三井住友カード・VJA「USJ貸切ご招待」当選詐欺、続報——当選発表は2027年1月なのに8月19日締切を騙る同じ矛盾、GCP送信の新インフラで再来

HL-META: date=2026-08-16 | brand=VJA・三井住友カード（なりすまし） | sender_geo=日本（Google Cloud Platform） | site_geo=unknown（Cloudflare経由のため実サーバーの所在地は特定不可） | spf=pass | dkim=unknown | cloaking=no

8月3日にご紹介した「USJ貸切イベント当選」を騙る便乗詐欺、覚えていらっしゃるでしょうか。あれから2週間ほど経ちましたが、同じキャンペーンに便乗した詐欺メールが、送信インフラを変えて再びやってきました。公式ルールと照らし合わせると、今回も同じ矛盾が隠れていました。

実在する「ユニバーサル・スタジオ・ジャパン貸切ご招待＆キャッシュバックキャンペーン」に便乗し、「抽選に当選した」と偽って偽サイトへ誘導しようとするフィッシングメールです。公式ルールを確認したところ、本来あり得ないはずの当選通知であることが今回も裏付けられました。※メールヘッダー詳細は個人情報保護のため非掲載です。

緊急性レベル	★★★☆☆（3/5）
偽装工作精度	★★★★☆（4/5・公式画像の直リンクは精巧、実装ミスあり）
受信日時	2026年8月16日 13:33頃
誘導先サイトの現状	Google Chromeのセーフブラウジングがフィッシングサイトとして検知・ブロック済み

ご覧の通り、このメールはVJA・三井住友カード公式ではありません。実在するキャンペーンに便乗した詐欺メールです。

それでは、実際に届いたメールの内容から見ていきましょう。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

◆ キャンペーン結果 ◆

いつもVJAグループおよび三井住友カードをご利用いただきありがとうございます。

エントリーいただいたキャンペーンの厳正な抽選を行いました結果、
あなた様がご当選されました。

【Aコース】2等 パーク貸切イベント
ご招待人数：2名様分
ユニバーサル・スタジオ・ジャパン

■ デジタルチケットお受け取りの流れ ■
1. 専用ページにアクセスし、Vpassへログイン
2. 当選者専用画面より、パーク入場用のQRコードを表示・保存

［電子チケットを受け取る ＞］

電子チケット発券期限
2026年08月19日 終日まで

※ 期限切れにご注意ください
※ 初めてVpassをご利用される方は、サービス利用規約にご同意いただく必要がございます。

■ 送信ルートおよび偽装判定

Received-SPFヘッダーを確認したところ、真の送信元IPは35.187.206.69で、逆引きDNSは「bc.googleusercontent.com」というGoogle Cloud Platformの標準的なホスト名を示していました。8/3の事例では別のインフラが使われていたため、今回は送信基盤を変えて再来した同一手口と考えられます。SPFはPassしていますが、これは送信ドメイン「delofo.tdkspu.com」の管理者が正しく設定を行っているだけで、VJA・三井住友カード公式であることの証明には一切なりません。

■ 2つの実装ミスと1つの巧妙な仕掛け

メール本文には、興味深い特徴が3つ見つかりました。

①個人化の失敗：本文フッターには「メール冒頭にハンドルネームが表示されることにより、不審なメールと見分けることができます」という案内がありますが、実際の本文にはハンドルネームがどこにも表示されていません。本来、受信者ごとに差し込まれるはずの個人情報欄が空白のまま送信されてしまった、テンプレートの実装ミスとみられます。

②リンクの破綻：「電子チケットを受け取る」ボタンのHTMLソースを確認したところ、リンク先を示す属性の直後に余計な引用符が紛れ込んでおり、正しいリンクとして機能しない状態になっていました。メールソフトによっては、本来非表示のはずのHTMLコードの断片がそのまま画面に表示されてしまいます。手の込んだ偽装をしている一方で、こうした基本的なミスが残っているのは、いかにも量産型の詐欺キットらしいところです（笑）。

③公式画像の直リンク：メール内の画像は、VJA公式サイト（vja.gr.jp）や大手チケットサービスのCDN（l-tike.com）から直接読み込まれていました。攻撃者が独自に画像を用意するのではなく、本物のキャンペーン素材をそのまま拝借しているため、見た目だけでは本物と全く見分けがつきません。

■ 誘導先サイトの解析

本文中のボタンをクリックすると、以下のURLへ誘導される仕組みでした（直リンク防止のためhxxps表記にしています）。

hxxps://eapjpoay.tdkspu[.]com/?ja=（長いトークン文字列）

アクセスを試みたところ、まずGoogle Chromeのセーフブラウジング機能が「危険なサイト」として警告し、フィッシングサイトとしてブロックしました。

警告を確認のうえ先へ進むと、ページは「Method Not Allowed」というエラーを返し、実際の偽ログイン画面までは到達できませんでした。誘導先ドメイン「tdkspu.com」はCloudflareのネットワークを経由しており、Cloudflare経由のため実サーバーの所在地は特定できません。すでに複数のセキュリティ機構から検知され、正常にアクセスできない状態になっているとみられます。

■ 続報：8月3日の事例との関係

本サイトでは2026年8月3日にも同じキャンペーンに便乗した「USJ貸切イベント当選」詐欺メールを解析しており、その際も「当選発表は2027年1月なのに存在しない受け取り期限を設定する」という同じ矛盾を指摘しています。今回は送信基盤がGoogle Cloud Platformに切り替わり、参照番号も「R1786854783」と異なるものに変わっていますが、公式ルールとの矛盾という核心部分は全く同じです。実在の人気キャンペーンに便乗する手口は、インフラを変えながら繰り返し使い回されているとみられます。

■ 注意点と対処法

1. 「当選しました」という通知が届いたら、まず主催者の公式サイトで当選発表の時期・方法を確認してください。ルールと矛盾していれば、それだけで詐欺と判断できます。
2. メール内のリンクは開かず、Vpassなど公式サービスに直接ログインしてキャンペーンの応募状況を確認してください。
3. メール冒頭にあるはずの「ハンドルネーム」など、個人向けの表示が欠けている、または不自然な場合は、大量送信された詐欺メールである可能性が高いです。
4. 「◯月◯日締切」など期限を強調する文面には、まず立ち止まって公式情報と照合する習慣をつけましょう。

人気キャンペーンに応募したことがある方なら誰でも狙われる可能性がある手口です。この記事のURLをコピーして、ご家族やお友達のLINEグループで「これ気をつけて！」と共有してあげてください。

📱 LINEでこの記事を共有する

---

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
配色テーマ：Burgundy