が信頼性を演出するために挿入したダミーの記録である可能性が高いと判断しました。実際の送信元の特定には、これらではなく「Received-SPF」ヘッダーのclient-ipを使用しています。

💡 ここで！ 用語をやさしく解説 SPF（エスピーエフ）：「このメールは正規の送信元から届いていますか？」を確認する仕組みです。今回は「mail28.kingfulcol.com」については合格判定でしたが、それはiCloud+・Appleとは無関係の攻撃者ドメインだった、という点がポイントです。 DKIM（ディーキム）：メールが送信後に改ざんされていないかを電子署名で証明する仕組みです。今回は署名自体が有効でしたが、これも攻撃者が自分のドメインに対して行った署名にすぎません。 クラウドホスティング：Microsoft AzureやTencent Cloudのように、世界中の企業が間借りできるサーバー貸し出しサービスです。攻撃者もこうした一般企業向けサービスを悪用して、送信サーバーや詐欺サイトを一時的に構築しています。

■ フィッシングサイト詳細解析——2つのセキュリティ製品が揃ってブロック

誘導先URL（伏せ字）：hxxps://store.icloudserverb［.］com/signIn-orders-jp/

解決先IP：43.165.178.15（ip-sc.net確認：Tencent Cloud Computing (Beijing) Co., Ltd.／AS132203「TENCENT-NET-AP-CN」）。GeoLite2の簡易判定では見えてこない情報ですが、この43.x.x.x帯は当ラボで過去にも複数回、Tencent Cloudのサーバーとして確認しているパターンと一致します。

アクセスした際に最初に表示された、ウイルスバスター クラウドによる「このWebサイトは、安全ではない可能性があります」という警告。脅威の種類として「フィッシング」が明記されている

この警告を承知のうえで先へ進んでみたところ、続けてGoogle Chromeのセーフブラウジング機能によっても警告が表示されました。

続けて表示されたChromeの「危険なサイト」警告。Googleセーフブラウジングも同じくフィッシングとして検出している

ウイルスバスターとChrome、性質の異なる2つのセキュリティ製品が揃って「危険」と判定しているのは、それだけ広く報告・検知されている詐欺サイトである証拠です。それでも両方の警告を無視して進むと、最終的には次のような画面が表示されました。

2重の警告を突破した先に表示された、Apple公式サイトのデザインを精巧に再現した偽の「Apple Account」サインイン画面

レイアウト・配色ともに本物のApple公式ページと非常によく似ており、ここでメールまたは電話番号を入力してしまうと、続けてパスワードやカード情報まで詐取される流れになっていると考えられます。2つのセキュリティ警告を両方無視しないとたどり着けない仕組みではありますが、「大丈夫だろう」と警告を閉じてしまう方が一定数いるからこそ、この手口は今も使われ続けています。

なお、今回の本文デザイン（白背景に、末尾数行だけ薄い水色の背景）は、当ラボがApple・セゾンカードなど複数のブランドで繰り返し確認してきた、かなり息の長いフィッシングメールキットの特徴と一致します。ブランドだけを差し替えて使い回されている典型例といえます。

■ 注意点と対処法

1. メール内のリンクは絶対にクリックしない：正規のApple・iCloudからのメールでは、支払い情報の確認をメールのリンク経由で求めることはありません。
2. セキュリティ製品の警告を無視しない：ウイルスバスターやChromeが「危険」と表示した場合、その先に進むこと自体を避けてください。
3. SPF・DKIMの表示だけで安心しない：技術的な認証結果が「合格」であっても、それが正規のドメインに対するものでなければ意味がありません。
4. 支払い状況の確認は公式アプリ・ブックマークから：不安な場合は、メール内のリンクではなく、設定アプリまたはApple公式サイトから直接確認してください。
5. 既にID・パスワードやカード情報を入力してしまった場合：速やかにApple IDのパスワードを変更し、カード情報を入力した場合はカード会社にも連絡してください。

本レポートの結論

iCloud+の決済失敗を口実に、支払い情報の更新を迫るフィッシングメールでした。ウイルスバスター・Chromeという2つのセキュリティ製品が揃ってブロックする程度には把握されている詐欺サイトですが、それでも両方の警告を突破すれば非常に精巧な偽Apple Account画面が待ち構えています。身近な方が警告を無視してしまう前に、この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。

Data Provided by Heartland-Lab Security Research Unit

根拠データ参照元：ip-sc.net

使用配色テーマ：Forest