「iCloud次回請求についてのお知らせ」は詐欺！CSS偽装の実装ミスで丸見えになったおとり文字列と、偽の大学中継サーバー名を解析

■ メールヘッダー解析（送信者情報）

件名：[spam] iCloud次回請求についてのお知らせ

送信者名：iCloud +（表示名を偽装）

送信元アドレス：info@mail23.gedikmutfak.com

受信日時：2026年8月11日 18:51

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはAppleを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

• 1. ■ 詐欺メール本文の再現
• 2. ■ 送信ルート及び偽装判定
• 3. ■ フィッシングサイト詳細解析
• 4. ■ 注意点と対処法

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。実際の見た目は下の画像をご参照ください。

iCloud+　要対応

お支払いに失敗しました

ご登録のお支払い方法で決済を試みましたが、処理を完了できませんでした。
期限までにお支払い方法を更新いただけない場合、プランの更新が行われず、
一部機能が制限される可能性があります。

宛先： （受信者のメールアドレス）
請求書番号： INV-872549
ご請求日： 2026/8/11
注文番号： ODR-UPXJQK
状況： お支払いに失敗
失敗理由： カード会社により承認されませんでした
お手続き期限： 2026/8/11 23:59

次に行うこと
お支払い方法を更新して再度お試しください
1. カードの有効期限・利用限度額をご確認ください
2. 別のカード、または別のお支払い方法に切り替えてください
3. 更新後、数分後に再度アカウント状態をご確認ください

ご利用中のプラン
iCloud+　50 GB のストレージ（月額）　¥150
次回更新日：2026年9月11日

合計（税込）：¥150

［お支払い方法を更新する］　［請求内容を確認する］

© 2026 Cloud Account. All rights reserved.

■ Receivedヘッダー解析（サーバー通過証明）

送信元IP（Received-SPFより確定）：
client-ip=20.212.230.19; helo=mail23.gedikmutfak.com

【偽装判定】：
正規のAppleからのメールは「apple.com」または「icloud.com」ドメインから送信されます。本メールは「gedikmutfak.com」という無関係のドメインから送られており、Appleの公式サーバーとは一切関係がありません。

【実在大学を騙る偽装中継サーバー名】：
ヘッダー内部には「smtp.verify-emailbot.kyushu-u.jp」「mail.h87zya6gcih.rikkyo.jp」という、実在の九州大学・立教大学のドメインを連想させるホスト名が記載されていました。しかし実際にはこれらは信頼できる教育機関のサーバーではなく、メールの経路を信頼できそうに見せかけるための偽装表記と考えられます（該当のIPアドレスも一般的なメールサーバーの割当とは考えにくいものでした）。

発信元ロケーション解析：
IPアドレス：20.212.230.19
ホスティング：Microsoft Corporation（Azure、AS8075）
ロケーション：シンガポール

💡ここで！CSSで「隠す」偽装が丸見えになった理由

今回のメールのHTMLソースを確認すると、「ヮぇすロぞピィレ」のような意味不明な文字列に対してclass="hiddenToken"という指定がされ、別途「.hiddenToken{display:none !important; ...}」というCSSで非表示にする設計になっていました。これは、迷惑メールフィルターが本文の文字パターンを学習するのを妨害するための、いわば”ダミーの文字埋め込み”です。

しかし、上記に提示したスクリーンショットの通り、実際の受信画面ではこの文字列がそのまま表示されてしまっていました。メールソフトによってはHTMLメールのCSSを部分的にしか反映しない場合があり、今回はその隙間を突かれる形で、隠すはずだった偽装の”種明かし”が見えてしまった形です。

■ フィッシングサイト詳細解析

本文中の誘導URL（伏せ字・2種類あるが同一サーバーに集約）：
hxxps://df-118[.]com（「お支払い方法を更新する」ボタン）
hxxps://district-apparel[.]com（「請求内容を確認する」ボタン）

誘導先サーバーIP：47.239.130.83（両ドメインとも同一IPに集約）

ホスティング：Alibaba Cloud LLC（AS45102）
ロケーション：香港（Hong Kong）
プロキシ検出：あり（データセンター／CDN系のホスティングプロキシ）

【多段リダイレクトの確認】：
リンク先へアクセスすると、Chromeの「危険なサイト」警告が2回表示されたのち、ウイルスバスター クラウドが誘導先の一つ「hxxps://whisqu[.]com/aaaa/」（IP：47.76.182.255、こちらもAlibaba Cloud香港・プロキシ検出あり）をフィッシングサイトとして検知・ブロックしました。それでも通過を続けると、最終的に本物そっくりの偽Apple Accountログインページが表示され、Apple IDとパスワードの入力を求められる構成になっていました。

■ 注意点と対処法

1. メール内のリンクは絶対にクリックしないでください。ブラウザやセキュリティソフトの警告が出た場合は、「アクセスする」を選ばず必ず引き返してください。
2. 公式サイトを確認：iCloud+のご利用状況が気になる場合は、必ずApple公式アプリまたはブックマークからアクセスしてください。
3. 本物そっくりのログイン画面にも注意：デザインが本物に似ていても、URLが「apple.com」「icloud.com」以外であれば偽サイトです。
4. 公式注意喚起の参照：Apple の正規のメール、メッセージ、通話を見分ける（Apple公式サポート）

本レポートの結論

隠すはずの偽装が逆に見えてしまうという皮肉な失敗がありつつも、実在大学名を騙る中継サーバー表記や、最終的に本物そっくりの偽ログインページへ至る多段構成は非常に手が込んでいました。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。