【続報】TikTok「本人確認を完了してください」再び ― ゼロ幅文字25個超の徹底偽装と電話番号詐取を狙う新手口
以前にも解析した「TikTok本人確認」を装う詐欺メールが、手口を強化して戻ってきました。今回は目に見えない部分にまで凝った、なかなか執念を感じる作り込みでした。
📋 調査レポート：概要
| 件名 | [spam] 本人確認を完了してください（アカウント保護） |
| 表示上の送信者 | “TikTokセキュリティセンター” <help-mailing@account-updates.（乗っ取りドメイン）> |
| SPF／DKIM判定 | ともにPass（※安全の証明にはなりません） |
| 送信元 | Microsoft Azure（香港リージョン） |
| 誘導先 | Alibaba Cloud（表示は東京、実体はシンガポール法人） |
★★★★☆
（電話番号の詐取を狙う新パターン）
⚠️ 本文中のリンクは絶対にクリックしないでください。今回はパスワードだけでなく、電話番号そのものを入力させようとする新しいパターンです。
届いたメールの内容
実際に届いたメールの画面です。
実際に届いたTikTok偽装メールの表示画面
「以前に同様のメールを受信されている場合でも、必ず本人確認手続きを完了していただきますようお願いいたします」という一文があり、しつこく繰り返し送っていることを逆手に取って、正当なメールであるかのように見せかけています。
目に見えない部分に潜む、徹底したフィルター回避策
今回のメールで特に目を引いたのが、件名と差出人名に施された偽装です。メールソフト上では自然な日本語に見えますが、実際にヘッダー情報のBase64部分をデコードして中身を確認したところ、「本」「人」「確」「認」といった一文字ごとの間に、目に見えない「ゼロ幅文字」が25個以上埋め込まれていました。
💡 用語をやさしく解説
ゼロ幅文字：画面上には一切表示されない特殊な文字のことです。人間の目には普通の文章に見えますが、コンピューターにとっては文字と文字の間に余分な記号が挟まった別の文字列として認識されます。スパムフィルターは「本人確認」のような特定の単語をそのまま検索して迷惑メールを判定することが多いため、この手口を使うと検知をすり抜けやすくなります。今回のように、メールの元データ（ヘッダー情報）を専用のツールでデコードしたり、テキストエディタに貼り付けて見えない文字を可視化したりすることで、この細工を発見できます。
送信ルートと誘導先の判定
※メールヘッダー詳細は個人情報保護のため非掲載です。当ラボで確認した要点のみお伝えします。
送信元IPをip-sc.netで確認したところ、Microsoft Azureの香港リージョンでした。差出人のドメインは、TikTokとは無関係な宝飾品関連の乗っ取りドメインが使われていました。
誘導先のリンクをip-sc.netで確認したところ、プロバイダーはAlibaba Cloud系、表示上の所在地は「東京都渋谷区」でしたが、組織名は「Alibaba.com Singapore E-Commerce Private Limited」となっており、シンガポール法人・中国系ASNという構成でした。以前ご紹介したANAマイレージクラブ案件と同じく、「東京」という表示だけでは実際の運営拠点は分かりません。
セキュリティソフトによる二重ブロック
今回、誘導先リンクは2つの異なるセキュリティ機能によって、それぞれ別々に検知・ブロックされていました。
ウイルスバスター クラウドによる「安全ではない可能性」の検知
広告・トラッキングブロッカー「AdGuard」の日本語フィルターによる検知
これだけ複数のセキュリティ機能に検知されているということは、このドメインが既に広く「危険」と認識されている証拠でもあります。
最終着地：電話番号を狙う新パターン
ブロックをすり抜けてしまった場合、以下のような画面が表示されます。
本物そっくりに作られたTikTok偽の本人確認ページ（電話番号入力を要求）
これまで多かった「ID・パスワード」を盗む形式とは異なり、「電話番号」を入力させ、「認証コードを受け取る」ボタンを押させる形式になっている点に注意が必要です。これは電話番号そのものを収集する目的、あるいはSMS認証の仕組みを悪用してさらに別のサービスへの不正アクセスに利用しようとする目的が考えられます。
関連する過去記事
同じ「本人確認を完了してください」という件名のTikTok偽装メールは、約5週間前にも確認・解析しています。
前回はdocomoを騙る別キャンペーンとの誘導先パス一致から同一犯と断定していましたが、今回はゼロ幅文字の埋め込み量が大幅に増え、誘導先の最終フォームも電話番号入力型に変化しており、手口が着実にアップデートされていることがうかがえます。
注意点と対処法
- メール内のリンクは絶対にクリックしないでください。本人確認が必要な場合は、TikTokアプリ内から直接手続きを行ってください。
- 「電話番号を入力してください」という画面が出た場合、それが公式のURLであることを必ず確認してから入力してください。
- セキュリティソフトの警告が出た場合は、絶対に「このまま進む」を選択しないでください。
- 万が一電話番号を入力してしまった場合は、その番号宛にSMSで届く不審な認証コードやメッセージに注意してください。
目に見えない部分まで凝った作りでも、「リンクを踏まない」というシンプルな防御がいちばん確実です。
Data Provided by Heartland-Lab Security Research Unit
送信元IPの詳細情報はip-sc.netの公開データを参照しています。
使用配色テーマ：Charcoal
今、拡散中の詐欺メール
