「〇〇の失敗の配信通知」はKAGOYA偽装フィッシング ― 正規国内プロバイダ発の巧妙ななりすましと海外誘導サイトの正体

2026年8月6日

夏本番、レンタルサーバーやメールインフラの管理をされている方は、この時期の大量アクセスやシステム負荷にヒヤヒヤすることもあるかもしれませんね。そんな「システムエラー」という言葉に思わず反応してしまう心理を、今回のメールは狙ってきています。

1. 📋 調査レポート：概要
2. 届いたメールの内容
3. 送信ルートと偽装の判定
- 3.1. 💡 用語をやさしく解説
4. 誘導先フィッシングサイトの正体
5. 関連する過去記事
6. 注意点と対処法

📋 調査レポート：概要

件名	[spam] 〇〇の失敗の配信通知
種別	KAGOYAジャパンを偽装したフィッシングメール
表示上の送信者	“カゴヤ・ジャパンサポートセンター”
SPF判定	Pass（※後述の理由により「安全」を意味しません）
実質的な発信元	日本国内のホスティングVPS（海外事業者運営）
誘導先サイト所在地	ブルガリア・ソフィア

危険度評価：
★★★★☆
（正規プロバイダ経由でSPF Passを達成する高度な手口）

⚠️ 本文中のリンクは絶対にクリックしないでください。「KAGOYA JAPAN Inc」の表記がありますが、公式ドメインとは異なる偽ドメインからの送信です。

届いたメールの内容

実際に届いたメールの内容です。個人を特定できる宛先情報は伏せて再現しています。

実際に届いたメール画面（宛先の識別情報は伏せています）

件名：[spam] 〇〇の失敗の配信通知
送信者："カゴヤ・ジャパン サポートセンター" <vqxsz8088362@kagoya.jp>

システム エラーにより、〇〇@〇〇.jp が 5 つのメッセージを配信できませんでした

技術的な問題を回復するには、以下を参照してください。

https://activemail-kagoyamail-jp.hn7z.com/k?i=〇〇

© KAGOYA JAPAN Inc

※メールヘッダー詳細は個人情報保護のため非掲載です。当ラボで確認した技術的な要点のみお伝えします。

送信ルートと偽装の判定

まず目を引くのが、表示された送信者アドレス vqxsz8088362@kagoya.jp です。KAGOYAジャパンが実際のサービスで使用しているドメインとは異なる、紛らわしい別ドメインが使われています。パッと見では気づきにくい、典型的なブランドなりすましです。

さらに調べると、この偽装メールの送信元認証（SPF）は「Pass」という結果でした。一見「正規メール」に見えてしまいますが、これは攻撃者が日本国内の正規プロバイダのメール送信サーバー（SMTP認証）を経由して送っているためにすぎません。SPFはあくまで「そのサーバーから送信されたか」を検証する仕組みであり、「内容が正規かどうか」までは判定しません。

💡 用語をやさしく解説

SPF（Sender Policy Framework）：メールが「そのドメインの正式な送信サーバー」から送られたかを確認する仕組みです。「Pass」は認証成功を意味しますが、今回のように正規のメールサーバーそのものが第三者に不正利用（または踏み台に）された場合も、SPFはPassになってしまいます。「SPF Passだから安全」とは限らない、という点が今回のポイントです。

ヘッダーをさらに遡ると、この正規プロバイダのサーバーへ実際に接続してきた大元の端末が見えてきました。IPアドレスは194.68.27.32、ホスト名はstatic.edisglobal.comです。ip-sc.netで確認したところ、以下の情報が得られました。

プロバイダー：M247 Europe SRL（AS9009）／組織名：EDIS GmbH
利用形式：hosting（レンタルサーバー・VPS）
所在地：日本・東京都・渋谷区

海外のホスティング事業者（M247／EDIS）が東京リージョンで提供しているVPSサーバーです。攻撃者がこうしたレンタルサーバーを借り、そこから正規プロバイダのSMTP認証を突破・悪用して大量送信していると考えられます。

また、Return-Path（差出人の裏側の情報）には Heart・KAGOYAどちらとも無関係な某〇〇業者の実在ドメインが使われていました。この企業自体が攻撃に関与しているわけではなく、送信元を偽装するための「借りてきた名前」として悪用されているだけです。

誘導先フィッシングサイトの正体

メール内のリンク hxxps://activemail-kagoyamail-jp.hn7z[.]com/ を名前解決すると、IPアドレスは91.92.41.119でした。ip-sc.netで確認したところ、以下の情報が得られました。

プロバイダー：Sino Worldwide Trading Limited（AS211443）
利用形式：corporate
所在地：ブルガリア・ソフィア

「activemail-kagoyamail-jp」というドメイン名自体が、KAGOYAの正規サービス名「Active! mail」を巧妙に模しており、リンク先が本物のログイン画面そっくりに作られている可能性が高いと考えられます。実際にログイン情報を入力すると、攻撃者にIDとパスワードが渡ってしまいます。

注意点と対処法

メール内のリンクは絶対にクリックしないでください。「配信エラー」自体は実際には起きていません。
KAGOYAのサービスにログインする際は、必ずブックマーク済みの公式URL、または直接入力したURLから行ってください。
送信元アドレスのドメイン部分（@より後ろ）を必ず確認する習慣をつけましょう。今回は正規サービスとは異なる「kagoya.jp」という紛らわしいドメインが使われていました。
万が一リンク先にID・パスワードを入力してしまった場合は、該当サービスのパスワードをすぐに変更してください。
「SPF Pass＝安全」という思い込みは禁物です。今回のように正規サーバーの認証が悪用されるケースもあります。

「配信エラー」という業務メールらしい口実だからこそ、つい開いてしまいがちです。ドメインをひと目確認する癖をつけることが、一番の防御になります。この記事が身近な方の被害防止に役立てば幸いです。

LINEで共有する

Data Provided by Heartland-Lab Security Research Unit
送信元IPの詳細情報はip-sc.netの公開データを参照しています。

使用配色テーマ：Charcoal