【TEPCO】ポイント交換おすすめ商品のご案内は詐欺！複数ドメイン使い回しと中国系クラウド基盤・多段クローキングの正体
夏の電気代が気になる時期、「ポイントが有効期限切れになる前に交換を」と言われると、つい確認したくなってしまいますよね。今回はそんな心理をうまく利用した、少し毛色の違うタイプの詐欺メールをご紹介します。
📋 調査レポート：概要
| 件名 | [spam] 【TEPCO】ポイント交換おすすめ商品のご案内 |
| 表示上の送信者 | “東 京 電 力 お 知 ら せ” <info@mail10.shlaihong.com> |
| SPF／DKIM判定 | ともにPass（※安全の証明にはなりません） |
| 送信元IP | 20.48.34.137（Microsoft Azure、東京） |
| 誘導先サイト基盤 | Tencent Cloud（表示所在地は東京、ASNは中国系） |
★★★★☆
（3段階のクローキングを経て精巧な偽ログイン画面へ誘導）
⚠️ 本文中のリンクは絶対にクリックしないでください。「人気ランキング」という穏やかな切り口ですが、最終的にはログイン情報を盗み取る詐欺サイトへ誘導されます。
届いたメールの内容
実際に届いたメールの画面です。「おすすめランキング」形式で交換先を紹介する、丁寧な作りになっています。
実際に届いたTEPCO偽装メールの表示画面
「アカウント停止」「至急のご対応」といった恐怖を煽る文言は一切なく、代わりに「他の会員様に人気の交換先ランキング」という、お得感・興味を刺激する切り口で誘導している点が特徴的です。従来型の「焦らせる」詐欺メールとは異なるアプローチと言えます。
送信ルートと偽装の判定
※メールヘッダー詳細は個人情報保護のため非掲載です。当ラボで確認した要点のみお伝えします。
送信者表示名は「東 京 電 力 お 知 ら せ」と、文字の間にスペースが挟まれています。これはスパムフィルターの文字列マッチングを回避するための古典的な手口です。実際の送信アドレスは東京電力とは無関係な独自ドメインでした。
💡 用語をやさしく解説
SPF・DKIM：どちらもメールの送信元を認証する仕組みですが、今回のように攻撃者が用意した独自ドメインが自分自身を正しく認証しているだけのケースでは、「Pass」表示があっても安全とは言えません。送信者の実際のメールアドレスを必ず確認しましょう。
送信元IP（20.48.34.137）をip-sc.netで確認したところ、Microsoft Azureの東京リージョンでした。近年の詐欺メールでは、正規のクラウドサービスを短期間だけ借りて大量送信する手口が主流になっています。
フィッシングサイト詳細解析
今回は誘導先の構成が特に手が込んでいました。メールヘッダーに記載されたリンク先と、実際にクリックしてたどり着いた先が異なる2つのドメインだったのです。
メール内に記録されていたリンク先ドメインと、実際にアクセスされたリンク先ドメインの2つを名前解決したところ、どちらも同一のIPアドレス（43.165.178.15）に着地することが判明しました。「TEPCOらしく見えるサブドメイン名」を使い回しながら、複数の見せかけドメインで同じ詐欺サイトキットを運用している構図です。
このIPアドレスをip-sc.netで確認したところ、表示上の所在地は「東京都渋谷区」ですが、運営元（ASN）はShenzhen Tencent Computer Systems Company Limited（中国のTencent Cloud）であることが分かりました。クラウドサービスの「東京リージョン」を使うと、表示上の所在地情報だけでは実際の運営拠点を正確に把握できないケースがあることを示す一例です。
さらに、このサイトへのアクセスは3段階の仕組みになっていました。
①「セキュリティ確認」を装ったボット判定画面（初期表示）
①「セキュリティ確認」を装ったボット判定画面（処理中表示）
この「セキュリティ確認」画面は、実際のセキュリティ対策ではなく、機械的な調査ツール（クローラー等）を足止め・排除するための仕掛け（クローキング）と考えられます。人間による通常のクリック操作であれば、この画面を経て次のページへ進んでしまいます。
②ウイルスバスター クラウドが「安全ではない可能性」を検知しブロック
今回は幸い、この段階でセキュリティソフトが検知しブロックしていました。ただし、セキュリティソフトを導入していない環境や、判定をすり抜けた場合は、以下のような精巧な偽ログイン画面が表示されると考えられます。
③本物そっくりに作られたTEPCO偽ログイン画面
ロゴ・配色・レイアウトともに本物のTEPCOサイトを精巧に模しており、ここにログインID・パスワードを入力してしまうと、攻撃者にアカウント情報が渡ってしまいます。
関連する過去記事
TEPCOおよび類似のポイント交換系詐欺は、当ラボでも複数回取り上げています。あわせてご確認ください。
- 【注意喚起】あなたの電気料金も危ない！TEPCOなりすまし詐欺メールの危険ポイント徹底解析
- 【警告】パッチョポイント有効期限のお知らせは詐欺！TEPCOと同じ手口の休眠ドメインを使った東京ガスなりすましを解析
電力・ガス会社の「ポイント」を狙う手口は形を変えながら継続しており、今回のような「ランキング」型の新しい切り口にも注意が必要です。
注意点と対処法
- メール内のリンクは絶対にクリックしないでください。ポイント確認は公式アプリまたはブックマーク済みの公式サイトから行ってください。
- 「ランキング」「おすすめ」といった穏やかな表現でも油断せず、送信元アドレスを必ず確認しましょう。
- セキュリティソフトの警告が出た場合は、絶対に「このまま進む」を選択しないでください。
- 万が一ログイン情報を入力してしまった場合は、該当サービスのパスワードをすぐに変更してください。
- ウイルスバスター等のセキュリティソフトの導入は、こうした詐欺サイトへのアクセスを未然に防ぐ有効な対策です。
「怖がらせる」から「お得感で誘う」へ——詐欺の手口も日々変化しています。どんな切り口でも、リンク先の確認を怠らないことが一番の防御です。
Data Provided by Heartland-Lab Security Research Unit
送信元IPの詳細情報はip-sc.netの公開データを参照しています。
使用配色テーマ：Navy
今、拡散中の詐欺メール
