「セゾン・カードポイント有効期限のお知らせ（2026年8月失効分）」は詐欺！正規メール配信サービスSendGridを悪用した送信と即消滅する誘導ドメインの手口を解析

ご覧の通り、このメールはセゾンカードを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下は届いた詐欺メールの文面を、技術検証のために忠実に再現したものです。

件名：[spam] 【重要】ポイント有効期限のお知らせ（2026年8月失効分）
送信者："セゾン・カード" <donahueelsie@ipjvgh.com>

セゾン・カードポイント有効期限のお知らせ
セゾン・カード会員 様

平素よりセゾン・カードをご利用いただき、誠にありがとうございます。

【緊急：セゾン・カードポイント失効期限が迫っています】
お客様のアカウントにあるセゾン・カードポイントのうち、7,650ポイントの有効期限がまもなく到来します。
期限を超過したポイントは自動的に失効し、いかなる理由でも復旧・再付与は一切いたしかねます。
大切なポイントを無駄にしないよう、お早めにご確認とご活用をお願いいたします。

■失効対象 セゾン・カードポイント数
7,650 pt
最終失効期限：2026年8月13日（金）23時59分

■セゾン・カードポイントの主な活用方法
・カードご利用代金へのキャッシュバック充当
・各種ギフト券・人気商品との交換
・提携ECサイトでのショッピング決済
・航空会社マイル・提携先ポイントへ移行

［ポイントを確認・交換する］

株式会社クレディセゾン
〒170-6045 東京都豊島区東池袋3-1-1 サンシャイン60

■ 送信ルート及び偽装判定

認証結果：SPF = Pass ／ DKIM = Pass
Received-SPF: Pass; client-ip=149.72.123.24; helo=s.wrqvtbkv.outbound-mail.sendgrid.net

【偽装判定】：
送信元IP 149.72.123.24 は、正規のメール配信サービス「SendGrid（米国のメール配信基盤）」のサーバーです。攻撃者は自前のドメインから直接送りつけるのではなく、SendGrid経由で「ipjvgh.com」という無関係なドメインからメールを配信しており、これが本メールのSPF・DKIMを正規にPassさせている理由です。クレディセゾンの公式ドメイン（saisoncard.co.jp）とは一切関係がありません。

送信元ロケーション解析：
SendGridは正規のメール配信基盤であり、そのサーバー所在地（米国）は攻撃者自身の居場所を示すものではないため、本記事では「不明」として扱います。

💡ここで！ SPF・DKIM・SendGridって何？

SPF・DKIMとは、送られてきたメールが「名乗っている送信元から本当に送られたか」を確認する仕組みです。本来はなりすまし対策のための技術ですが、今回のように攻撃者が正規のメール配信業者を契約・悪用すると、その業者の認証情報でSPF・DKIMが正規にPassしてしまいます。

SendGridは、企業のメルマガや通知メールなどを大量に配信するための、世界的に広く使われている正規のクラウドサービスです。今回はこのサービスのアカウントが、フィッシングメールの配信に悪用された形です。

■ 誘導先の状況

誘導先URL（伏せ字）：
hxxps://mawytho[.]me/cReSSCi（「ポイントを確認・交換する」ボタン）
hxxps://mawytho[.]me/ekDvXSK（「ボタンが表示されない方はこちら」リンク）

【現在の状態】：本記事執筆時点で mawytho.me はDNS解決不能（NXDOMAIN）となっており、誘導先サイト自体がすでに消滅していました。フィッシングサイトはこのように短期間で使い捨てにされる傾向があります。

なお、Googleのセーフブラウジング機能では本URLが過去にフィッシングサイトとして検出されており、Chromeでアクセスすると警告画面が表示される状態だったことも確認できています。

■ 注意点と対処法

1. URLを絶対にクリックしない：「ポイント確認」ボタンだけでなく、「ボタンが表示されない方はこちら」のような予備リンクも同じくフィッシングサイトへ誘導します。
2. SPF/DKIMのPassを過信しない：今回のように正規サービスが悪用されるとメールソフトの警告をすり抜けることがあります。送信元の「表示名」ではなく実際のメールアドレスのドメインを必ず確認してください。
3. 公式サイト・公式アプリから確認：ポイント残高や失効予定は、必ずブックマークまたは公式アプリからログインして確認してください。
4. 公式の注意喚起を確認：セゾンカード公式｜フィッシング詐欺にご注意ください

本レポートの結論

今回の詐欺メールは、攻撃者が自前のインフラを使わず、正規のメール配信サービスを契約して送信することでSPF・DKIM認証をすり抜けるという、少々手の込んだ手口でした。とはいえ誘導先のドメインはすでに姿を消しており、腰を据えて長く使うつもりはなかったようです。身近な人が焦って「ポイントを確認・交換する」ボタンを押してしまう前に、この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。