「[DHL EXPRESS] お支払いおよび配送に関するお知らせ」は詐欺！SPF認証破綻とフッター電話番号の局番矛盾から見抜く手口を解析

2026年8月12日

今回は国際配送大手DHL Expressを騙る詐欺メールです。「$1.99」というごく少額の未払い配送料を口実にする手口ですが、認証設定の技術的な破綻や、フッターの電話番号の矛盾など、見抜くポイントが複数見つかりました。

【実録】DHL Express「お支払いおよび配送に関するお知らせ」偽メールの正体：SPF認証破綻と局番矛盾の二重のほころび

Heartland-Lab（ハートランド・ラボ）専門調査レポート

DHL Expressを騙り、「$1.99の配送料が未払いになっている」として支払いを促すフィッシングメールです。少額の請求で警戒心を下げつつ、送信元ドメインのSPF認証が技術的に破綻しているという、なりすましメールとしては珍しいレベルの不備も確認されました。

緊急性レベル	★★☆☆☆ (2/5)
偽装工作精度	★★☆☆☆ (2/5)

※重要：本メールを開封しただけでも、アクティブなメールアドレスとして攻撃者リストに登録されるリスクがあります。

■ メールヘッダー解析（送信者情報）

件名：[spam] [DHL EXPRESS] お支払いおよび配送に関するお知らせ

送信者名：DHL EXPRESS（表示名を偽装。自社ドメインなりすまし識別子付き）

送信元アドレス：自社ドメインなりすまし（受信者自身のドメインが識別子として悪用されているため非掲載）

受信日時：2026年8月12日 11:36

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはDHL Expressを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

1. ■ 詐欺メール本文の再現
2. ■ 送信ルート及び偽装判定
3. ■ フィッシングサイト詳細解析
4. ■ 注意点と対処法

■ 詐欺メール本文の再現

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。実際の見た目は下の画像をご参照ください。

DHL Express

発送の支払いリマインダー

お客様へ、

次回のDHL発送に $1.99ドルの配送料がまだ未払いであることをお伝えしま
す。スムーズかつ迅速な配送のために、未払い金額をできるだけ早く支払うよ
うお願いいたします。

公式ウェブサイトから簡単にお支払いいただけます。以下のリンクをご利用く
ださい:

［今すぐ支払い $1.99］

支払いが成功すると、すぐにお荷物が配達されます。

ご質問がある場合は、カスタマーサービスまでお問い合わせください。

DHLカスタマーサービス － 電話:0228 1234 5678(東京)・www.dhl.jp

▲ 実際に届いた詐欺メールの画面。DHLのブランドカラー（黄色・赤）を使い、公式らしいデザインに仕上げています。

■ 送信ルート及び偽装判定

■ Receivedヘッダー解析（サーバー通過証明）

認証結果：Received-SPF: Permerror (SPF Permanent Error: Too many DNS lookups)

SPFの判定結果が「Permerror」という、Pass/Fail/Softfailのいずれとも異なる状態でした。これは送信ドメインが設定しているSPFレコードが、DNS参照回数の上限（10回）を超えてしまい、認証システム側が評価不能と判断した状態です。正規のドメイン運用では起こりにくい設定ミスで、送信インフラの管理がずさんであることを示しています。

【自社ドメインを悪用した識別子】：
今回のメールは、Return-PathとFromの両方に、受信者自身が保有するドメイン名がなりすまし用の識別子として組み込まれていました（例：「（受信者のドメイン）secure360-mass000@online.net」のような形式）。実際の送信ドメインとは無関係に、あたかも受信者に関連するメールであるかのように見せかける手口です。

発信元ロケーション解析：
IPアドレス：114.35.75.228
ホスティング：Chunghwa Telecom Co., Ltd.（AS3462 HINET、台湾最大手の通信キャリア）
利用形式：corporate（法人回線）
ロケーション：台湾・台北市

💡ここで！フッターの電話番号の矛盾（Heart発見）

メール本文フッターには「電話:0228 1234 5678（東京）」と記載されていました。しかし、市外局番「0228」は実際には宮城県大崎市エリアの局番であり、東京の市外局番（03）とは全く異なります。攻撃者がテンプレートを流用する際に、地域の整合性まで確認せずに作成した痕跡と考えられます。フッターの電話番号や住所を実際に検索してみると、こうした矛盾が見つかることがあります。

■ フィッシングサイト詳細解析

誘導URL（伏せ字）：hxxps://wetavers[.]com/cmz/（長い追跡パラメータ）

サーバーIP：62.72.37.206

ホスティング：Hostinger International Limited（AS47583）
ロケーション：フランス・パリ
プロキシ検出：あり（データセンター／CDN系）

【サイトの状態】：Heartが実際にリンク先へアクセスして確認したところ、DHL Japanの本物の公式サイト（荷物追跡ページ）へ転送される状態になっていました。フィッシングフォーム自体はすでに閉鎖・無効化されているか、検知回避のために意図的に公式サイトへ転送する設定に切り替えられた可能性があります。

▲ 誘導先URLへアクセスした際の画面。調査時点ではDHL Japanの本物の公式サイトへ転送されました。

※本レポートに記載されている位置情報や国名は、調査時点のデータに基づいています。攻撃者による経由サーバーの切り替えや調査ツールのデータ更新のタイミングにより、実際のロケーションと一時的に変動・乖離することがあります。また、誘導先が現在公式サイトへ転送される状態であっても、同じメールの他の受信者や別のタイミングでは異なる挙動をする可能性があるため、引き続きリンクはクリックしないでください。