カゴヤ・ジャパンを騙る「アカウント管理」偽メール、実在ドメイン「kagoya.net」を直接なりすましSPF Softfailに——OVH・GCP・マレーシアの3カ国を経由して偽コントロールパネルへ誘導
今回はいつもと少し毛色の違う一件です。攻撃者が「それらしいドメイン」を用意するのではなく、KAGOYA（カゴヤ・ジャパン）の実在の公式ドメインをそのまま名乗って送りつけてきた詐欺メールを解析します。技術的な矛盾が分かりやすく現れていて、なかなか教材向きの一通でした。
| Heartland-Lab（ハートランド・ラボ）専門調査レポート 目次 カゴヤ・ジャパンを騙る「アカウント管理」偽メール、実在ドメイン「kagoya.net」を直接なりすましSPF Softfailに——OVH・GCP・マレーシアの3カ国を経由して偽コントロールパネルへ誘導
実在するホスティング事業者KAGOYA（カゴヤ・ジャパン）の公式ドメインを直接騙り、「アカウント管理についてのご案内」として偽のコントロールパネルへ誘導するフィッシングメールです。実在ドメインをそのまま名乗った結果、SPF認証が不整合を起こしており、技術的な矛盾が比較的見つけやすい部類でした。 |
※重要：本文中のリンクは絶対にクリックしないでください。
※メールヘッダー詳細は個人情報保護のため非掲載です。
ご覧の通り、このメールはKAGOYA・カゴヤ・ジャパンを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果をご家族・同僚のLINEグループに転送して注意喚起してください。
それでは、実際に届いたメールの内容から見ていきましょう。
※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。
お客様へ KAGOYAをご利用いただきありがとうございます。 お客様のアカウント管理についてのご案内です。 以下のリンクより設定状況をご確認いただけます。 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ ▼ アカウント管理ページ （リンク省略） ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 【アカウント情報】 メールアドレス: ○○○○（個人情報保護のため非掲載） サービス: KAGOYA メールサービス 【確認事項】 - メールボックスの利用状況 - アカウント設定の確認 - セキュリティ設定の確認 上記リンクからアカウント管理ページにアクセスし、 各種設定をご確認ください。 ご不明な点がございましたら、お気軽にお問い合わせください。 --- 今後ともKAGOYAをよろしくお願ぁくだします。 このメールはKAGOYAから自動送信されています。
実際に受信した詐欺メールの画面
末尾の「今後ともKAGOYAをよろしくお願ぁくだします」という一文、よく見ると「お願い」の部分が「お願ぁ」になっています。大量生成・自動送信ツールの文字化けか入力ミスとみられ、攻撃者側の粗さが垣間見える箇所です（笑）。
■ 送信ルートおよび偽装判定
表示上の送信者：“KAGOYA サポート” <suzuki409.suzuki409@kagoya.net>
ここがまず注目ポイントです。これまで解析してきた詐欺メールの多くは、攻撃者が「vpass-account-update.com」のような、本物に似せた自前のドメインを用意してSPF認証を通していました。ところが今回は、KAGOYAの実在する公式ドメイン「kagoya.net」をenvelope-fromの段階でそのまま名乗っています。
実際の送信元（Received-SPF client-ip）：15.204.83.222
HELO：mail.xfullinc.net
回線情報（ip-sc.net確認）：OVH SAS／AS16276（OVH）／組織名：Ovh Us Llc／所在地：米国オレゴン州ヒルズボロ（vps-ea4ee95f.vps.ovh.us）
SPF：Softfail（「domain owner discourages use of this host」）
【偽装判定】：実在のkagoya.netドメインを名乗っているにもかかわらず、実際に送信に使われたサーバー（OVHのVPS）はKAGOYAの正規メール送信サーバーとして登録されていません。そのため、KAGOYA自身のSPFレコードが「このホストからの送信は推奨しない」と判定するSoftfailという結果になっています。これまでのように攻撃者ドメイン自身へのPassではなく、実在ブランドのドメインを騙った結果として不整合が生まれている、分かりやすいなりすましのサインです。
【二段階の送信インフラ】：ヘッダーをさらに遡ると、OVHのVPS上で「Received: from localhost (unknown [35.200.80.183])」という認証済みSMTP送信の記録があります。この35.200.80.183をip-sc.netで確認したところ、Google LLC／AS396982（GOOGLE-CLOUD-PLATFORM）／東京都渋谷区でした。Google Cloud上のクライアントから、OVHのレンタルVPSを送信の踏み台として使う二段階構成とみられます。
| 💡 ここで！ 用語をやさしく解説 SPF（エスピーエフ）：「このメールは正規の送信元から届いていますか？」を確認する仕組みです。ドメインの管理者が「うちのメールはこのサーバーから送られます」と事前に登録しておき、実際の送信元と照合します。今回は実在のkagoya.netドメインを名乗ったにもかかわらず、登録されていない海外のVPSから送られたため、不一致（Softfail）となりました。 クラウドホスティング／VPS：OVHやGoogle Cloudのように、世界中の企業が間借りできるサーバー貸し出しサービスです。攻撃者もこうした一般企業向けサービスを悪用して、送信サーバーや詐欺サイトを一時的に構築しています。 |
■ フィッシングサイト詳細解析（2段階誘導）
【第1段階】メール内の直リンク：hxxps://cp-login-net-authentication-login.vercel［.］app/l/（トークン省略）
Vercelは本来、個人・企業の開発者が正規のWebアプリを公開するために使う人気のホスティングサービスです。攻撃者はこうした正規サービスの無料枠を悪用し、リダイレクト用の踏み台として利用しています。
【第2段階】最終着地URL：hxxps://office-rui［.］com/serve-kagoya
解決先IP：101.99.93.225（ip-sc.net確認：Shinjiru Technology Sdn Bhd／AS45839／マレーシア・クアラルンプール、ホスト名server1.kamon.la）。送信インフラの米国・日本に続き、誘導先はマレーシアと、複数国のクラウド・ホスティングサービスを転々とする構成になっていました。
最終的に表示された、汎用的なホスティング管理画面風の偽「ユーザーコントロールパネル」ログイン画面。KAGOYA公式サイトのデザインを精巧に模したものではなく、比較的シンプルな作りだった
ここでアカウント名・パスワードを入力してしまうと、KAGOYAのメールサービスやホスティング管理権限そのものが攻撃者に渡ってしまう危険があります。サーバー管理者を狙う詐欺は、個人のクレジットカード情報以上に被害範囲が広がる可能性があるため注意が必要です。
なお、メールの宛先には実在しない汎用的な管理者アカウント名が組み込まれていました。特定のターゲットを狙い撃ちしたものではなく、よくあるアカウント名のリストを使って手当たり次第に送信する「数打ちゃ当たる」方式の一環とみられます。
■ 注意点と対処法
- メール内のリンクは絶対にクリックしない：正規のKAGOYAからのメールでも、アカウント管理は必ず公式サイト・公式ブックマークから行ってください。
- 表示名だけでなく実際のドメインを確認する：「KAGOYA サポート」という表示名は誰でも自由に設定できます。envelope-fromや実際のヘッダー情報まで確認する習慣をつけてください。
- SPFの結果を鵜呑みにしない：今回のようにSoftfailという「怪しい」判定が出ることもあれば、別のケースでは攻撃者ドメイン自身へのPassが出ることもあります。認証結果だけで安全性を判断しないでください。
- サーバー管理者アカウントは特に厳重に：ホスティングやメールサービスの管理者アカウントが乗っ取られると、被害が個人にとどまらず組織全体・顧客全体に広がる可能性があります。
- 既にID・パスワードを入力してしまった場合：速やかに公式サポート窓口に連絡し、パスワードの変更とログイン履歴の確認を行ってください。
本レポートの結論
実在のKAGOYA公式ドメインを直接騙り、アカウント管理を口実に偽のコントロールパネルへ誘導するフィッシングメールでした。実在ドメインを名乗った結果としてSPF Softfailという不整合が生まれている点、OVH・Google Cloud・マレーシアのホスティング事業者と複数国のインフラを転々としている点が印象的です。サーバーやメールサービスを管理している身近な方が油断してしまう前に、この記事のURLをコピーして共有してあげてください。
Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
使用配色テーマ：Charcoal
今、拡散中の詐欺メール
