「【重要】Apple One サブスクリプション更新のお知らせ」は詐欺！PCは無限ローディング、スマホは本物のAppleページへ逃がすクローキングの手口を解析
Apple Oneやサブスクリプション更新を騙るメールは当ラボでも何度も取り上げてきましたが、今回は少し違いました。使っている端末によって、詐欺サイトが見せる顔を変えてくる——そんな新しいクローキングを確認しましたので、詳しくご紹介します。
| 📋 調査レポート：概要
危険度評価：★★★★☆ （PCとスマートフォンで挙動を変える、解析妨害を意識したクローキングを確認） |
⚠️ このメールは詐欺（フィッシング）です。本文中のリンクは絶対にクリックしないでください。
届いたメールの内容
実際に受信したメールの画面です。Appleの公式メールを意識した、シンプルで洗練されたデザインになっています。
実際に届いた「Apple One サブスクリプション更新のお知らせ」メールの画面
「ファミリープラン」「更新日：2026年8月10日」「ご請求金額：2,500円（税込）／月」といった具体的な情報を盛り込み、本物らしさを演出しています。
※メールヘッダー詳細は個人情報保護のため非掲載です。当ラボで確認した要点のみお伝えします。
送信ルートと偽装の判定
送信者表示名は「Apple」となっていますが、実際の送信アドレスはmail26@mail26.meilishangpin.comという、Appleとは無関係な中国語のショッピングサイトを思わせるドメインでした。SPF・DKIMともにPassと判定されていますが、これは攻撃者自身が用意したドメインを正しく認証しているだけであり、安全の証明にはなりません。
送信元IP（40.115.166.235）を確認したところ、Microsoft Azureの回線（東京表示）でした。近年主流の「正規クラウドを短期間借りて大量送信する」手口です。
本文のボタンのリンク先ソースコードを確認したところ、飛び先として指定されていたのはtmallconnect.comという、こちらも中国の大手通販サイト関連を思わせるドメインに、意味不明な記号を織り交ぜた不自然なパスが付いたURLでした。こうした記号混じりのURLは、メールフィルターやセキュリティ製品のパターンマッチングをすり抜けるための難読化と考えられます。
フィッシングサイト詳細解析（PC／スマホでの挙動比較）
実際にリンクをたどったところ、最終的な誘導先はhxxps://gzrbfi[.]cfd/TauQ2Bでした。まずPC環境でアクセスした際の流れをご紹介します。
Chromeのセーフブラウジング機能が「危険なサイト」として警告
ウイルスバスター クラウドも「フィッシング」として同URLをブロック
これらの警告を越えて進むと、再びChromeの警告画面が表示されました。
先へ進んでも再度「危険なサイト」の警告が表示される
さらに進むと、「ロボットではないことを確認してください」という、いわゆる人間確認（クローキング）の画面が表示されます。
「ロボットではないことを確認してください」の初期表示画面
チェックボックスを押すと「確認中…」の表示になるが、当ラボの検証ではPC環境において、この画面から先へ進むことはなく、インジケーターが回り続けたまま停止した
当ラボで検証した限り、PC環境ではこの「確認中」の画面から一切先に進みませんでした。おそらく、セキュリティ研究者や自動解析ツールの多くがPC環境からアクセスすることを見越し、意図的に足止めして解析させないようにする狙いがあると考えられます。
一方、スマートフォンで同じリンクにアクセスしたところ、Appleの公式ページ（support.apple.com）へ転送されました。実際に詐欺被害に遭いやすいスマートフォン利用者に対しては、警告を突破された場合の「最終手段」として本物のページに逃がし、「リンク切れだったのかな」程度の印象で済ませる狙いがあると考えられます。
誘導先ドメイン（gzrbfi.cfd）はCloudflareのanycast網を経由しており、地理的な発信地の特定はできませんでした。IPアドレスだけで運営拠点を判断できない典型例です。
関連する過去記事
Apple・Apple Oneを騙るフィッシングメールは、当ラボでも複数回取り上げています。あわせてご確認ください。
- 「Apple One お試し期間について」は詐欺メール！無料トライアル終了を装う偽サブスクリプション通知に注意
- Apple「サブスクリプション料金決済完了のお知らせ」は詐欺！正規メール配信サービスSendGridを悪用した手口を解説
「サブスクリプション更新」を切り口にした攻撃が繰り返されており、今回のようなPC/スマホ判定の技術的な進化にも注意が必要です。
注意点と対処法
- メール内のリンクは絶対にクリックしないでください。サブスクリプションの確認は、設定アプリまたはApple公式サイトから直接行ってください。
- セキュリティソフトやブラウザが警告を出した場合は、絶対に「このまま進む」を選択しないでください。
- スマートフォンで開いた際に本物らしいページに繋がったとしても、それはメール自体の安全性を意味しません。経由したリンクそのものが危険です。
- 「更新日」「請求金額」など具体的な数字が書かれていても、それだけで本物と判断しないでください。
- 万が一Apple IDやパスワードを入力してしまった場合は、速やかに公式サイトからパスワードを変更してください。
使っている端末によって表情を変える詐欺サイトは、これまで以上に見破りにくくなっています。「PCでは危険だと出たのにスマホでは平気だった」という体験談があっても、油断せず元のメール自体を疑う視点を持ち続けることが大切です。
Data Provided by Heartland-Lab Security Research Unit
送信元IPの詳細情報はip-sc.netの公開データを参照しています。
使用配色テーマ：Burgundy
今、拡散中の詐欺メール
