「【重要】【SBI証券】口座情報およびご本人様確認のお願い」は詐欺！リンク表示と実際の遷移先が異なる偽装とクローラー避けダミーコンテンツの手口を解析
証券口座やクレジットカードなど、お金に直結するサービスからの「重要」なお知らせは、つい急いで確認したくなるものです。今日ご紹介するのは、そんな心理を突きつつ、これまでにない仕掛けも確認できたSBI証券を騙るメールです。
| 📋 調査レポート：概要
危険度評価：★★★★☆ （リンク表示の偽装に加え、調査ツールを回避する新手のクローキングを確認） |
⚠️ このメールは詐欺（フィッシング）です。本文中のリンクは絶対にクリックしないでください。
届いたメールの内容
実際に受信したメールの画面です。SBI証券公式サイトのURLがそのまま本文に記載されているように見えます。
実際に届いた「口座情報およびご本人様確認のお願い」メールの画面
平素よりSBI証券をご利用いただき、誠にありがとうございます。 当社では、本人確認および口座管理体制の見直しに伴い、対象となるお客様について、ご登録情報ならびに現在のご本人様確認状況を改めて確認しております。 本確認は、口座の適切な管理および安全なサービス提供を継続するうえで重要な手続きとなります。お客様の口座につきましても、今回の確認対象となっております。 お手数をおかけいたしますが、下記の期限までにSBI証券公式ウェブサイトへログインのうえ、ご本人様確認手続きを完了していただきますようお願いいたします。 ■SBI証券公式ウェブサイト https://www.sbisec.co.jp/login/ ■お手続き期限 ［2026年8月10日］まで 期限までにご本人様確認手続きが完了しない場合、お客様の資産保護および口座の安全管理のため、以下のサービスを一時的に制限させていただきます。 ・株式等の買付および売却 ・信用取引を含む各種お取引 ・出金および振替手続き ・その他、証券口座に関する一部のサービス なお、当社がメールへの返信によって、ログインパスワード、取引パスワード、認証コード、クレジットカード情報等をお尋ねすることはございません。 発行者：株式会社SBI証券 金融商品取引業者、商品先物取引業者 Copyright(C) SBI SECURITIES Co., Ltd. ALL Rights Reserved.
※メールヘッダー詳細は個人情報保護のため非掲載です。当ラボで確認した要点のみお伝えします。
送信ルートと偽装の判定
送信者表示名は「SBIグループ お客様サポート」となっていますが、実際の送信アドレスはhelpinfo@fedefgj.cnというSBI証券とは無関係なドメインでした。SPF・DKIMともにPassと判定されていますが、これは攻撃者自身が用意したドメインを正しく認証しているだけであり、安全の証明にはなりません。
送信元IP（35.234.52.113）を確認したところ、Google Cloudの回線（台湾表示）でした。近年主流の「正規クラウドを短期間借りて大量送信する」手口です。
今回、特に注意していただきたいのが本文中のリンクです。メール本文には「https://www.sbisec.co.jp/login/」という、一見すると公式そのもののURL文字列が表示されています。ところが、このリンクのソースコードを確認すると、実際に飛び先として指定されているのは「https://tesec.bbgolt.com/JWDIG7T8」という全く別のドメインでした。表示されている文字列と、実際にクリックした際の行き先が異なるという、以前当ラボで解説した三菱UFJ銀行なりすましメールと同じ偽装手口です。
💡 用語をやさしく解説
| リンク表示と実際の遷移先の乖離：メールソフトやブラウザ上では、リンクに表示される文字列と、実際にクリックしたときに飛ぶ先（href属性）を別々に設定できます。正規企業のメールでは通常一致していますが、詐欺メールではこの仕組みを悪用し、公式URLの文字列を見せかけだけ表示して、実際には全く別の詐欺サイトへ誘導することがあります。リンクの上にカーソルを乗せると、ブラウザの左下などに実際の飛び先が表示されるので、クリック前に確認する習慣が有効です。 クローキング：アクセスしてきた相手が「人間」か「調査ツール・クローラー」かを判別し、表示する内容を変える仕組みです。今回は、それをさらに一歩進めた手口を確認しました（詳細は次章）。 |
フィッシングサイト詳細解析
本文のリンク先（hxxps://tesec[.]bbgolt.com/JWDIG7T8）にアクセスすると、まずCloudflareの「人間であることを確認」する検証画面が表示されます。
Cloudflareの検証中画面。これを通過すると次のページへ進む
検証を通過すると、本物のSBI証券サイトを精巧に模した偽ログインページが表示されます。
攻撃者サイト（tesec.bbgolt.com）上に用意された、本物そっくりの偽SBI証券ログインページ
ロゴ・配色・レイアウト、さらには「パスキー認証」「顔認証」「指紋認証」といった最新の認証方式の表記まで、本物のSBI証券サイトを非常に精巧に模しています。URLを確認しない限り、公式サイトと見分けるのはほぼ不可能です。ここにユーザーネームとパスワードを入力してしまうと、その情報はそのまま攻撃者に渡ってしまいます。
さらに今回、当ラボの調査中に興味深い挙動を確認しました。当ラボが自動的にこのURLへアクセス（クローラー的なアクセス）した際には、SBI証券とは全く無関係な、英語の技術ブログを装ったダミーコンテンツが返されたのです。つまりこのサイトは、Cloudflareの検証を経由した「人間らしい」アクセスにだけ偽サイトを見せ、機械的な調査ツールには無害なページを見せて正体を隠すという、セキュリティ調査そのものを回避する仕組みを備えていると考えられます。手口は年々巧妙になっており、油断できません。
誘導先のIPアドレス（47.79.90.161）をip-sc.netで確認したところ、表示上の所在地は「東京都渋谷区」でしたが、運営元（ASN）はAlibaba.com LLC（中国系のAlibaba Cloud）であることが分かりました。クラウドサービスの「東京リージョン」を使うと、表示上の所在地情報だけでは実際の運営拠点を正確に把握できないケースがあることを示す一例です。
関連する過去記事
SBI証券を騙るフィッシングメールは、当ラボでも複数回取り上げています。あわせてご確認ください。
「本人確認」「口座情報の確認」といった切り口は繰り返し使われており、今回のようなリンク偽装・クローキングの技術的な進化にも注意が必要です。
注意点と対処法
- メール内のリンクは、表示されている文字列がどれだけ公式らしく見えても、実際の飛び先が異なる場合があります。リンクは踏まず、公式サイトはブックマークまたは検索から直接アクセスしてください。
- PCでは、リンクにカーソルを乗せる（クリックしない）とブラウザの左下などに実際の飛び先URLが表示されます。事前確認の習慣をつけましょう。
- 「口座制限」「本人確認」など不安を煽る文面には特に注意してください。
- 証券会社がメールへの返信でパスワードや認証コードを尋ねることはありません。
- 万が一ログイン情報を入力してしまった場合は、速やかに公式サイトからパスワードを変更し、証券会社へご連絡ください。
「URLが正しそうに見える」だけでは安全の保証にはなりません。リンクの実際の飛び先を確認する習慣が、こうした巧妙な偽装から身を守る一番の防御になります。
Data Provided by Heartland-Lab Security Research Unit
送信元IPの詳細情報はip-sc.netの公開データを参照しています。
使用配色テーマ：Teal
今、拡散中の詐欺メール
