【続報】VJA/Vpass詐欺、口実を「不正ログイン検出」から「海外旅行傷害保険自動付帯」に差し替えて再来——送信元・誘導先とも前回と同一インフラを使い回し
先ほどご紹介したVJAグループ・Vpassを騙る「不正ログイン検出」詐欺（前回記事）から間を置かず、今度は「海外旅行傷害保険の自動付帯」を口実にした別パターンが届きました。口実も見た目もまったく違いますが、裏側のインフラを調べてみると――前回とほぼ同じ顔ぶれでした。
| Heartland-Lab（ハートランド・ラボ）専門調査レポート【続報】 目次 【続報】VJA/Vpass詐欺、口実を「不正ログイン検出」から「海外旅行傷害保険自動付帯」に差し替えて再来——送信元・誘導先とも前回と同一インフラを使い回し
三井住友カードに海外旅行傷害保険が自動付帯されたとして、連絡先電話番号の確認を装い、VJAグループ・Vpassの偽ログイン画面へ誘導する詐欺メールです。前回記事で解析した「不正ログイン検出」詐欺と、送信元・誘導先のインフラがほぼ完全に一致していることが分かりました。 |
※重要：本文中のリンクは絶対にクリックしないでください。
※メールヘッダー詳細は個人情報保護のため非掲載です。
ご覧の通り、このメールはVJAグループ・Vpassを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果をご家族のLINEグループに転送して注意喚起してください。
それでは、実際に届いたメールの内容から見ていきましょう。
※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです（実際にはHTMLメール形式で届いています）。
○○ 様 平素より三井住友カードをお引立ていただき、誠にありがとうございます。 カード付帯保険サービス課でございます。 このたび、お客様がお持ちの三井住友カードに対し、海外旅行傷害保険の自動付帯が2026年8月5日より開始されましたことをお知らせいたします。本保険はカードご利用の有無にかかわらず、カードをお持ちであるだけで海外旅行中の傷害や疾病に対して補償が適用されるものです。 【自動付帯保険の概要】 保険種類 ：海外旅行傷害保険（自動付帯） 適用開始日 ：2026年8月5日 補償対象 ：海外旅行中の傷害・疾病・賠償責任 保険料 ：無料（カード年会費に含む） 保険の適用を確実なものとするため、お客様のご連絡先電話番号の確認をお願いしております。これは、万が一の事故発生時に保険会社が速やかにご本人とご家族へ連絡できるようにするための必須登録事項です。現在、お客様のご登録情報の確認が未了となっております。 ご登録確認は1分で完了する簡単なお手続きです。海外渡航のご予定がない方も、補償は年間を通じて有効ですので、この機会にぜひご確認ください。 【保険適用確認手続きはこちら】 （リンク省略） ご連絡先の確認が未了の場合、保険金請求時に遅延が生じる可能性がございます。 --- ※ 本メールは自動送信されています。 ※ 保険の詳細条件・補償額はVpassマイページの保険案内をご確認ください。 ※ 本保険はカード会員様向けの自動付帯サービスです。 発行元：三井住友カード株式会社 引受保険会社：三井住友海上火災保険株式会社 Vpassカスタマーセンター：0570-004-980（平日9:00-17:00）
実際に受信した詐欺メールの画面。「補償は無料」「1分で完了」といった、警戒心を緩める言葉が並ぶ
前回の「アカウントが不正ログインされた」という恐怖訴求とは対照的に、今回は「無料の保険が自動付帯された、確認は1分だけ」という安心・お得感を装ったアプローチです。同じVJA/Vpassブランドを騙りながら、心理的な揺さぶり方を使い分けている点が興味深いところです。
■ 送信ルート解析——前回記事とインフラを完全比較
表示上の送信者：“Vpassお客様サポート” <career@cybhkixf.center.sogouq.com>
実際の送信元（Received-SPF client-ip）：35.215.95.113／HELO：center.sogouq.com
SPF：Pass（攻撃者自身のドメインへの認証） DKIM：Valid（同じく攻撃者ドメイン自身の署名）
前回記事で解析した送信元IP・誘導先IPと突き合わせた結果が、こちらです。
| 項目 | 前回（不正ログイン検出） | 今回（海外旅行傷害保険） |
| 送信元IP | 35.215.109.85 | 35.215.95.113 |
| 送信元AS／組織 | AS43515 Google LLC | AS43515 Google LLC（完全一致） |
| 送信元所在地 | 米・ロサンゼルス | 米・ロサンゼルス（完全一致） |
| PC側誘導ドメイン | 8238pk.com | balegepi.com（別ドメイン） |
| PC側誘導先IP | 47.242.204.9 | 47.242.204.9（完全一致） |
| スマホ側最終着地 | login.raaglpfplzp.top/login | login.raaglpfplzp.top/login（完全一致） |
送信元・PC側誘導先・スマホ側最終着地——3つのうち2つが完全に同一IP、残る1つも同一AS・同一都市という結果でした。攻撃者は口実（不正ログイン⇔保険）とPC側の見せかけのドメイン名だけを使い分け、バックエンドのインフラはほぼそのまま使い回しているとみられます。ドメイン名は使い捨てでも、実際のサーバーやクラウド契約はコストがかかるため、こうしたインフラの使い回しは詐欺キャンペーンではよく見られる合理的な行動といえます。
■ フィッシングサイト詳細解析——PC/スマホの明暗も前回同様
PC/スマホでの挙動の違いも、前回記事とほぼ同じパターンをたどりました。
PCでアクセスした際にしばらく続いた読み込み中の画面
最終的にPCでは「アクセス拒否／リクエストがブロックされました」というファイアウォールによる遮断画面が表示され、偽ログイン画面までは到達できなかった。前回記事と同一のブロック画面デザインだった
スマホ側は今回も何の妨げもなく、VJAグループ・Vpassのロゴ・配色・レイアウトを精巧に再現した偽ログイン画面まで到達します。
スマホでアクセスすると表示された偽Vpassログイン画面。URL・見た目とも前回記事で確認したものと完全に同一だった
口実が変わっても、最終的に入力させようとしているのは同じVpassID・パスワードです。「不正ログイン」の恐怖に引っかからなかった人でも、「無料の保険」というお得な話には反応してしまうかもしれません。攻撃者が複数の心理的アプローチを並行して試している証拠ともいえます。
■ 注意点と対処法
- メール内のリンクは絶対にクリックしない：正規のVJAグループ・Vpassからのメールでは、電話番号や口座情報の確認をメールのリンク経由で求めることはありません。
- 「無料」「1分で完了」という言葉に注意：手軽さ・お得感を強調する文言は、冷静な判断を鈍らせるための典型的な誘導です。
- 同じブランドの詐欺が複数パターンあることを前提に警戒する：今回のように、同じ攻撃者が複数の口実を使い分けているケースがあります。1つのパターンを覚えて安心しないでください。
- 保険や特典の確認は公式アプリ・ブックマークから：不安な場合は、メール内のリンクではなく、公式アプリまたは事前に登録したブックマークからアクセスして確認してください。
- 既にIDやパスワードを入力してしまった場合：速やかにVpass公式サイトまたはカード裏面記載の窓口からパスワードを変更してください。
本レポートの結論
VJAグループ・Vpassを騙る詐欺メールの続報として、「海外旅行傷害保険の自動付帯」という新しい口実を確認しました。前回記事で解析した「不正ログイン検出」詐欺と、送信元・誘導先のインフラがほぼ完全に一致しており、同一犯が複数の口実を使い分けて多角的にキャンペーンを展開している実態が見えてきました。身近な方が「前に見た詐欺とは違うから」と油断してしまう前に、この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。
Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
関連記事：VJAグループ「不正ログイン検出」詐欺（前回記事）
使用配色テーマ：Navy
今、拡散中の詐欺メール
