「【要確認】【SBI証券】口座の本人確認手続きについて」は詐欺！Google Cloud経由・中国からの投稿痕跡と、表示URLを偽装したリンクの手口を解析

ご覧の通り、このメールはSBI証券を装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下は届いた詐欺メールの文面を、技術検証のために忠実に再現したものです。

件名：[spam] 【要確認】【SBI証券】口座の本人確認手続きについて
送信者："SBIサポートデスク" <helpleo@pukvcue.cn>

平素より当社サービスをご利用いただき、誠にありがとうございます。

当社では、お客様に安心かつ安全にサービスをご利用いただけるよう、口座のご利用状況、ご登録内容および本人確認状況について、継続的な確認を行っております。

このたび、お客様の口座について確認を行った結果、通常のご利用状況とは異なる点が認められました。現在当社に登録されているお客様情報および本人確認情報のみでは、当該口座が引き続きお客様ご本人の管理のもとで適切に利用されていることを十分に確認できない状況となっております。

そのため、第三者による不正アクセス、なりすまし、その他の不正利用を防止し、お客様の大切な資産および口座の安全を確保する観点から、改めてお客様ご本人による口座利用であること、ならびに現在のご登録情報に相違がないことを確認させていただく必要がございます。

つきましては、お客様の口座を本人確認手続きの対象とさせていただいておりますので、2026年8月15日（土）までに所定の本人確認手続きを完了していただきますようお願い申し上げます。

本人確認のお手続きは、SBI証券公式サイトへアクセスのうえ、画面に表示される案内に従ってお進めください。

［https://www.sbisec.co.jp/login/］（※実際のリンク先は別ドメインでした）

お手続きの際には、お客様ご本人による操作であること、および現在ご登録いただいている情報と本人確認情報に相違がないことを確認いたします。

なお、上記期限までに本人確認手続きの完了を確認できない場合には、口座の安全性について十分な確認が取れていない状態が継続しているものと判断し、お客様の資産保護および不正利用防止のため、取引機能または出金機能の全部もしくは一部を制限させていただく場合がございます。

今後とも当社サービスをご愛顧くださいますよう、よろしくお願い申し上げます。

株式会社SBI証券 金融商品取引業者、商品先物取引業者

■ 送信ルート及び偽装判定

認証結果：SPF = Pass ／ DKIM = Pass
Received-SPF: Pass; client-ip=34.101.72.73; helo=mail.pukvcue.cn

【送信経路】：
送信元IPの逆引きDNSはgoogleusercontent.comとなっており、Google Cloud上のメールサーバーから配信されていました。SBI証券の公式ドメイン（sbisec.co.jp）とは無関係です。

【投稿元の痕跡】：
さらにヘッダーを遡ると、そのGoogle Cloudサーバーにメールを投稿した元クライアントのIPアドレスが記録されており、これは中国国内のIPアドレスでした。攻撃者が実際に操作したパソコンの痕跡と見られます。

【リンクの表示偽装】：
メール本文には、SBI証券の正規URL「https://www.sbisec.co.jp/login/」が文字としてそのまま表示されていましたが、実際にクリックした際のリンク先（href属性）は、この表示とはまったく異なる別ドメインに設定されていました。ぱっと見て正規URLだと信じ込ませる、悪質な手口です。

💡ここで！ リンクの「表示」と「行き先」は別物です

Webページやメールのリンクは、画面に表示される文字（例：https://www.example.com）と、実際にクリックしたときに移動する先のURLを、別々に設定できる仕組みになっています。攻撃者はこれを悪用し、見た目には正規のURLを表示させながら、実際には別サイトに飛ばすことができてしまいます。パソコンではリンクにカーソルを合わせると画面の隅に実際の行き先が表示されることが多いので、クリック前に確認する習慣をつけましょう。

■ 誘導先の状況

誘導先ドメイン（伏せ字）：
hxxps://heplo.ugbbfu[.]com/（初回リンク先）
hxxps://tesel.agcuu[.]com/（最終着地先）

この2つを含む複数のドメインが、いずれも同一のサーバーIP（47.79.90.161）に集約されていました。ip-sc.netでの確認により、このIPはAlibaba Cloud（Alibaba (US) Technology Co., Ltd.、AS45102）、すなわち中国系クラウド事業者が運営するサーバーと判明しました。住所表記は東京都渋谷区となっていますが、これはAlibaba Cloudの東京リージョンを示すものであり、攻撃者の実際の所在地ではありません。

【アクセス時の挙動】：Chromeがまず「危険なサイト」として警告を表示し、それを突破するとCloudflareのチャレンジ画面（人間確認）を経て、最終的にSBI証券公式サイトにそっくりな偽ログイン画面が表示される、という多段階の構成でした。

■ 注意点と対処法

1. 表示URLを鵜呑みにしない：正しく見えるURLが表示されていても、実際のリンク先が異なる場合があります。
2. ブラウザの警告を無視しない：Chromeなどが「危険なサイト」と警告した場合、それを解除してまでアクセスしないでください。
3. 本人確認手続きは公式アプリ・公式サイトから：URLはメール内リンクではなく、必ずブックマークまたは公式アプリからアクセスしてください。
4. 公式の注意喚起を確認：SBI証券公式サイトのお知らせ・サポートページで、不審メールに関する最新情報をご確認ください。

本レポートの結論

今回の詐欺メールは、Google Cloudを踏み台にしつつ、投稿元の痕跡は中国、着地サイトはAlibaba Cloud上と、複数の国・基盤をまたいだインフラで構成されていました。それに加えてリンクの表示偽装という、視覚的にかなり巧妙な仕掛けも施されています。身近な人が「口座が制限されるかも」と焦ってリンクをクリックしてしまう前に、この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。