【続報】SBI北尾吉孝なりすまし投資詐欺が三度目の再来──Azure→Alibaba Cloud経由の新配信ルートを確認

2026年8月13日

立秋を過ぎてもまだまだ寝苦しい夜が続きますね。今回はそんな丑三つ時、午前2時43分に届いたメールをご紹介します。実はこの詐欺メール、5月・7月に続いてもう3回目の再来。今回はまた新しい使い捨てドメインと、これまでとは違うクラウド基盤の組み合わせで届きました。

1. ■ 調査レポート：概要
2. ■ メールヘッダー解析（送信者情報）
3. ■ 詐欺メール本文（原文再現）
4. ■ 送信ルートおよび偽装判定
5. ■ フィッシングサイト詳細解析
6. ■ 続報：これまでの経緯
7. ■ 注意点と対処法
8. ■ まとめ

■ 調査レポート：概要

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★☆☆ (3/5)
再来回数	3回目（2026年5月／7月／8月）

■ メールヘッダー解析（送信者情報）

件名：【SBI公式】北尾吉孝より、資産3倍を実現した特別な投資情報のご案内

表示上の送信者名：株式会社SBI証券

送信元アドレス：info@mail28.huentextileco.com（SBI公式ドメインとは無関係）

受信日時：2026年8月13日（木）02:43 JST

Received-SPF：Pass（client-ip=13.78.33.1）

DKIM：Valid（送信元ドメインmail28.huentextileco.com自身の署名として検証は通るが、これは攻撃者が自分のドメインに正しく署名しているだけで、内容の正当性とは無関係）

※メールヘッダー詳細は個人情報保護のため非掲載

💡ここで！ SPF・DKIMがPassしていても安心できないのはなぜ？

SPF（エスピーエフ）：「このドメインからのメールはこのサーバーから送っていいですよ」という設定です。攻撃者が自分で用意した偽ドメインでも、自分のサーバー設定さえ整えれば簡単にPassさせられます。

DKIM（ディーキム）：メールが送信後に改ざんされていないかを電子署名で確認する仕組みです。こちらも攻撃者自身のドメインに対して署名すれば正しく検証が通ってしまいます。

■ 詐欺メール本文（原文再現）

以下は届いた詐欺メールを技術検証のために忠実に再現したものです。

投資家の皆様へ

私は、SBIホールディングス代表取締役社長の北尾吉孝でございます。

近年の金融市場は、国内外の経済動向や地政学的要因等により、不安定な局面が続いております。このような環境下においては、正確な情報の把握と、適切な戦略に基づく判断が、資産運用において極めて重要であると考えております。

このたび、実際の投資事例を通じて一定の成果を上げられた方々が活用された投資情報につき、参考情報としてLINE限定でご案内申し上げます。

■ 投資事例のご紹介

神奈川県・50代男性（運送業）
LINE登録後に案内された銘柄へ50万円を投資され、約2か月間で168万円に増加した事例が確認されております。

大阪府・30代女性（パート）
低リスクでの運用を希望され、推奨された銘柄により月利12%水準の運用成果を3か月間継続された事例がございます。

■ ご案内する投資情報の内容
・厳選した注目銘柄に関する情報
・リスク管理を重視した運用戦略の考え方
・最新の市場動向および今後の投資環境に関する見解

LINEにて友だち追加を行っていただくことで、これらの情報を順次ご案内する形式となっております。

■ LINE登録のご案内
【LINEを追加する】

※ 配信枠には限りがございます。
※ 上記の事例は過去の一例であり、将来の成果を保証するものではありません。

皆様の資産形成における一助となれば幸いに存じます。

SBIホールディングス株式会社
代表取締役社長　北尾 吉孝

実際に届いたメール画面（件名・差出人・本文）

本文は5月・7月に確認された過去2回とほぼ一言一句同じ文面です。「株式会社SBI証券」と名乗りながら署名は「SBIホールディングス株式会社」となっている点も変わらず、なりすまし側が肩書を統一しきれていないことがわかります。

■ 送信ルートおよび偽装判定

【偽装判定】：正規のSBI証券・SBIホールディングスは公式ドメイン（sbisec.co.jp、sbigroup.co.jp等）からメールを送信します。本メールの送信元mail28.huentextileco.comはSBIグループとは一切関係のない外部ドメインです。

発信元IPアドレス：13.78.33.1（Received-SPFのclient-ipより特定）

回線情報：Microsoft Corporation（AS8075／MICROSOFT-CORP-MSN-AS-BLOCK）、利用形態：hosting

脅威レベル：低　詳細：【ip-sc.netで確認する】

送信元がMicrosoft Azureのクラウドサーバーである点にご注意ください。地図上には日本国内の住所が表示されましたが、これはAzureのデータセンター所在地であり、攻撃者本人の実在地を示すものではありません。世界中どこからでも同じクラウド基盤を契約して送信できてしまう点が、この手の詐欺グループに悪用され続けている理由です。

またヘッダーを詳しく見ると、実際の着信より前に mail.60cvcgrkg9q.kek.jp → smtp.bulk-regulation.kumamoto.jp という、いかにも正規サーバーらしく見せかけた中継サーバー名が記録されていました。ドメイン名だけを見ると熊本の何らかの公的機関のようにも読めますが、これは攻撃者が自作した偽の中継経路名であり、実際の地理的所在とは無関係です。こうした「もっともらしい中継サーバー名」を仕込む手口は、最近の他の詐欺キャンペーンでも確認されています。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://www.sbisecliney[.]com

リンクドメイン：sbisecliney.com

サイトサーバーIP：47.245.7.110

回線情報：Alibaba Cloud LLC（AS45102／ALIBABA-CN-NET）、利用形態：hosting

脅威レベル：低　詳細：【ip-sc.netで確認する】

誘導先ドメイン「sbisecliney.com」は、「sbi」＋「sec（証券を連想）」＋「liney（LINE誘導を連想）」を組み合わせた作りで、過去2回の「sbisecduojid.com」（5月）、「sbiseclined.com」（7月）と同じ発想の使い捨てタイポスクワッティングドメインです。名前は毎回変わっても、狙いは常に「LINEへ誘導する」という一点に絞られています。

なお、Alibaba Cloud側のIP所在地表示も東京都渋谷区となっていますが、こちらもデータセンターの所在地に過ぎず、運営拠点の実在地を示すものではありません。

誘導先の「常勝!!株LINE」ランディングページ

ランディングページのデザイン・レイアウト・北尾吉孝氏を模した人物写真の使い方まで、5月・7月に確認したものと完全に同一のテンプレートが使い回されています。攻撃グループは送信ドメインと着地ドメインだけを毎回使い捨てにし、コンテンツ制作コストをかけずに繰り返し攻撃を仕掛けていることが読み取れます。