「アカウント確認のお願い」は詐欺！受信者自身のドメインになりすまし、Netlifyの無料ホスティングへ誘導する手口を解析
今日ご紹介するのは、少し毛色の違う一通です。有名企業を騙るのではなく、受信者が普段使っているメールの管理ドメインそのものになりすますという手口でした。なお本記事では、なりすまされたドメイン名自体を「〇〇.jp」と伏せて表記します。
| 📋 調査レポート：概要
危険度評価：★★★☆☆ （誘導先は既に閉鎖済みですが、送信元IPはip-sc.netで脅威レベル「高」と判定されています） |
⚠️ このメールは詐欺（フィッシング）です。本文中のリンクは絶対にクリックしないでください。
届いたメールの内容
実際に受信したメールの画面です（掲載にあたり、管理ドメイン部分は伏字にしています）。
実際に届いた「カウント確認のお願い」メールの画面（管理ドメイン部分は伏字処理済み）
ユーザー様 users いつもご利用いただきありがとうございます。 管理者からの公式通知です。 お客様のメールアカウント（users@〇〇.jp）は、セキュリティポリシーに基づき、近日中に閉鎖予定となっております。 アカウントを継続してご利用いただくには、以下より本人確認および継続手続きを完了してください。 → アカウント継続手続きはこちら ［リンク省略］ 手続きは簡単で、数分で完了します。期限を過ぎるとアカウントが自動的に停止され、メールの送受信ができなくなりますので、お早めにご対応ください。 ご不明な点がございましたら、本メールにご返信いただくか、サポートまでお問い合わせください。 よろしくお願いいたします。 管理者 〇〇.jp サポートチーム このメールは users@〇〇.jp 宛に送信されました。 もしお心当たりがない場合は無視してください。
※メールヘッダー詳細は個人情報保護のため非掲載です。当ラボで確認した要点のみお伝えします。
送信ルートと偽装の判定
この手口で特に注目したいのは、「有名企業」ではなく「受信者自身が普段使っているドメイン・メールアドレス」になりすましている点です。表示上の送信者名は「ServerMail.〇〇.jp」となっており、本文中にも受信者自身のメールアドレスがそのまま記載されています。「自分のアカウントについての公式な連絡だ」と錯覚しやすく、通常のブランドなりすましより警戒心が薄れやすい、心理的に巧妙な手口と言えます。
しかし実際の送信アドレスはsaki.takaoka@remax-agt.netという、不動産業者を思わせる全く無関係なドメインでした。SPF判定も「Softfail」で、正規のルート以外から送られてきた可能性が高いことを示しています。
送信元IP（212.19.23.205）を確認したところ、ロシア・ハバロフスク地方の家庭用ブロードバンド回線（プロバイダー：Redcom-Bb）でした。ip-sc.netの脅威レベル判定は「高」で、過去にサイバー攻撃の攻撃元として観測された実績があるIPアドレスです。個人宅の回線から大量のなりすましメールが送られている点は、ボットネット化した家庭用ルーターが悪用されている可能性を示唆しています。
フィッシングサイト詳細解析
本文中の「アカウント継続手続きはこちら」のリンク先は、Netlifyという無料ホスティングサービス上に作られたページでした。Netlifyは本来、個人や企業が気軽にWebサイトを公開できる正規のサービスですが、無料で簡単にサイトを作れる手軽さが、詐欺サイトのホスティングにも悪用されています。
当ラボが実際にこのリンク先へアクセスしたところ、次の画面が表示されました。
誘導先ページは確認時点で既にNetlify側から削除されており、「Site not found」と表示された
誘導先のページは、当ラボが確認した時点で既に削除・閉鎖されていました。詐欺サイトがNetlify運営側によって規約違反として削除されたか、あるいは攻撃者自身が短期間で使い捨てた可能性が考えられます。無料ホスティングサービスは開設・削除が容易なため、こうした「使い捨て型」の詐欺サイト運用によく利用されます。
関連する過去記事
メールサービスの管理者・運営者を騙るなりすましメールは、当ラボでも過去に取り上げています。あわせてご確認ください。
「メールアカウントの管理者」を騙る手口はいくつかのパターンがありますが、今回のように受信者自身の利用ドメインになりすます手口は、当ラボでも新しいパターンです。
注意点と対処法
- 「あなたのメールアカウントが閉鎖されます」という通知が届いても、本文中のリンクは絶対にクリックしないでください。
- 自分のメールアドレスが本文にそのまま書かれていても、それだけでは「本物」の証明にはなりません。メールアドレスは詐欺グループも把握・記載できます。
- 実際に契約しているメールサービスの管理者・プロバイダーからの重要な通知かどうか不安な場合は、メール内のリンクではなく、契約時の資料や公式サイトのブックマークから直接確認してください。
- 見慣れない送信ドメイン（今回は不動産業者風のドメイン）からのメールは、表示名がどれだけ公式らしくても警戒してください。
- 万が一リンク先で情報を入力してしまった場合は、実際に契約しているサービスのサポート窓口へ速やかにご連絡ください。
「自分自身のアカウントに関する通知」という体裁は、他人事に感じにくく、つい反応してしまいがちです。だからこそ、差出人の実際のアドレスとリンク先を落ち着いて確認する習慣が大切です。
Data Provided by Heartland-Lab Security Research Unit
送信元IPの詳細情報はip-sc.netの公開データを参照しています。
使用配色テーマ：Charcoal
今、拡散中の詐欺メール
