「【IC不良】カード機能停止予告・無償交換受付のお知らせ」は新型VJAフィッシングキット！HTMLソースに残った開発者コメントとPC/スマホ判定クローキングを解析
VJAグループ・Vpassを騙る波状攻撃が続いていますが、今日はその中でも一線を画す一通をご紹介します。攻撃者側の「作業ミス」のおかげで、フィッシングキットの制作過程そのものが垣間見える、貴重な発見がありました。
| 📋 調査レポート：概要
危険度評価：★★★★☆ （フィッシングキットの量産体制が垣間見える技術的痕跡を確認） |
⚠️ このメールは詐欺（フィッシング）です。本文中のボタン・リンクは絶対にクリックしないでください。
届いたメールの内容
実際に受信したメールの画面です。VJAグループの公式ロゴ・配色を模した、見た目には非常に整ったデザインになっています。
実際に届いた「ICチップ不良検知のお知らせ」メールの画面
平素よりVJAグループ発行カードをご利用いただき、誠にありがとうございます。 VJAカードメンバーサービスセンターでございます。 当社カード品質管理システムによる定期診断の結果、お客様が現在お持ちのカードのICチップに接触不良の兆候が検出されました。これはカードのICチップ端子部の経年劣化によるものであり、早急に対応しない場合、店舗での決済が突然できなくなる恐れがございます。 ━━━━━━━━━━━━━━━━━━━━ 対象カード情報 検知日時：2026年8月7日 対象カード：ICチップ付VJAクレジットカード 交換費用：完全無償（通常1,100円相当） 申込期限：2026年8月7日より3営業日以内 ━━━━━━━━━━━━━━━━━━━━ 本件は、ICチップの品質基準に基づく予防的無償交換プログラムです。通常のカード再発行には1,100円（税込）の手数料を頂戴しておりますが、本プログラムによる交換は完全無償で対応いたします。 【無償交換申込リンク】 ［リンク省略］ 申込期限を過ぎますと、無償交換の対象外となります。 発行元：VJAグループ VJAカードメンバーサービスセンター：0570-004-980（平日9:00-17:00）
※メールヘッダー詳細は個人情報保護のため非掲載です。当ラボで確認した要点のみお伝えします。
同時期に確認された件名バリエーション
この「ICチップ不良検知」の直前・直後の時間帯だけでも、同一犯とみられる名乗り変え型の波状攻撃が続いていました。同じ日の午前中だけで確認できた件名は以下の通りです。
- 【早期特典】Vpassプレミアム優待・先行エントリーのご案内（送信者表示：Vpass）
- 【認証刷新】新セキュリティ認証未登録・アカウント制限予告のお知らせ（送信者表示：Vpass）
- 【認証刷新】新セキュリティ認証未登録・アカウント制限予告のお知らせ（送信者表示：Vpassお客様サポート）
- 【早期特典】Vpassプレミアム優待・先行エントリーのご案内（送信者表示：Vpassお客様サポート）
- 【認証刷新】新セキュリティ認証未登録・アカウント制限予告のお知らせ（送信者表示：三井住友カード）
- 【IC不良】カード機能停止予告・無償交換受付のお知らせ（送信者表示：VJAグループ）※本記事で解析
- 【早期特典】Vpassプレミアム優待・先行エントリーのご案内（送信者表示：三井住友カード株式会社）
「早期特典」「認証刷新」「IC不良」と、切り口を次々に変えながら、送信者の名乗りも「Vpass」「Vpassお客様サポート」「三井住友カード」「三井住友カード株式会社」「VJAグループ」と使い分ける、典型的な同一犯による波状攻撃のパターンです。
送信ルートと偽装の判定
送信者表示名は「VJAグループ」となっていますが、実際の送信アドレスはrefvuocm@parcel.hilongyi.comという、VJAグループとは無関係な物流会社風のドメインでした。SPF・DKIMともにPassと判定されていますが、これは攻撃者自身が用意したドメインを正しく認証しているだけであり、安全の証明にはなりません。
送信元IP（20.214.41.33）を確認したところ、Microsoft Azureの回線（韓国・釜山表示）でした。
今回、特に注目すべき発見がありました。メールのHTMLソースコードを確認したところ、冒頭に次のようなコメントがそのまま残されていたのです。
<!-- VJA/Vpass brand style applied: #0023A0 primary, #FFA000 gold accent, VJA logo header, 600px max-width, clean institutional aesthetic -->
これは英語で書かれた「VJA/Vpassのブランドスタイルを適用：プライマリカラー#0023A0、ゴールドアクセント#FFA000、VJAロゴヘッダー、最大幅600px、クリーンで格式高い雰囲気」という意味の指示コメントです。本来は攻撃者側の制作過程・内部ツールにのみ残るはずのメモが、そのまま配信メールに紛れ込んでしまったと考えられます。これは、攻撃者が「ブランドごとの配色・ロゴ指定」をパラメータとして与え、フィッシングメールのテンプレートを自動生成していることを強く示唆する痕跡です。件名や訴求内容を次々に変えながら大量のバリエーションを送りつけてくる背景には、こうした量産システムの存在があるのでしょう。
💡 用語をやさしく解説
| フィッシングキット：詐欺サイトやフィッシングメールをまとめて作成するための、いわば「詐欺の道具一式」です。近年は特定のブランド名や配色を指定するだけで、それらしいメールや偽サイトを自動生成できる高度なキットが闇市場で取引されているとされ、今回のようなコメントの残留は、そうした量産システムの存在を裏付ける材料になります。 |
フィッシングサイト詳細解析（PC／スマホでの挙動比較）
本文の「無償交換を今すぐ申し込む」ボタンをクリックすると、まずChromeのセーフブラウジング機能が反応しました。
Chromeのセーフブラウジング機能が「危険なサイト」として警告
警告を越えて進むと、読み込み中の画面が表示されます。
「読み込み中…」の画面。この先の挙動が、PCとスマホで分かれた
PC環境でアクセスを続けると、最終的に次の画面で完全にブロックされました。
PC環境では「アクセス拒否（リクエストがブロックされました）」で終了
一方、スマートフォン環境で同じリンクにアクセスしたところ、ambc26.com/loginという、本物のVJAグループ・Vpassサイトを精巧に模した偽ログインページへ誘導されました。
スマートフォンでアクセスした場合に表示された、本物そっくりの偽Vpassログインページ（ambc26.com/login）
VJAグループのロゴ、Vpassのブランドカラー、ページレイアウトまで非常に精巧に再現されており、URLを確認しない限り公式サイトと見分けるのはほぼ不可能です。PC環境からのアクセスを遮断し、実際の被害が発生しやすいスマートフォンにだけ偽サイトを見せるという、標的を選別する仕組みが働いていると考えられます。
関連する過去記事
VJAグループ・Vpassを騙るフィッシングメールは、当ラボでも繰り返し取り上げています。あわせてご確認ください。
- 三井住友カード・VJA「USJ貸切イベント当選」は実在キャンペーンへの便乗詐欺！
- 【注意】三井住友カード「Vポイント有効期限が迫っています」は詐欺！
- 『詐欺メール』VJAグループから『【重要】ポイント失効のお知らせ』
「ポイント」「キャンペーン」に続き、今回のような「カードの物理的な不具合」を口実にした切り口も登場しており、手口の幅がさらに広がっています。
注意点と対処法
- 「ICチップの不良」「無償交換」といった通知が届いても、メール内のリンクは絶対にクリックしないでください。カードの状態確認は公式アプリまたは公式サイトから行ってください。
- PCで警告が出なかった、あるいはアクセスできなかったからといって、スマートフォンでも安全とは限りません。デバイスによって表示内容が変わる詐欺サイトが実在します。
- 同じ差出人グループから短期間に複数の件名で連続してメールが届く場合、それ自体が詐欺キャンペーンの兆候です。
- ロゴや配色がどれだけ精巧でも、URLが公式ドメインと異なれば偽サイトです。
- 万が一ログイン情報を入力してしまった場合は、速やかに公式サイトからパスワードを変更し、カード会社へご連絡ください。
攻撃者側の「うっかりミス」が、フィッシングキットの量産体制という普段は見えない部分を明るみに出してくれました。手口は次々と形を変えますが、最終的な狙い（ログイン情報やカード情報の窃取）は変わりません。件名や見た目に惑わされず、リンクを踏まない習慣を徹底しましょう。
Data Provided by Heartland-Lab Security Research Unit
送信元IPの詳細情報はip-sc.netの公開データを参照しています。
使用配色テーマ：Navy
今、拡散中の詐欺メール
