「KAGOYA」会員サイトリニューアル通知は詐欺！乗っ取られたセルビアの大学メールアカウントと海外CDNを悪用した手口

2026年8月9日

レンタルサーバーやドメイン管理を利用している方なら「KAGOYA」の名前に馴染みがあるかもしれません。今回はそのKAGOYAを騙るメールをご紹介しますが、送信元をたどると、日本からは遠く離れた海外の教育機関にたどり着きました。

【調査レポート】KAGOYA「会員サイトリニューアル」通知の正体を暴く

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

緊急性レベル	★★★☆☆ (3/5)
偽装工作精度	★★★☆☆ (3/5)
受信日時	2026年8月9日（日）10:37
差出人表示	“KAGOYA 運営事務局”（実アドレスはセルビアの大学ドメイン）

「会員サイトの画面構成を一部変更しました」という控えめな理由で、新しいログイン画面と称するリンクへ誘導する手口です。X-Priorityヘッダーで「最優先」指定がされており、緊急性を演出しています。

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはKAGOYA公式を装った真っ赤な偽物です。「新しい画面を確認する」リンクは絶対にクリックしないでください。

1. ■ 届いたメールの内容
2. ■ 送信ルートおよび偽装判定
3. ■ フィッシングサイト詳細解析
4. ■ これまでの経緯（関連記事）
5. ■ 注意点と対処法

■ 届いたメールの内容

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

KAGOYA 会員サイト

KAGOYA 会員の皆さま

いつも KAGOYA をご利用いただき、ありがとうございます。

このたび、会員サイトの画面構成を一部変更いたしました。
つきましては、大変お手数ではございますが、下記よりログインいただき、引き続きサービスをご利用くださいますようお願いいたします。

お客様の登録情報のご確認は、下記リンクよりお願いいたします。

▼ 新しい画面を確認する

本メールはシステムより自動配信しております。
すでにログイン済みの場合は、そのままお使いいただけますのでご安心ください。

KAGOYA サポート
※ 本メールに関するお問い合わせは、サポートページよりお願いいたします。

実際に受信した詐欺メールの画面。装飾を抑えたシンプルな文面で違和感を薄めている

■ 送信ルートおよび偽装判定

メールサーバーのIP（Received-SPFヘッダーより特定）：

147.91.31.28（HELO：email.vin.bg.ac.rs）

回線情報（ip-sc.net確認）：

プロバイダ：Akademska mreza Republike Srbije（AMRES）／AS13092／利用形式：corporate
所在地：セルビア・ベオグラード
組織名：Academic Network of Serbia

実際に認証送信を行った接続元IP：

162.254.32.100（Namecheap, Inc.／AS22612／hosting／アメリカ・イリノイ州シカゴ）

💡 用語解説：「認証済み」のメールサーバーでも安全とは限らない
今回のメールのヘッダーには「Authenticated sender: mato」という記載があり、これはmato@vinca.rsというアカウントが正式なパスワード等で認証されてメールを送信したことを示しています。送信元のサーバー自体もSPFを正式にPassしており、一見すると「本物のセルビアの大学から送られた正規のメール」に見えます。しかし実態は、大学の正規メールアカウントが乗っ取られ、その認証情報を悪用してKAGOYAへのなりすましメールが送信されたとみられます。「送信元サーバーが本物か」と「送信者本人が正しいか」はまったく別の話であることが、この一例からもよく分かります。

実際にこのメールを送信するために認証接続してきたIPは、大学のサーバーとは別の、アメリカ・イリノイ州シカゴにあるNamecheap社のホスティングサーバーでした。攻撃者が乗っ取ったアカウント情報を使い、自分の用意したサーバーから大学のメールサーバー経由でメールを送信したという構図です。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：

hxxps://cp-kagoya-jp[.]b-cdn[.]net/

※「b-cdn.net」は実在する海外の動画・画像配信CDNサービス「BunnyCDN」の共有ドメインです。サブドメイン部分だけを「cp-kagoya-jp」とKAGOYA風に設定することで、URLの見た目だけを公式っぽく見せています。

【サイトの状態】：

実際にKAGOYA会員サイトのログイン画面を模倣した偽ページが表示され、メールアドレス（ユーザー名）とパスワードの入力を求めてきます。正規のCDNサービスを土台に使うことで、フィッシング対策ソフトの検知をすり抜けやすくする狙いがあるとみられます。

誘導先に表示された偽のKAGOYA会員サイトログイン画面

■ これまでの経緯（関連記事）

KAGOYAは本サイトで最も繰り返しなりすましの被害に遭っているブランドの一つです。過去の関連記事もあわせてご確認ください。

■ 注意点と対処法

URLをよく確認する：「KAGOYA」の文字があっても、ドメインの本体部分（末尾側）が全く別のサービス名であれば偽物です。
公式ブックマークからログイン：会員サイトへのアクセスは、必ず普段使っている公式URLやブックマークから行ってください。
SPF Passを過信しない：送信サーバーの認証が通っていても、そのアカウント自体が乗っ取られている可能性があります。
パスワードは絶対に入力しない：少しでも違和感があれば、リンク先には情報を入力せずページを閉じてください。

KAGOYA公式のサポートページも参考にしてください：カゴヤ・ジャパンサポートページ

今回のメールは、送信元のサーバーやアカウントそのものは「本物」でした。これは裏を返せば、正規のインフラを乗っ取られると、技術的なチェックだけでは見破りにくくなるということでもあります。最終的には「本文の内容やURLに違和感がないか」を自分の目で確認する習慣が、最後の砦になります。この記事のURLをコピーして、ご家族やサーバー管理を任されている同僚のLINEグループで「これ気をつけて！」と共有してあげてください。

📱 LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net

配色テーマ：Forest