三菱UFJ銀行「ご登録情報の更新のお願い」続報：偽装名は「iCould」に化けるも本文は使い回し、最終着地は偽Apple IDという支離滅裂ぶり

2026年8月10日

以前ご紹介した三菱UFJ銀行なりすましメールと、驚くほどそっくりな一通が再び届きました。今回はその「続報」として、送信者の化け方と、最終的にたどり着く先の食い違いっぷりをじっくり解析していきます。

【続報】三菱UFJ銀行なりすまし「ご登録情報の更新のお願い」：送信者は「iCould」に化けるも中身はそのまま使い回し

Heartland-Lab（ハートランド・ラボ）専門調査レポート

2026年7月24日に当サイトで解析した三菱UFJ銀行「ご登録情報の更新のお願い」詐欺メールと、本文がほぼ一字一句同じメールが16日ぶりに再送されてきました。ただし今回は送信者名が「iCould」（本来は「iCloud」のはずが綴りミス）に変わっており、最終的に誘導される先も、前回とは全く異なる巧妙な多段階の仕組みになっていました。

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★☆☆ (3/5)　※理由は本文で解説

■ メールヘッダー解析（送信者情報）

件名：[spam]【要対応】ご登録情報の更新のお願いNo.0049593549)

送信者表示名：iCould（Apple／iCloudを装ったつもりの綴りミス）

送信元アドレス：noreply@ceiicn.com

受信日時：2026年8月9日 16:47

※メールヘッダー詳細は個人情報保護のため非掲載

送信者名は「iCould」なのに中身は三菱UFJ銀行、最終着地は偽Apple ID。真っ赤な偽物であることに変わりはありません。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。リンクは無効化して掲載しています。

お客様各位

平素より三菱UFJ銀行をご利用いただき、誠にありがとうございます。

このたび、金融機関としての法令義務に基づき、お客様のご登録情報の確認が必要となっております。

ご登録いただいている本人確認書類（運転免許証・マイナンバーカード等）の有効期限が近づいている可能性がございます。

■ ご確認・ご更新が必要な項目
・本人確認書類の有効期限
・ご住所
・お電話番号
・メールアドレス

■ お手続き方法
以下の公式サイトにログイン後、「お客様情報設定」よりお手続きください。

▼ 公式サイト（三菱UFJ銀行）
hxxps://www.bk.mufg［.］jp/update/（表示のみ・実際の遷移先は別ドメイン）

■ お手続き期限：2026年7月31日

※期限までにお手続きが確認できない場合、一部のお取引に制限がかかる場合がございます。
※また、お客様の口座に付与されている「6,053ポイント」もあわせて失効・消滅となる場合がございますので、あらかじめご了承ください。

送信者名は「iCould」なのに、本文の中身は三菱UFJ銀行のまま。テンプレートの使い回しが透けて見える

お手続き期限が「2026年7月31日」のまま更新されておらず、受信日（8月9日）には既に期限切れという間の抜けたミスも見られました。攻撃者側も忙しいのか、細部までは手が回っていないようです。

■ 送信ルート及び偽装判定

Received-SPF解析：
Received-SPF: Pass; client-ip=20.43.86.125; helo=ceiicn.com

SPF・DKIM（送信元認証の仕組み）はいずれも通過（Pass）していますが、これは「ceiicn.com」という攻撃者自身が取得したドメインの認証が通っているだけです。三菱UFJ銀行ともApple／iCloudとも一切関係のないドメインである以上、認証結果自体には何の意味もありません。

発信元ロケーション解析：
IPアドレス 20.43.86.125 は、Microsoft Corporation（Microsoft Azure）が保有する回線で、所在地は東京都渋谷区でした。前回（7月24日）確認した際もMicrosoft Azureが使われており、送信インフラの選定パターンに共通点が見られます。

■ フィッシングサイト詳細解析（4段階の誘導チェーン）

本文中のリンクは、見た目こそ三菱UFJ銀行の公式URLですが、実際にクリックすると以下の4段階を経て、最終的に全く別のブランドを騙る偽サイトへ誘導される仕組みになっていました。

段階	内容
①	誘導先1：`hxxps://tmallstarlight.com/page/djxzlmtuzq`（ウイルスバスターがフィッシングサイトとしてブロック）
②	ブロックを解除して進むと「盾のアイコンを2個選んでください」という人間確認画面が表示される（自動検知ツールによる調査をかいくぐるための仕組みとみられます）
③	誘導先2：`hxxps://gpddd.top/jp`（再びウイルスバスターがブロック。さらにGoogle Chrome自体のセーフブラウジング機能も「危険なサイト」として警告）
④	全ての警告を無視して進むと、本物そっくりの「Apple Account」ログイン画面が表示される

本文は三菱UFJ銀行の話なのに、最後にIDとパスワードを盗もうとしてくるのはApple IDという、支離滅裂な組み合わせでした。おそらく攻撃者は、以前使ったMUFG銀行の文面と、別に用意したApple ID詐取用のキットを、深く考えずに継ぎはぎしてしまったのでしょう。読者の皆さまには一見の価値がある「お粗末さ」ですが、油断は禁物です。

中継リンクのIPアドレス：43.167.208.189（tmallstarlight.com）／43.167.26.140（gpddd.top）
回線情報：いずれもShenzhen Tencent Computer Systems Company Limited（Tencent Cloud、中国）の回線でした。表示上のロケーションは東京都渋谷区となりますが、実際の運営元は中国のクラウド事業者です。

誘導先1へのアクセス時、ウイルスバスターが即座にブロックした画面

自動検知ツールによる調査を避けるための「人間確認」画面

誘導先2でも再びウイルスバスターがブロック

Chrome自体のセキュリティ機能も「危険なサイト」と警告している

複数の警告を突破した先に表示される、精巧に作られた偽のApple Accountログイン画面

■ 前回記事との関連について

当サイトでは2026年7月24日にも同じ本文の三菱UFJ銀行なりすましメールを解析しています。前回は誘導先がシンガポールのTencent Cloud上に設置された偽の銀行ログイン画面でしたが、今回は送信者名がiCloudを装う形に変わり、最終着地も偽Apple ID画面へと変化していました。本文はそのまま使い回しつつ、送信者名と誘導先だけを差し替える——詐欺師側の「省力化」の実態が垣間見えます。

■ 注意点と対処法

送信者名を鵜呑みにしない：「iCloud」などの有名ブランド名を装っていても、実際の送信ドメインやメール本文の内容と食い違っていないか必ず確認してください。
セキュリティソフトやブラウザの警告は絶対に無視しない：ウイルスバスターやChromeが「危険」と警告した時点でアクセスを中止してください。
「人間確認」画面が出ても安心しない：本物のセキュリティ確認に見えても、詐欺サイト側が用意した偽の確認画面である場合があります。
公式アプリ・ブックマークから確認：三菱UFJ銀行への確認は公式アプリから、Apple IDへの確認は設定アプリから直接行ってください。

本レポートの結論

送信者名は「iCould」、本文は三菱UFJ銀行、最終着地は偽Apple ID——支離滅裂な組み合わせではありますが、複数のセキュリティ警告を突破する巧妙な誘導チェーンが仕込まれており、油断すれば大切な情報を盗まれます。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

LINEで送る

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net